IA acelera a entrada de dependências no código — e desafia a revisão de segurança

Quando um assistente de IA sugere código, ele também pode trazer para o projeto pacotes, bibliotecas e imagens de contêiner dos quais a aplicação passará a depender. O problema não é apenas a velocidade de escrita: esses componentes podem entrar no código corporativo antes que a equipe de segurança consiga conferir sua procedência e suas vulnerabilidades. Isso amplia as oportunidades para que uma dependência maliciosa ou comprometida chegue ao software que a empresa executa. 17

Por que o processo de aprovação fica para trás

Quincy Castro, diretor de segurança da informação (CISO) da Chainguard, afirma que a geração quase instantânea de código ultrapassou o ritmo do processo humano de pedir, revisar e aprovar uma nova dependência. Enquanto cada solicitação aguarda análise, outras dependências podem ser adicionadas. A fila de aprovação, antes pensada para escolhas mais deliberadas, vira um gargalo. 17

O que os 97% realmente mostram

Em seu levantamento de junho de 2026 sobre imagens de contêiner, a Chainguard registrou 97% das instâncias de vulnerabilidade observadas fora dos 20 projetos mais populares de sua amostra: 17.471 instâncias fora desse grupo, ante 545 dentro dele. O número não quer dizer que 97% de todos os projetos sejam vulneráveis. Ele indica que concentrar a revisão apenas nas imagens mais usadas deixa de fora grande parte da exposição medida pela empresa na chamada cauda longa de projetos menos conhecidos.

Essa menor visibilidade também pode ser explorada por criminosos. Uma bifurcação (fork) maliciosa pode se parecer com um projeto legítimo, mas conter código nocivo que um desenvolvedor ou assistente venha a selecionar. E popularidade não é garantia de segurança: em março de 2026, invasores comprometeram a distribuição do Trivy por meio de GitHub Actions, usado em fluxos automatizados de desenvolvimento, e coletaram credenciais de fluxos afetados. O caso mostrou como um componente conhecido também pode se tornar uma porta de entrada para ataques à cadeia de software. 17

O que a Indiana University pretende investigar

A preocupação se estende às ferramentas de IA usadas por cientistas. Com uma verba de US$ 1,18 milhão da National Science Foundation (NSF), agência federal de fomento à pesquisa dos Estados Unidos, pesquisadores da Indiana University planejam avaliar riscos de segurança em ferramentas e modelos abertos de IA empregados em pesquisa e ajudar usuários a identificar escolhas mais seguras. 6

A Jetstream2 é uma infraestrutura de computação em nuvem para pesquisa ligada à universidade e apoiada pela NSF. As informações disponíveis, porém, não especificam um método de pontuação dos modelos nem detalham exatamente como a Jetstream2 será usada nessa avaliação. Tampouco permitem prometer que as alternativas recomendadas serão livres de riscos. 6210