Os avanços na inteligência artificial revelaram uma série de novas vulnerabilidades de software. Elas quase certamente provocarão mais interrupções semelhantes às que afetaram sites governamentais em todo o mundo esta semana, de acordo com sete profissionais de segurança cibernética que falaram à Reuters.
A inteligência artificial contribuiu para a duplicação do número de falhas digitais descobertas ano após ano, de acordo com uma pesquisa que será publicada nos próximos dias pela VulnCheck, uma empresa de inteligência de ameaças sediada em Massachusetts.
Matthew Prince, diretor executivo da empresa de infraestrutura digital Cloudflare, disse que estava ciente de "uma série de vulnerabilidades graves adicionais presentes em outros softwares críticos" e previu meses agitados pela frente, à medida que a IA revelasse fragilidades há muito ocultas na estrutura da internet.
"Acho que teremos alguns anos em que, a cada semana, teremos a sensação de que o mundo está acabando", disse Prince em uma entrevista na quinta-feira.
As interrupções que se espalharam por sites governamentais na Europa e em outros lugares a partir de quarta-feira ocorreram após a descoberta de vulnerabilidades no PHP, uma linguagem de programação consagrada que alimenta grande parte da internet.
Os operadores correram para corrigir seus softwares em antecipação a uma exploração em massa e, como alguns acharam que não conseguiriam aplicar as correções antes que os hackers atacassem, um grupo simplesmente tirou seus sites do ar até que pudessem torná-los seguros.
O pesquisador da VulnCheck, Patrick Garrity, afirmou que a corrida para corrigir o PHP ocorreu durante uma semana já bastante movimentada no setor de segurança cibernética.
A semana também trouxe a divulgação de vulnerabilidades no Node.js, uma alternativa ao PHP, e no programa de streaming Plex, além de violações relacionadas ao gateway de IA LiteLLM e à plataforma de desenvolvimento Railway, e a revelação de que a autoridade certificadora indiana eMudhra havia usado uma chave criptográfica extremamente frágil que potencialmente colocava usuários em risco em toda a internet.
“Se vimos apenas quatro ou cinco casos como esses esta semana, eu esperaria ver muito mais”, disse Garrity. “Acho que haverá muito mais simulações de incêndio para qualquer coisa que esteja exposta na internet”.
Redução de prazos
Os códigos-fonte que executam programas modernos são extensos e erros, ou "bugs", que abrem potenciais brechas de segurança, frequentemente surgem em locais inesperados.
Anteriormente, encontrar falhas de segurança exigia um nível básico de habilidade, e aproveitar essas falhas para criar ferramentas digitais de abertura de fechaduras – chamadas de “exploits” – poderia levar semanas ou meses de trabalho de um profissional experiente.
Isso, no passado, teria dado aos defensores um pouco de tempo para corrigir erros e implementar atualizações de software gradualmente.
A IA praticamente descartou essas suposições. Os modelos conseguem encontrar um bug após o outro, submetendo as bases de código a uma análise ininterrupta, e podem corrigir vulnerabilidades em questão de horas.
Shane Fry, diretor de tecnologia da RunSafe Security, empresa sediada na Virgínia, afirmou que o desempenho demonstrado pelos modelos de IA nos últimos meses dissipou quaisquer dúvidas sobre se eles transformariam o setor.
“O que está mudando fundamentalmente e inquestionavelmente é o tempo necessário não apenas para encontrar vulnerabilidades, mas também a rapidez com que os adversários podem transformá-las em armas”, disse Fry.
IA será positiva para cibersegurança?
Embora todos os especialistas com quem a Reuters conversou concordassem que os prazos para os defensores estavam ficando mais curtos, eles divergiam sobre se a IA levaria a uma guerra aberta entre hackers.
Daniel Stenberg, o desenvolvedor principal da ferramenta de transferência de arquivos curl, argumentou que as vulnerabilidades encontradas por modelos de IA tendem a ser bugs exóticos, difíceis de serem explorados por agentes maliciosos. Ramy Rahman, engenheiro sênior de soluções da empresa de cibersegurança ArmorCode, afirmou que "mais vulnerabilidades divulgadas não significam automaticamente mais ataques bem-sucedidos".
Havia indícios preliminares disso em relação à vulnerabilidade do PHP que gerou preocupação mundial esta semana. A empresa de inteligência de ameaças Hunt.io afirmou que – assim como a Amazon e a Cloudflare – a empresa havia observado tentativas agressivas de explorar a vulnerabilidade. Mas o chefe de pesquisa da empresa, Esteban Borges, afirmou que os cibercriminosos que ele monitorava pareciam ter fracassado em improvisar uma ferramenta funcional para tirar proveito disso.
Prince, da Cloudflare, disse à Reuters que havia visto relatos de comprometimentos relacionados à vulnerabilidade do PHP.
A avalanche de descobertas impulsionadas pela IA pode abalar o setor, mas, no final, será um saldo positivo, disse ele, comparando-a a derrotar os monstros de uma casa mal-assombrada.
O confronto pode ser assustador, disse ele, mas deixar os monstros à espreita, silenciosamente, atrás de portas fechadas, é muito pior.
“A realidade é que vamos conseguir limpar muita coisa”, disse ele.
