Como a IA está mudando a descoberta de vulnerabilidades

O número de vulnerabilidades de software divulgadas ao público mais que dobrou entre janeiro e agosto de 2026. Mas isso não quer dizer que os ataques tenham crescido na mesma proporção. A análise do Google Threat Intelligence Group (GTIG) aponta que a IA está influenciando a descoberta de falhas e o tipo de problema encontrado, sem determinar quanto ela, por si só, explica o aumento geral. 317

Mais falhas divulgadas, mas não uma contagem de ataques

As divulgações mensais passaram de 5.045 em janeiro para 10.740 em agosto. Nos primeiros oito meses de 2026, o GTIG contabilizou 141 vulnerabilidades distintas observadas em exploração, ante 127 durante todo o ano de 2025. A média mensal subiu de 10,5 falhas exploradas em 2025 para 18 entre janeiro e agosto de 2026. 3

Esses números medem coisas diferentes: divulgações são falhas que se tornaram públicas; exploração é a observação de vulnerabilidades distintas usadas por invasores. Não são contagens de ataques ou de vítimas. Portanto, o aumento de divulgações não significa que uma proporção semelhante das falhas recém-anunciadas esteja sendo explorada. 3

Os dados mostram crescimento tanto nas descobertas quanto na exploração, mas não isolam a IA como causa de nenhuma das duas tendências. O que o GTIG descreve é a influência crescente da IA na descoberta de vulnerabilidades e no perfil de risco de algumas delas — não uma medida precisa da contribuição da tecnologia para os totais. 329

Falhas encontradas com ajuda de IA podem ter consequências sérias

Cerca de metade das vulnerabilidades que o GTIG classificou como provavelmente descobertas com ajuda de IA permitia execução remota de código (RCE, na sigla em inglês), ante aproximadamente 26% das demais. Uma falha de RCE pode permitir que um invasor execute código em um sistema vulnerável, o que torna esse tipo de problema potencialmente grave. Ainda assim, a classificação “provavelmente descoberta com IA” não significa que a ferramenta tenha encontrado cada falha do grupo de forma independente. 1723

A avaliação de gravidade exige outra ressalva. Segundo relatos sobre a análise do GTIG, 58% das vulnerabilidades provavelmente descobertas com IA foram classificadas como de risco médio, contra 28% das demais divulgações. Apenas cerca de 4% foram consideradas de alto risco — proporção semelhante à do grupo sem atribuição à IA. Separadamente, as divulgações de alto risco na escala própria do GTIG subiram de 131 em janeiro para 350 em agosto; esse total se refere às divulgações em geral, não apenas às associadas à IA. 232829

Zero-days e falhas já conhecidas entram na conta

Uma vulnerabilidade zero-day é explorada antes que exista uma correção disponível. Já uma falha n-day é conhecida publicamente e pode até ter um patch, mas continua sendo um risco nos sistemas que ainda não foram atualizados.

O GTIG registrou uma média de cerca de oito vulnerabilidades zero-day exploradas por mês em 2025, ante aproximadamente 11 por mês entre janeiro e agosto de 2026. Foi uma alta mais modesta do que a observada na exploração em geral, reforçando a importância das falhas já conhecidas que ainda podem ser usadas depois da divulgação. Esses dados não mostram que parcela da exploração de n-days foi viabilizada por IA. 329

O grupo também relatou um agente criminoso com um exploit zero-day que, segundo sua avaliação, teria sido desenvolvido com IA. O plano era usá-lo em uma campanha de exploração em massa, mas o GTIG disse que sua descoberta proativa pode ter impedido o uso planejado. É um caso específico relacionado à IA, não uma prova de que ela tenha causado o aumento geral da exploração. 7

O próprio software de IA também pode ser alvo

Segundo o GTIG, o ecossistema de software usado para desenvolver e colocar em operação grandes modelos de linguagem também se tornou um alvo de exploração. Para as organizações, isso significa incluir componentes e serviços de IA na avaliação da superfície de ataque dos ambientes de produção — sem deixar de analisar cada vulnerabilidade de acordo com sua exposição e com as evidências de exploração. 1

O que fazer na prática

Para equipes de defesa: priorizem as falhas considerando quais sistemas estão expostos, o impacto potencial e a existência de evidências de exploração — não apenas o volume de divulgações. Mantenham um inventário dos sistemas acessíveis pela internet e dos softwares de IA em uso, instalem correções disponíveis sem demora e preparem monitoramento e medidas de mitigação para zero-days sem patch. No caso de falhas conhecidas, reduzam o intervalo entre a divulgação e a correção. 389

Para fornecedores de software: combinem testes com apoio de IA e revisão humana para encontrar e validar falhas antes do lançamento. Tratem componentes de IA como software de produção e ofereçam correções e avisos claros em tempo hábil, para que os clientes possam avaliar a exposição e atualizar seus sistemas. Os dados do GTIG apontam para a importância de acompanhar tanto o volume de descobertas quanto o possível impacto das falhas identificadas. 48