A IA que caça falhas antes do hacker: ferramenta do Google achou 100 vulnerabilidades graves em 2 dias

Há duas semanas contamos aqui o caso de Taiwan — o primeiro ciberataque quase totalmente conduzido por agentes de IA, sem humano no comando de cada passo. A pergunta que ficou no ar foi inevitável: e a defesa, vai ficar olhando? A resposta chegou.

A Mandiant, o braço de resposta a incidentes do Google, revelou uma ferramenta interna chamada AVDH (Agentic Vulnerability Discovery Harness) que faz o espelho exato do ataque: correntes de agentes de IA que leem código-fonte procurando falhas — cada agente com uma especialidade, um verificando o achado do outro, como uma equipe de auditores incansáveis.

Os números

Numa investigação real — vasculhando repositórios de código roubados por criminosos de empresas vítimas — a ferramenta encontrou mais de 100 vulnerabilidades graves, verificadas, em apenas dois dias. Não são alarmes falsos de scanner: são falhas confirmadas, do tipo que uma equipe humana levaria semanas ou meses para achar.

E o ritmo não foi sorte de estreia. A AVDH roda internamente há dez meses, já varreu dezenas de milhões de linhas de código e seus achados em projetos públicos — extensões de navegador populares, software de código aberto — renderam 12 CVEs (o registro mundial oficial de vulnerabilidades).

Por que isso importa (e não é só boa notícia)

O detalhe do parágrafo acima merece releitura: a Mandiant usou a ferramenta em código que os criminosos já tinham roubado. Ou seja — o que a defesa faz em dois dias, o ataque também pode fazer. Quando uma gangue rouba o código-fonte de uma empresa (como no caso Shell/Cl0p que cobrimos ontem), a pergunta deixou de ser “eles vão ler esse código?” e virou “quantas falhas a IA deles já encontrou nele?”.

É a mesma tesoura dos dois lados:

• Para a defesa, a revisão de código assistida por IA vira padrão de mercado: falhas que dormiam anos em sistemas legados agora são encontráveis a custo baixo.
• Para o ataque, a janela entre “código vazou” e “falha explorada” encolhe de meses para dias.

O recado prático

Sua empresa não precisa da ferramenta do Google para agir sobre a lição dela:

• Trate código-fonte como dado sensível. Repositório é ativo crítico — acesso mínimo, MFA, auditoria. Código roubado hoje é mapa de invasão amanhã.
• Use IA a favor antes que a usem contra. Revisão de código com IA (os próprios assistentes de programação já apontam falhas) custa pouco perto de um incidente.
• Não deixe o legado fora da conta. O sistema “que ninguém mexe desde 2019” é exatamente onde uma IA caçadora encontra as 100 falhas — dele ser esquecido pela sua equipe não significa ser esquecido pela dos outros.

Taiwan mostrou a IA atacando; a Mandiant mostrou a IA defendendo. O tabuleiro agora é simétrico — e quem ainda joga em velocidade humana, dos dois lados, é quem sai perdendo.

Fontes

• Help Net Security — Google’s AI security agents found 100+ critical software vulnerabilities in just two days (divulgação original da Mandiant/Google, 19/08/2026): helpnetsecurity.com