IA que caça falhas e falha que a IA achou: os dois lados do muro na segurança

Nos mesmos dias, duas notícias resumiram a relação da inteligência artificial com a segurança digital — e a tensão entre elas. De um lado, a OpenAI anunciou o GPT-5.6-Cyber, uma IA feita sob medida para encontrar falhas de segurança, liberada só para empresas autorizadas da área. De outro, pesquisadores da Tencent revelaram uma falha de 18 anos escondida no coração do Linux — que roda a maior parte dos servidores do mundo — descoberta justamente com a ajuda de outra IA. A mesma tecnologia, os dois lados do muro.

A IA que caça falhas — para o bem

O GPT-5.6-Cyber foi treinado para as tarefas de quem defende: procurar vulnerabilidades, simular ataques (pentest) e responder a incidentes. Nos testes da própria OpenAI, ajudou a descobrir problemas reais — incluindo uma falha de alta gravidade no motor JavaScript V8, que roda dentro do Chrome, cinco brechas num sistema operacional móvel e mais de 400 pontos de escalonamento de privilégio num software. A empresa foi clara sobre a aposta: “democratizar o acesso à inteligência de ponta para os defensores é crucial para acelerar e automatizar a defesa cibernética”.

Do outro lado do laboratório, a Tencent usou um sistema de IA chamado Corvus para vasculhar o código do Linux e encontrou a SCTPhantom (CVE-2026-64564) — uma falha que dormia há 18 anos e permite que um invasor com acesso básico vire administrador da máquina, ou escape de um container (o “cômodo isolado” onde as empresas rodam seus sistemas na nuvem) para alcançar o servidor inteiro. Nos testes, seis de oito tentativas deram certo. As correções já foram publicadas.

Por que isso importa mesmo para quem não é da TI

Três recados saem dessas duas notícias juntas — e servem para qualquer empresa, não só para quem escreve código:

1. A IA vai encontrar as falhas — a pergunta é quem chega primeiro. Ferramentas como o Corvus e o GPT-Cyber tornam a descoberta de vulnerabilidades muito mais rápida. Isso vale para o defensor e para o atacante. Empresa que atualiza seus sistemas com semanas de atraso está apostando numa corrida que a IA acabou de acelerar contra ela.

2. “Atualizar” deixou de ser opcional. A falha do Linux tem 18 anos, mas só vira risco real para quem não aplicar a correção que já saiu. A medida de segurança mais barata e mais ignorada continua sendo a mesma: manter sistemas e servidores atualizados. Vale um processo simples — quem é responsável por aplicar correções críticas, e em quanto tempo?

3. Nuvem e containers não são mágica. Muita empresa migrou para a nuvem achando que “agora a segurança é do provedor”. A SCTPhantom mostra o contrário: o isolamento entre sistemas pode ser rompido, e a responsabilidade de configurar e atualizar continua sua.

A IA não tornou a defesa mais fácil nem o ataque mais difícil — ela acelerou os dois. Nesse novo ritmo, a vantagem fica com quem tem processo: sabe o que roda na sua infraestrutura, atualiza rápido e não terceiriza a responsabilidade junto com o servidor.

Este é, aliás, um bom momento para uma verdade que orienta o nosso trabalho na VKSECURITY: segurança não é um produto que se compra uma vez — é uma rotina que se mantém. A IA só tornou essa rotina mais urgente.

Fontes

• OpenAI — anúncios oficiais de produto e segurança: openai.com/news
• The Linux Kernel — avisos de segurança do kernel: kernel.org