RespostasPublicado14 fontes
Na corrida entre ataques e correções, só aplicar patches pode não bastar
A a16z argumenta que a segurança digital não pode depender apenas de patches: segundo dados da Verizon citados no relatório, a correção completa levou 43 dias, em mediana, e só 26% das vulnerabilidades conhecidas e ex... A proposta é proteger sistemas durante o intervalo entre a descoberta de uma falha e a instalaçã...
Publicado porEditado com GPT-6 LunaImagens geradas com GPT Image 2
Resposta de pesquisa
Principais conclusões
- A a16z argumenta que a segurança digital não pode depender apenas de patches: segundo dados da Verizon citados no relatório, a correção completa levou 43 dias, em mediana, e só 26% das vulnerabilidades conhecidas e ex...
- A proposta é proteger sistemas durante o intervalo entre a descoberta de uma falha e a instalação de uma correção permanente, com medidas como segmentação, detecção rápida, verificação de identidade, recuperação testa...
- Um exemplo envolvendo falhas no PHP mostra o risco para sistemas sem atualização rápida: entre 2,6 milhões e 4,4 milhões de instalações fora de uma camada de proteção continuaram expostas, muitas em versões sem previs...
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What do a16z investing partner Asaf Ezra and growth partner Stephenie Zhang argue in their November 6, 2026 report “Defense in Depth, Rebuil. Article summary: Ezra and Zhang’s central argument is that cheap AI-generated exploits break the timing assumptions behind human-run patching: defenses must protect systems while permanent fixes are still being prepared, tested and deplo. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
A inteligência artificial pode reduzir o custo de transformar falhas de software em ataques funcionais. Mas corrigir, testar e instalar uma atualização continua levando tempo. No relatório publicado em 6 de novembro de 2026, Asaf Ezra e Stephenie Zhang, da a16z, defendem que as empresas protejam seus sistemas durante esse intervalo — em vez de apostar apenas em patches. 1
2
O intervalo entre a falha e a correção
O relatório destaca a diferença entre a velocidade com que uma vulnerabilidade pode ser explorada e o tempo necessário para eliminá-la. Segundo dados da Verizon citados pelos autores, a correção completa levou 43 dias, em mediana, e apenas 26% das vulnerabilidades conhecidas e exploradas na amostra foram totalmente corrigidas. 1
Em um texto anterior, resumido no relatório de 6 de novembro, Ezra e Zhang argumentam que, em 2025 e 2026, ficou mais barato realizar o trabalho especializado de transformar um erro no software em uma exploração funcional. O ritmo das correções, por sua vez, não acelerou na mesma proporção. Para os autores, essa diferença não será resolvida simplesmente tentando aplicar patches com mais rapidez. 2
Isso não torna as atualizações dispensáveis. Significa que é preciso reduzir a exposição enquanto a correção definitiva ainda está sendo preparada, testada e instalada.
Proteção provisória pode fazer diferença
Um exemplo citado pelos autores envolve o PHP, linguagem usada em muitos sites. Em um relato de Asaf Ezra, duas falhas críticas foram divulgadas antes de suas correções. Entre 2,6 milhões e 4,4 milhões de instalações fora de uma camada de proteção permaneceram expostas; a maioria rodava versões que não receberiam uma correção. 37
Nesse cenário, uma regra defensiva aplicada na rede, antes de o tráfego chegar aos sistemas vulneráveis, pode bloquear ataques enquanto as atualizações não estão disponíveis. O relatório defende o uso de recursos automatizados para ajudar a criar e distribuir esse tipo de proteção, inclusive para sistemas fora das grandes plataformas de nuvem. 2
37
Há, porém, uma diferença essencial: uma barreira temporária pode diminuir o período de exposição, mas não equivale a reparar o software. Quando houver uma correção duradoura, ela ainda precisa ser aplicada. E a organização deve considerar o que acontece se a proteção provisória falhar ou deixar de estar disponível.
Uma segurança em camadas, não só mais patches
Ezra e Zhang dizem identificar seis oportunidades de uma nova geração de produtos de segurança. 1
2 Os trechos disponíveis não detalham o suficiente para confirmar uma lista completa, item por item. Um resumo secundário destaca temas mais amplos: segmentação de redes, detecção em velocidade de máquina, checagens de identidade a cada solicitação, backups testados e controles sobre a cadeia de fornecimento de software.
34
Em conjunto, esses temas apontam para uma abordagem mais ampla:
- Conter ataques enquanto as correções não chegam. A segmentação e outros controles podem limitar o alcance de uma invasão, sem presumir que todo sistema vulnerável possa ser atualizado imediatamente.
34
- Detectar e responder com rapidez. Se a criação de explorações acelera, identificar ameaças e aplicar medidas de proteção em menos tempo ganha importância. A tese central do relatório é que as defesas precisam acompanhar a mudança no ritmo dos ataques.
2
- Verificar o acesso continuamente. Checagens de identidade a cada solicitação ampliam o foco para além da autenticação feita uma única vez no login.
- Testar a recuperação. Backups precisam permitir restaurar as operações de fato; não basta presumir que os dados poderão ser recuperados após um incidente.
- Avaliar softwares e dependências. Controles da cadeia de fornecimento buscam reduzir riscos trazidos por programas e ferramentas adotados pela organização.
Esses são temas gerais, não uma reprodução confirmada das seis categorias nem das especificações de cada produto. Os trechos consultados também não sustentam algumas afirmações mais específicas atribuídas ao relatório, como volumes diários de alertas, prazos de expiração de credenciais ou percentuais relacionados a ataques de ransomware.
A prioridade: proteger agora e corrigir de forma permanente
A principal conclusão não é escolher entre patches e outras defesas. É combinar as duas coisas: reduzir desde já a probabilidade e o impacto de um ataque e, depois, aplicar e verificar correções permanentes assim que estiverem prontas. 1
2
Essa estratégia importa especialmente para sistemas difíceis de atualizar. Mas uma proteção provisória não deve ser confundida com solução completa: o caso do PHP mostra que instalações fora da cobertura continuam em risco — sobretudo quando não podem receber uma correção. 37
Para Ezra e Zhang, portanto, a oportunidade vai além de encontrar vulnerabilidades mais rápido. Está em construir camadas de segurança capazes de conter ataques, identificar riscos, controlar acessos e apoiar a recuperação mesmo quando a aplicação de patches não acompanha o ritmo das ameaças.
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "Na corrida entre ataques e correções, só aplicar patches pode não bastar"?
A a16z argumenta que a segurança digital não pode depender apenas de patches: segundo dados da Verizon citados no relatório, a correção completa levou 43 dias, em mediana, e só 26% das vulnerabilidades conhecidas e ex...
Quais são os pontos-chave para validar primeiro?
A a16z argumenta que a segurança digital não pode depender apenas de patches: segundo dados da Verizon citados no relatório, a correção completa levou 43 dias, em mediana, e só 26% das vulnerabilidades conhecidas e ex... A proposta é proteger sistemas durante o intervalo entre a descoberta de uma falha e a instalação de uma correção permanente, com medidas como segmentação, detecção rápida, verificação de identidade, recuperação testa...
O que devo fazer a seguir na prática?
Um exemplo envolvendo falhas no PHP mostra o risco para sistemas sem atualização rápida: entre 2,6 milhões e 4,4 milhões de instalações fora de uma camada de proteção continuaram expostas, muitas em versões sem previs...