Inteligência artificial duplica descobertas de falhas digitais, aponta pesquisa
Pesquisa da VulnCheck aponta que a IA dobrou o número de falhas digitais descobertas ano após ano, e especialistas preveem mais interrupções em sites e softwares críticos.
Os avanços na inteligência artificial revelaram uma série de novas vulnerabilidades de software que, segundo especialistas, quase certamente provocarão mais interrupções semelhantes às que afetaram sites governamentais em todo o mundo nesta semana. A avaliação é de sete profissionais de segurança cibernética ouvidos pela Reuters.
De acordo com uma pesquisa que será publicada nos próximos dias pela VulnCheck, empresa de inteligência de ameaças sediada em Massachusetts, a IA contribuiu para a duplicação do número de falhas digitais descobertas ano após ano.
Matthew Prince, diretor executivo da Cloudflare, empresa de infraestrutura digital, disse estar ciente de “uma série de vulnerabilidades graves adicionais presentes em outros softwares críticos” e previu meses agitados pela frente, à medida que a IA revela fragilidades há muito ocultas na estrutura da internet.
“Acho que teremos alguns anos em que, a cada semana, teremos a sensação de que o mundo está acabando”, afirmou Prince em entrevista na quinta-feira.
As interrupções que se espalharam por sites governamentais na Europa e em outros lugares a partir de quarta-feira ocorreram após a descoberta de vulnerabilidades no PHP, uma linguagem de programação consagrada que alimenta grande parte da internet. Os operadores correram para corrigir seus softwares em antecipação a uma exploração em massa e, como alguns acharam que não conseguiriam aplicar as correções antes que os hackers atacassem, um grupo simplesmente tirou seus sites do ar até que pudessem torná-los seguros.
O pesquisador da VulnCheck Patrick Garrity afirmou que a corrida para corrigir o PHP ocorreu durante uma semana já bastante movimentada no setor de segurança cibernética. “Se vimos apenas quatro ou cinco casos como esses esta semana, eu esperaria ver muito mais”, disse Garrity. “Acho que haverá muito mais simulações de incêndio para qualquer coisa que esteja exposta na internet”.
Redução de prazos
Os códigos-fonte que executam programas modernos são extensos, e erros, ou “bugs”, que abrem potenciais brechas de segurança costumam surgir em locais inesperados. Anteriormente, encontrar falhas de segurança exigia um nível básico de habilidade, e aproveitar essas falhas para criar ferramentas digitais de abertura de fechaduras — chamadas de “exploits” — poderia levar semanas ou meses de trabalho de um profissional experiente. Isso, no passado, teria dado aos defensores um pouco de tempo para corrigir erros e implementar atualizações de software gradualmente.
A IA praticamente descartou essas suposições. Os modelos conseguem encontrar um bug após o outro, submetendo as bases de código a uma análise ininterrupta, e podem corrigir vulnerabilidades em questão de horas.
Shane Fry, diretor de tecnologia da RunSafe Security, empresa sediada na Virgínia, afirmou que o desempenho demonstrado pelos modelos de IA nos últimos meses dissipou quaisquer dúvidas sobre se eles transformariam o setor. “O que está mudando fundamental e inquestionavelmente é o tempo necessário não apenas para encontrar vulnerabilidades, mas também a rapidez com que os adversários podem transformá-las em armas”, disse Fry.
IA será positiva para a cibersegurança?
Embora todos os especialistas ouvidos pela Reuters concordassem que os prazos para os defensores estavam ficando mais curtos, eles divergiam sobre se a IA levaria a uma guerra aberta entre hackers. Daniel Stenberg, desenvolvedor principal da ferramenta de transferência de arquivos curl, argumentou que as vulnerabilidades encontradas por modelos de IA tendem a ser bugs exóticos, difíceis de serem explorados por agentes maliciosos. Ramy Rahman, engenheiro sênior de soluções da empresa de cibersegurança ArmorCode, afirmou que “mais vulnerabilidades divulgadas não significam automaticamente mais ataques bem-sucedidos”.
Havia indícios preliminares disso em relação à vulnerabilidade do PHP que gerou preocupação mundial nesta semana. A empresa de inteligência de ameaças Hunt.io afirmou que — assim como a Amazon e a Cloudflare — havia observado tentativas agressivas de explorar a vulnerabilidade. Mas o chefe de pesquisa da empresa, Esteban Borges, afirmou que os cibercriminosos que ele monitorava pareciam ter fracassado em improvisar uma ferramenta funcional para tirar proveito disso.
Prince, da Cloudflare, disse à Reuters que havia visto relatos de comprometimentos relacionados à vulnerabilidade do PHP. A avalanche de descobertas impulsionadas pela IA pode abalar o setor, mas, no final, será um saldo positivo, disse ele, comparando-a a derrotar os monstros de uma casa mal-assombrada. O confronto pode ser assustador, mas deixar os monstros à espreita, silenciosamente, atrás de portas fechadas, é muito pior. “A realidade é que vamos conseguir limpar muita coisa”, disse ele.
