Agente de IA encontra 4 vulnerabilidades graves no EPICS Base, software de controle industrial, em menos de 4 horas

O Cipher, agente autônomo da Causal Security, achou quatro falhas inéditas no EPICS Base em três horas e 49 minutos. O cofundador da empresa, Shubham Raj, disse ao The Register que a investigação inicial não exigiu intervenção humana. Houve só uma instrução autorizando testes mais profundos de exploração em ambiente seguro.

A mais grave é o CVE-2026-114595, um integer overflow com CVSS 9.8 (v3.1) que leva a escrita fora dos limites no heap e, potencialmente, execução remota de código. As outras três são de severidade alta: CVE-2026-114596 (8.2, validação incorreta do tamanho de mensagem, escrita fora dos limites e queda do processo), CVE-2026-114597 (7.5, checagem insuficiente de limites, leitura fora dos limites e crash) e CVE-2026-114598 (7.5, type confusion, negação de serviço e possível exposição de memória adjacente). A correção está na versão 7.0.11, e a CISA publicou um alerta na terça-feira.

A descoberta se encaixa numa sequência que o CEVIU vem registrando. Em 9 de março de 2026, o CEVIU noticiou "Claude Opus 4.6 Identifica 14 Vulnerabilidades Críticas no Firefox", sobre IA caçando bugs em software de navegador. Em 28 de maio de 2026, veio "Encontrando falhas de segurança de alta severidade com modelos de IA publicamente disponíveis", com a Ramp rodando milhares de sessões de agente contra o próprio backend. Agora o alvo é software de controle industrial, e o agente age de forma autônoma sobre um sistema que não conhecia.

Para quem opera redes OT e ambientes científicos, a leitura é direta: a obscuridade deixou de ser camada de defesa. Se um agente de IA monta e valida exploits para um sistema desconhecido em menos de quatro horas, o intervalo entre a descoberta e a exploração tende a encurtar. O requisito de acesso de rede aos serviços EPICS faz da segmentação a mitigação mais concreta, junto com a atualização para a 7.0.11.