IA Descobre Falhas Críticas Ocultas há Décadas no FFmpeg e Zcash: A Nova Era da Cibersegurança

Vários desses bugs estavam latentes havia 15 a 20 anos, existindo antes mesmo das auditorias de segurança intensivas realizadas por empresas como Google e Anthropic . As vulnerabilidades eram, principalmente, estouros de buffer na pilha (stack) e no monte (heap) em componentes como o demuxer TS e o decodificador VP9 . A empresa também desenvolveu uma PoC demonstrando um exploit primitivo para execução remota de código (RCE) .

Esta não foi a primeira descoberta da Depthfirst no FFmpeg. No início de maio, a empresa já havia relatado 12 bugs de corrupção de memória na biblioteca, alguns originados em código de 2009, e se comprometeu com até US$ 5 milhões em créditos para ajudar projetos de código aberto a corrigir falhas descobertas por IA . Apesar desses esforços, o pipeline de correção está visivelmente sobrecarregado. No fim de maio de 2026, muitas CVEs do FFmpeg — incluindo a CVE-2026-6385 e a CVE-2025-22921 — ainda estavam listadas pelo Debian como "não corrigidas" ou "adiadas" .

A principal implicação: Um agente autônomo operando por aproximadamente US$ 21.000 no total encontrou mais zero-days em uma única biblioteca do que a maioria das equipes humanas encontra em um ano. O gargalo mudou decisivamente da descoberta para a correção.

Claude Opus 4.8 Encontra uma Falha de Falsificação de 4 Anos no Zcash

Em 29 de maio de 2026, o pesquisador de segurança independente Taylor Hornby, auditando o protocolo Zcash para a Shielded Labs, descobriu uma vulnerabilidade crítica de "validade" (soundness) no pool blindado Orchard do Zcash . Ele a encontrou apenas um dia após a Anthropic lançar seu modelo Claude Opus 4.8, em 28 de maio .

Hornby construiu uma estrutura personalizada, o "Zcash Full-Stack Auditor", sobre o Opus 4.8. Esse sistema raciocinou através das restrições do circuito de prova de conhecimento zero do pool Orchard e revelou uma verificação ausente ou incompleta na lógica de multiplicação de curva elíptica — uma falha que permitia que provas forjadas passassem pela validação . Hornby então escreveu um exploit funcional em um ambiente de teste local que cunhava ZEC falsificado .

O impacto era gravíssimo: O bug poderia ter sido explorado para criar de forma indetectável uma quantidade ilimitada de tokens ZEC falsos, quebrando o limite fixo de 21 milhões de moedas do Zcash . A falha existia desde a ativação do Orchard em maio de 2022 — uma janela de quatro anos sem ser detectada .

Resposta Técnica de Emergência

Os desenvolvedores do Zcash e o Zcash Open Development Lab (ZODL) responderam rapidamente :

• 29 de maio de 2026: Hornby descobre o bug e o divulga imediatamente .
• 29 de maio – 1º de junho: O bug é corrigido por meio de uma atualização de emergência coordenada .
• 2 de junho: Um soft fork de emergência (no bloco 3.363.426) desabilita as transações do Orchard para prevenir qualquer exploração potencial .
• 3 de junho: O hard fork NU6.2 reabilita o Orchard com o circuito corrigido. Exploradores de blocos ficaram brevemente offline, e mineradores relataram instabilidade temporária na rede .

A Fundação Zcash declarou não haver evidências de que o bug tenha sido explorado fora do ambiente de teste . No entanto, devido às propriedades de privacidade do pool blindado, não há como provar criptograficamente se moedas falsas já foram cunhadas . Essa impossibilidade fundamental de verificação tornou-se uma preocupação central para o mercado.

O Crash do Preço do ZEC e o Impacto no Mercado

Antes da divulgação pública, o ZEC era negociado a máximas acima de US$ 600 . Assim que o bug se tornou público, em 5 de junho, o valor do token despencou :

• O CoinMarketCap relatou uma queda de ~31% .
• A KuCoin informou um declínio de mais de 40% .
• O Bankless Times e a BitMEX relataram um crash de aproximadamente 50% do pico ao vale, com o ZEC caindo de US$ 624 em 4 de junho para US$ 309 em 5 de junho .

O crash foi amplificado pela erosão da confiança no limite de 21 milhões de moedas do Zcash e pelo desmonte de posições compradas alavancadas que estavam sobrecarregadas . O influente trader Arthur Hayes também declarou publicamente que saiu de sua posição, adicionando pressão vendedora .

O Cenário Geral: A Descoberta por IA Está Superando a Remediação Humana

Esses dois incidentes, ocorridos na mesma semana, não são casos isolados. Eles representam a nova linha de base para uma mudança sistêmica na cibersegurança.

Assimetria de Velocidade e Custo: O agente da Depthfirst encontrou 21 bugs por ~US$ 21.000 ; Hornby achou uma falha criptográfica catastrófica um dia após o lançamento de um novo modelo . Equipes humanas não perceberam ambas por anos. A economia agora favorece fortemente os atacantes, que podem executar agentes autônomos semelhantes a um custo marginal irrisório para descobrir e criar armas cibernéticas a partir das vulnerabilidades.

Sobrecarga de Volume para Mantenedores: Na mesma semana, o Google corrigiu um recorde de 429 bugs no Chrome 149 . Mas projetos de código aberto como FFmpeg e Debian já estão mostrando status de correção "adiada" para CVEs descobertas por IA . O fluxo de descobertas está jorrando mais rápido do que mantenedores voluntários e equipes enxutas conseguem lidar.

Um Padrão, Não um Acidente: Isso sucede um incidente de maio de 2026, onde a IA autônoma da Depthfirst encontrou um estouro de heap de 18 anos no NGINX (CVE-2026-42945, CVSS 9.2) em apenas seis horas . A tecnologia está consistentemente encontrando bugs antigos e críticos que sobreviveram a todas as auditorias anteriores.

A Pergunta Sem Resposta: Se o bug do Orchard do Zcash foi alguma vez explorado secretamente permanece fundamentalmente inverificável . Essa incerteza, por si só, já prejudicou a confiança do mercado e levanta uma questão profunda para todas as blockchains focadas em privacidade: uma falha de validade em um pool blindado, descoberta por IA, pode ser totalmente remediada se ninguém puder provar que ela nunca foi usada?