IA acelera falhas e põe modelo de correções sob pressão

A crescente utilização de Inteligência Artificial (IA) na descoberta e exploração de vulnerabilidades está a colocar sob pressão o modelo tradicional de aplicação de correções de segurança. Segundo uma análise da Rapid7 relativa ao segundo trimestre de 2026, as organizações precisam de passar a dar maior prioridade à exposição efetiva dos sistemas e não apenas à gravidade atribuída às falhas.

O número de vulnerabilidades de gravidade elevada e crítica, com pontuações CVSS entre sete e dez, praticamente duplicou num ano, passando de 4.268 no segundo trimestre de 2025 para 8.539 no mesmo período de 2026. No mesmo intervalo, o número de novas vulnerabilidades exploradas aumentou 8%.

A diferença entre as vulnerabilidades descobertas e aquelas que acabam efetivamente exploradas está relacionada com o contexto em que os sistemas se encontram. Christiaan Beek, Vice President de Cyber Intelligence da Rapid7, explica que a IA pode acelerar tanto a descoberta como a exploração de falhas, mas fatores como firewalls e outros mecanismos de defesa podem impedir que uma vulnerabilidade seja utilizada num ataque.

A Rapid7 considera pouco provável que o volume de vulnerabilidades descobertas com recurso a IA diminua. A publicação contínua de novas aplicações, combinada com práticas como o vibe coding, poderá contribuir para a introdução de falhas conhecidas em novo código. Beek refere investigações em que aplicações financeiras desenvolvidas desta forma apresentavam as mesmas vulnerabilidades, sugerindo a reutilização de modelos de código antigos por sistemas de IA.

Esta evolução aumenta a pressão sobre as equipas de cibersegurança, que têm de proteger um número crescente de endpoints, servidores, firewalls, API e componentes da cadeia de fornecimento. Ao mesmo tempo, os atacantes precisam apenas de identificar um ponto vulnerável para conseguirem entrar numa organização.

A análise destaca também o aumento das vulnerabilidades que a Rapid7 classifica como “Holy Grail”, falhas que podem ser exploradas sem credenciais ou interação do utilizador. No segundo trimestre, estas representaram 25 das 40 novas vulnerabilidades exploradas, um aumento de nove pontos percentuais face ao período homólogo.

O ransomware continua, entretanto, a ser uma das principais formas de monetização dos ataques. Os Estados Unidos registaram 881 vítimas no segundo trimestre, muito acima das 91 contabilizadas na Alemanha. Qilin, The Gentlemen, DragonForce, Akira e LockBit foram os grupos mais ativos.

Os serviços empresariais foram o setor mais visado, com 23,5% das vítimas, seguindo-se a saúde, com 22%, a indústria transformadora, com 21%, a tecnologia, com 16,9%, e a construção, com 16,6%.

Perante a velocidade atual dos ataques assistidos por IA, a Rapid7 considera que os ciclos mensais tradicionais de aplicação de correções deixaram de ser suficientes. Em vez de priorizar uma vulnerabilidade apenas com base na pontuação CVSS, as organizações devem perceber onde se encontra a falha na sua rede, se pode ser alcançada por um atacante e qual seria o impacto de uma eventual exploração.

A redução da superfície de exposição assume, assim, maior importância na gestão de vulnerabilidades. Para a Rapid7, compreender quais os sistemas efetivamente acessíveis aos atacantes e reduzir continuamente essa exposição será essencial num cenário em que as equipas já não conseguem tratar todas as vulnerabilidades ao mesmo ritmo a que são descobertas.