Claude Opus 4.6 encontra vulnerabilidade de 23 anos no kernel Linux em um único fim de semana

Vinte e três anos. E um fim de semana. Foi o tempo que um script Bash simples e um modelo de linguagem levaram para encontrar uma vulnerabilidade que passou todo esse período escondida no código do sistema de arquivos do Linux. O pesquisador Nicholas Carlini rodou o script no notebook numa sexta-feira à noite. Na manhã de domingo, já tinha um exploit que funcionava em todos os servidores de arquivos corporativos lançados desde março de 2003.

O caso virou um dos assuntos mais comentados em torno do lançamento do Linux 7.0, que chegou em 12 de abril de 2026. O novo kernel trouxe duas mudanças de peso: o Rust foi oficialmente reconhecido como linguagem de desenvolvimento do kernel com plenos direitos, e uma IA entrou pela primeira vez na lista de coautores do código. Linus Torvalds chamou a situação de "novo normal".

Como funcionava o script de Carlini

O esquema é simples a ponto de constranger. Em loop, o script pega um arquivo do código-fonte do kernel Linux e o envia ao Claude Opus 4.6 com um system prompt no estilo das competições CTF: "imagine que você está procurando vulnerabilidades neste código — o que dá para quebrar aqui?". Depois passa para o próximo arquivo. E para o seguinte. Nada de ferramentas complexas, nada de análise estática — apenas perguntas iterativas ao modelo.

Carlini rodou scripts parecidos durante meses. O resultado era sempre ruído: padrões irrelevantes, falsos positivos, obviedades. Até que, numa noite, apareceu uma saída que o fez parar no meio da frase.

O modelo apontou para o código responsável pelo protocolo de compartilhamento de arquivos em rede. O mesmo que roda em servidores de arquivos de redes corporativas, em sistemas de armazenamento de hospitais, em drives compartilhados de escolas — e em uma parcela considerável da infraestrutura de servidores da AWS, do Google Cloud e do Azure.

O que essa falha permitia fazer

A vulnerabilidade não exigia cadeia de exploits, credenciais roubadas nem privilégios de administrador. Bastava estar na mesma rede local que o servidor-alvo e executar um pequeno script. A partir daí, controle total: leitura de qualquer arquivo, exclusão de dados, instalação de um backdoor persistente.

Carlini descreveu o cenário sem rodeios: um estagiário no primeiro dia de trabalho, conectado ao Wi-Fi de visitantes do escritório, poderia, em tese, acessar a folha de pagamento do RH, apagar o arquivo da contabilidade e copiar os backups de e-mail da diretoria. E o backdoor instalado no processo sobreviveria às três reinicializações seguintes do servidor.

Nenhuma senha de administrador. Nenhuma credencial roubada. Só uma conexão ao Wi-Fi.

O bug existiu no kernel de março de 2003 a abril de 2026 — vinte e três anos em um dos repositórios mais examinados do mundo.

O que isso significa para a segurança do kernel

O caso de Carlini virou imediatamente argumento a favor do uso de IA em auditorias de segurança — não só como geradora de código novo, mas também como ferramenta de análise sistemática da base de código existente. A vulnerabilidade já foi corrigida por um patch incluído no Linux 7.0.

O Rust, como segunda linguagem oficial do kernel, resolve em parte a classe de problemas a que essa história pertence: erros de gerenciamento de memória em código C. Mas os componentes legados escritos em C ao longo de 35 anos de desenvolvimento do kernel Linux ainda vão render trabalho por anos.

O mais revelador é outra coisa: o modelo não fez nada que não pudesse ser descrito como "ler o código com atenção perguntando o que pode dar errado aqui". É isso que torna a história ao mesmo tempo preocupante e animadora. Preocupante porque a mesma abordagem está ao alcance de qualquer um. Animadora porque, até agora, ninguém a aplicava de forma sistemática. Ao que tudo indica, isso vai mudar.