NSA alerta para falhas críticas na web detectadas com inteligência artificial
NSA alerta que falhas achadas com IA em software usado na maioria dos sites deixam a web criticamente exposta.
Foto: Yaroslav Shuraev (Pexels)
A Agência de Segurança Nacional dos Estados Unidos (NSA) alertou nesta quarta-feira (21) que vulnerabilidades críticas em uma linguagem de programação que sustenta boa parte da internet, descobertas com ferramentas de inteligência artificial (IA), deixaram sites em todo o mundo expostos a ataques. O aviso, noticiado pelo Financial Times, chega no mesmo dia em que órgãos de segurança e operadores tiraram páginas do ar para aplicar correções de emergência.
Pesquisadores usaram modelos da OpenAI e do Google para encontrar falhas graves em software presente na maioria dos sites do planeta. A descoberta reforça o dualismo da IA na cibersegurança: a mesma capacidade que acelera a caça a bugs também pode encurtar o tempo entre a divulgação e a exploração por invasores.
O que aconteceu
Segundo o Financial Times, a NSA classificou o risco como crítico para sistemas que dependem dessa infraestrutura de software. Relatos paralelos de agências e da imprensa apontam o PHP — linguagem amplamente usada em sites e aplicações web — como o alvo das falhas, batizadas no meio técnico de “php2shell”. Elas permitiriam, em tese, a execução remota de código sem autenticação em instalações que atendem pedidos pela web.
A OpenAI afirmou ter liderado, ao longo de cerca de dois meses, uma coalizão com mantenedores, pesquisadores e empresas de segurança para tratar o problema, com achado independente também atribuído à Wiz. Mantenedores do PHP publicaram correções e orientações de atualização. Em vários países, governos e serviços privados chegaram a colocar sites em manutenção preventiva enquanto aplicavam os patches.
O Federal Bureau of Investigation (FBI) dos EUA também reforçou o alerta, recomendando que operadores tirem sistemas do ar se não puderem atualizar de imediato. Estimativas de especialistas citadas na cobertura indicam que o PHP está por trás de cerca de 70% dos sites em que a linguagem do servidor é conhecida — daí a escala do impacto potencial.
Há tensão sobre o timing da divulgação. A Fundação PHP disse que detalhes vazaram antes da data prevista, o que encurtou a janela de coordenação. A CISA, agência americana de cibersegurança e infraestrutura, pediu correção imediata e, no momento da publicação de seu aviso, disse não ter observado exploração confirmada — embora provas de conceito e varreduras já circulassem no mercado de segurança, elevando a urgência.
O que isso pode mudar
O episódio pode acelerar uma mudança de ritmo na defesa digital. Se modelos de IA passam a achar falhas de impacto global com mais frequência, mantenedores de software livre e equipes corporativas provavelmente terão de encurtar ciclos de patch e ensaiar planos de “desligar e corrigir” para serviços críticos. Provedores de nuvem e de firewall de aplicação web devem ampliar regras temporárias, mas essas mitigações tendem a ser apenas ponte até a atualização do interpretador.
Também é possível que governos e alianças internacionais formalizem mais cedo protocolos de divulgação coordenada na era da IA, com pré-aviso a infraestrutura essencial e critérios claros para antecipar o anúncio quando houver vazamento ou indício de exploração. Para empresas, o custo de inventariar onde o PHP está embutido — muitas vezes invisível em produtos de terceiros — deve subir na agenda de risco.
No médio prazo, o caso ilustra que a corrida entre atacantes e defensores pode ser decidida menos pela existência do bug e mais pela velocidade de remediação. Quem atrasar a atualização corre o risco de transformar uma janela defensiva aberta pela IA em superfície de ataque em massa.
Fontes: Financial Times
Fontes: Financial Times
Leia mais em: mundodosnegocio.com.br