Microsoft corrigiu 1.411 vulnerabilidades em um mês: a IA encontra falhas mais rápido do que as pessoas conseguem corrigi-las

O debate sobre a capacidade da IA de escrever código decente continua. Enquanto isso, outra IA encontra silenciosamente erros em código que já foi escrito — e faz isso mais rápido do que as pessoas conseguem corrigi-los. Em outubro de 2026, a Microsoft lançou suas atualizações mensais de segurança com 1.411 correções. Em todo o ano de 2025, esses lançamentos somaram 1.130; em 2024, foram 1.009. Um único mês superou um ano inteiro.

Um novo recorde a cada mês

Ainda em junho, 206 vulnerabilidades corrigidas eram consideradas um recorde. Em julho, a Microsoft avisou aos clientes que cada lançamento passaria a incluir mais patches, e os números continuaram subindo: cerca de 600 em julho — diferentes publicações contaram entre 570 e 622 —, aproximadamente 420 em agosto, 974 em setembro e 1.411 em outubro. O recorde anual anterior, de 1.245 vulnerabilidades, permanecia desde 2020, mas um único lançamento de outubro o superou. Um especialista da Zero Day Initiative comentou o lançamento de julho da seguinte forma: “O apocalipse dos bugs finalmente chegou.”

A própria Microsoft identificou a principal fonte da enxurrada: o MDASH, um sistema agêntico de descoberta de vulnerabilidades que reúne vários modelos, inclusive de terceiros. Ele funciona em duas etapas. Primeiro, um scanner verifica arquivos binários críticos do Windows, enquanto modelos de famílias diferentes debatem cada descoberta. Depois, um pipeline separado elimina os falsos positivos restantes. Somente as descobertas nas quais o sistema tem maior confiança chegam aos engenheiros. A IA também sugere possíveis correções e seleciona testes de regressão, enquanto as pessoas avaliam os riscos e tomam as decisões.

Por que isso se tornou possível justamente agora? Antes, a principal ferramenta era o fuzzing: milhões de entradas malformadas eram fornecidas a um programa para descobrir o que o faria travar. Um fuzzer não entende o código e deixa passar erros lógicos que só ficam visíveis para quem lê o código-fonte. Um modelo de linguagem lê código quase como uma pessoa, mas muitas vezes mais rápido. Em 2024, o agente de IA Big Sleep encontrou um bug explorável no SQLite. Na final do DARPA AI Cyber Challenge de 2025, os sistemas encontraram 54 das 63 vulnerabilidades ocultas e produziram uma correção, em média, em 45 minutos, a um custo de cerca de 152 dólares por tarefa.

PHP2Shell: falhas com mais de dez anos

A mesma tecnologia também funciona com código de terceiros. Em 21 de outubro, o PHP lançou atualizações emergenciais para duas vulnerabilidades críticas no próprio interpretador, chamadas em conjunto de PHP2Shell. Elas permitem executar código em um servidor web com uma única requisição, sem autenticação, antes mesmo de o código do site começar a rodar. Os bugs existem desde o PHP 5.4, lançado em 2012. Duas equipes, Calif e Wiz, descobriram as falhas de forma independente, e ambas usaram IA.

A divulgação coordenada não saiu como planejado: detalhes vazaram no Hacker News, e um honeypot da Amazon registrou uma tentativa de exploração quatro dias antes do anúncio público. A CISA adicionou as duas vulnerabilidades ao catálogo de falhas exploradas ativamente. Segundo a Censys, mesmo depois disso ainda havia na internet mais de 32 milhões de serviços PHP executando versões vulneráveis. Os próprios responsáveis pela descoberta moderam o entusiasmo: segundo a Calif, a equipe trabalhou com modelos disponíveis publicamente, e conhecer a história do PHP foi mais importante do que o próprio modelo. Nesse caso, a IA foi uma assistente muito rápida para um pesquisador experiente.

Barato para encontrar, caro para corrigir

Há outro lado dessa história. Alguém ainda precisa baixar, testar e implantar cada uma dessas 1.411 correções. Em uma pesquisa da Socura, 22% dos líderes de segurança britânicos disseram ter tirado licença médica ou saído de férias apenas para evitar o Patch Tuesday, enquanto 41% trabalharam horas extras. A Oracle passou a lançar patches críticos mensalmente, e a VMware aposta nos Express Patches.

No código aberto, a situação é ainda mais grave. O projeto curl encerrou seu programa de recompensas por vulnerabilidades porque a equipe estava soterrada por relatórios, muitos deles gerados por IA. Entre sete relatórios recebidos em uma semana, nenhum continha uma vulnerabilidade real. A Microsoft tem um pipeline dedicado a eliminar falsos positivos; projetos mantidos por voluntários não têm.

O que fazer na prática

Primeiro: se você é responsável pela infraestrutura, adote a instalação automática de atualizações com ferramentas como o Windows Autopatch e defina antecipadamente um processo para patches emergenciais lançados fora do calendário. Segundo: verifique quais versões do PHP estão em produção, especialmente as mais antigas, e atualize-as. Terceiro: não espere que números recordes definam suas prioridades. A quantidade de bugs encontrados mostra a eficiência da IA na busca, mas não quantos deles representam um perigo real para o seu ambiente específico.

O intervalo entre a descoberta e o ataque está diminuindo porque os mesmos modelos também ajudam a transformar um bug em um exploit funcional. Vencerá quem aprender a atualizar seus sistemas com a mesma rapidez com que a IA encontra falhas. Todos os demais terão de se acostumar com Patch Tuesdays de aproximadamente 1.500 itens.