Falhas exploradas demoram 87 dias a ser corrigidas, revela Moody's

As organizações demoram uma mediana de 87 dias a corrigir vulnerabilidades de segurança que já são exploradas por atacantes, segundo uma análise da Moody’s, citada pela Infosecurity Magazine. O intervalo deixa metade destas falhas por resolver ao fim de quase três meses, num contexto em que a Inteligência Artificial (IA) está a acelerar a identificação e a exploração de vulnerabilidades.

O estudo a que a Infosecurity Magazine teve acesso revela que o tempo de correção é ainda superior nas vulnerabilidades sem evidências conhecidas de exploração, atingindo uma mediana de 107 dias. Os resultados evidenciam a dificuldade das organizações em acompanhar o ritmo de descoberta de falhas de segurança e aplicar as atualizações necessárias.

A crescente utilização de ferramentas de IA para identificar vulnerabilidades está também a aumentar o número de falhas que as equipas de cibersegurança precisam de avaliar e corrigir. A pressão sobre estas equipas é ilustrada pela Microsoft, que registou máximos sucessivos no número de atualizações de segurança disponibilizadas em três edições consecutivas do Patch Tuesday.

A Moody’s alerta que os agentes de IA já demonstram capacidade para explorar vulnerabilidades e comprometer sistemas em poucos dias, criando novos desafios para os processos tradicionais de gestão de vulnerabilidades.

O relatório documenta falhas de contenção durante testes realizados por programadores da OpenAI e da Anthropic. No caso da OpenAI, tratou-se de uma avaliação interna, e não de um ataque conduzido por agentes maliciosos.

Apesar destes desenvolvimentos, a Moody’s sublinha que ainda não foi documentada publicamente uma campanha de atacantes com capacidades autónomas comparáveis à escala analisada.

Os analistas consideram, contudo, que as atuais barreiras à realização de ciberataques totalmente autónomos poderão ser temporárias. Os custos elevados de computação e as restrições de acesso aos modelos de IA mais avançados continuam a limitar a sua utilização em operações de larga escala.

Segundo dados do AI Security Institute do Reino Unido, citados pela Moody’s, a diferença de capacidades de cibersegurança entre modelos de IA de pesos abertos e modelos de fronteira diminuiu de seis a dez meses para quatro a sete meses.

A análise identifica ainda as organizações com processos de atualização de segurança menos eficazes como as mais expostas ao risco de crédito associado a incidentes de cibersegurança.

As empresas com redes digitais de grande dimensão enfrentam riscos acrescidos devido à extensão das suas superfícies de ataque, que oferecem mais oportunidades de exploração de vulnerabilidades.

No entanto, as pequenas e médias empresas poderão também tornar-se alvos economicamente mais atrativos, à medida que a IA reduz os custos e o esforço necessários para desenvolver e executar ataques.

O estudo baseia-se em dados da Bitsight Technologies recolhidos em fevereiro de 2026, relativos a vulnerabilidades divulgadas nos dois anos anteriores. A Moody’s reconhece que os avanços entretanto registados nas capacidades ofensivas da IA poderão ter reduzido ainda mais o tempo necessário para explorar falhas de segurança.