IA reduz tempo de ataques cibernéticos enquanto falhas demoram a ser corrigidas

The Exploit Was the Bottleneck: What 23 Years of Data Say About AI and the Patch Gap

Em 2018-19 um ataque começava em média 63 dias após a divulgação de uma falha; em 2025, 7 dias antes (dados Mandiant). Um exploit funcional passou de um mês de trabalho de um profissional qualificado para algumas horas de tempo de máquina. A correção não acelerou: o tempo mediano para corrigir totalmente uma vulnerabilidade já explorada subiu para 43 dias (Verizon DBIR 2026, ante 32 no ano anterior), e só 26% são corrigidas em um ano. Em 31 de agosto, um operador apontou centenas de agentes de IA, com um modelo open-weight barato e não de fronteira, para um servidor PaperCut: 395 organizações em 48 países comprometidas, metade delas escolas. Desde o fim de 2024, o tamanho das tarefas cibernéticas que modelos concluem de forma confiável dobra a cada 4-5 meses. Os autores não esperam apagão na rede elétrica nem queda da internet, mas uma longa e cara era de worms, que atinge com mais força sistemas que não se atualizam rápido (hospitais, escolas, pequenos sistemas de água) e os poucos alvos que valem bilhões. Eles listam indicadores públicos para checar em até dois anos, como o número de vulnerabilidades exploradas (cerca de 880 em 2025) e o tempo de correção.