IA em Destaque: Vulnerabilidades Persistem em Código Gerado por Modelos de Linguagem, Aponta Estudo

A recente avaliação de modelos de linguagem (LLMs) como Sonnet 5, Composer 2.5 e GPT 5.5 na geração de webapps reforça uma preocupação central da cibersegurança: a persistência de vulnerabilidades críticas, mesmo com o uso de IA avançada. O estudo identificou uma falha de Insecure Direct Object Reference (IDOR) em todas as seis implementações testadas. Uma vulnerabilidade IDOR acontece quando uma aplicação expõe um identificador direto para um objeto interno, como um ID de banco de dados, e um atacante consegue manipular esse identificador para acessar recursos não autorizados.

Isso valida as inquietações levantadas pelo CEVIU News na matéria 'Desafios dos Agentes de Codificação e Testes de LLMs na Confiabilidade da Codificação Assistida por IA', publicada em 11 de julho de 2026. Naquela ocasião, já se discutia a lacuna entre o potencial da IA e a real confiabilidade de seu código. Agora, temos a prova concreta, com modelos de ponta, de que a falha em segurança básica ainda é um gargalo, exigindo que desenvolvedores mantenham a vigilância e não terceirizem a segurança para a IA. O uso de ferramentas como Supply Chain Firewall (SCFW) e Datadog Code Security, que foram empregadas no estudo atual, mostra que a indústria está ciente da necessidade de camadas de proteção adicionais.

Em 11 de julho de 2026, o CEVIU News publicou a matéria 'Desafios dos Agentes de Codificação e Testes de LLMs na Confiabilidade da Codificação Assistida por IA', que trazia um alerta sobre a "lacuna significativa" na entrega de código confiável por LLMs. A notícia atual, com testes específicos em Sonnet 5, Composer 2.5 e GPT 5.5, mostra que essa preocupação generalizada se materializa em vulnerabilidades concretas e repetíveis, como a IDOR, mesmo em abordagens como o "plan mode".

O que era uma análise mais conceitual sobre a confiabilidade, agora se mostra um problema factual documentado em experimentos controlados com as versões mais recentes dos modelos. Modelos como o GPT-5.6, citados em 22 de julho de 2026 por sua capacidade de detecção de vulnerabilidades, mostram que a IA pode ser forte na defensiva. No entanto, o estudo atual prova que a IA na ofensiva, ou seja, na geração de código seguro, ainda precisa evoluir muito, e não apenas nas capacidades dos LLMs, mas também nas suas metodologias de uso.

Para empresas e desenvolvedores, a notícia sublinha um ponto crucial: a IA é uma ferramenta poderosa para aumentar a produtividade, mas não é um substituto para a expertise humana em segurança. Integrar IA no ciclo de desenvolvimento (SDLC) sem revisão humana e testes de segurança rigorosos, especialmente SAST (Static Application Security Testing) e análise de composição de software (SCA), pode introduzir riscos significativos. O custo de corrigir uma vulnerabilidade em produção é exponencialmente maior do que preveni-la.

Ignorar essa realidade significa aumentar a superfície de ataque, expor dados sensíveis e comprometer a conformidade regulatória. A IA deve ser vista como um copiloto inteligente, capaz de acelerar tarefas e sugerir soluções, mas a responsabilidade final pela segurança do código gerado recai sobre a equipe de desenvolvimento. É fundamental que as políticas de segurança corporativas incorporem esta necessidade de validação, mesmo com o avanço das ferramentas de IA.