Relatório da Linux Foundation aponta que a manutenção de rotina é a lacuna de segurança em IA que as empresas subestimam

10 de novembro de 2026

Resumo

Texto publicado em 9 de novembro de 2026 no blog da OpenSSF e republicado pela Linux Foundation com consentimento do autor, com base no relatório State of AI Impact on Software Security and Cybersecurity 2026. Segundo o estudo, 93% dos especialistas em segurança se preocupam com ataques à cadeia de suprimentos e 90% com prompt injection, mas alguns dos achados mais relevantes tratam do trabalho cotidiano de manter o software atualizado.

A LF Research ouviu 308 profissionais de segurança de empresas e projetos open source neste verão, em pesquisa patrocinada por OpenSSF, LF AI & Data e ActiveState, da qual o autor é CEO. Para todas as ameaças ligadas à IA, a preocupação superou o preparo. A maior lacuna está na geração automatizada de exploits; logo atrás vem a manutenção de componentes: 83% temem o esforço extra causado pelo alto volume de atualizações, só 44% se dizem preparados e 43% já enfrentam o problema.

Uma parte da explicação está nas ferramentas de código com IA, que adicionam dependências: 60% das organizações e projetos relatam aumento de dependências externas (16% disseram o contrário), e as transitivas são revisadas apenas cerca de metade das vezes. Além disso, 58% entregam código mais rápido do que a revisão de segurança consegue acompanhar. Para o autor, a IA cria obrigações de manutenção mais rápido do que as equipes conseguem contratar para atendê-las.

O principal motivo para adiar correções é o risco de quebrar algo (28%), seguido da falta de tempo (22%). Ter um responsável faz diferença: entre equipes sem time ou função dedicada a ameaças de IA, só 23% corrigem a maioria dos novos alertas de imediato, contra 43% das que têm. Apenas 30% contam com essa função. As demais priorizam os alertas mais graves e deixam o resto se acumular no que o relatório chama de security debt.

A pergunta sugerida a CEOs e líderes de engenharia é quanto do backlog existe porque aplicar patches parece arriscado, e não por falta de correção. Entre as recomendações estão definir quem responde pela segurança de IA (equipes com função dedicada ou política formal se sentiram mais preparadas, ressalvando-se que é correlação, não prova), cortar dependências desnecessárias e obter as mantidas de uma fonte verificada e regida por políticas.

Aprofundamento CEVIU

Aprofundamento

O relatório State of AI Impact on Software Security and Cybersecurity 2026, da LF Research, ouviu 308 profissionais de segurança de empresas e projetos open source neste verão. A pesquisa teve patrocínio de OpenSSF, LF AI & Data e ActiveState. O texto que dá base à notícia foi escrito por Abby Kearns, CEO da ActiveState, publicado em 9 de novembro de 2026 no blog da OpenSSF e republicado pela Linux Foundation. Ou seja, quem interpreta os dados também tem interesse comercial no tema, o que vale ter em mente na leitura.

Os números mostram um padrão: para toda ameaça ligada à IA, a preocupação supera o preparo. A maior distância está na geração automatizada de exploits. Logo atrás vem a manutenção de componentes: 83% temem o esforço extra de um volume alto de atualizações, só 44% se dizem preparados e 43% já convivem com o problema. Ferramentas de código com IA ajudam a criar essa fila, pois 60% relatam mais dependências externas, e as transitivas são revisadas só cerca de metade das vezes. Além disso, 58% entregam código mais rápido do que a revisão de segurança acompanha.

O que mudou

A cobertura anterior do CEVIU trata de temas próximos, mas não de uma evolução direta do mesmo estudo. Em 26 de outubro de 2026, o CEVIU noticiou "Linux Foundation: IA generativa no open source não é crise nem panaceia, e pesa sobre os maintainers", que já apontava o peso da IA sobre quem mantém software. O relatório novo traz números concretos sobre esse peso na rotina de manutenção e de patches.

Por que isso importa

Para quem opera TI corporativa, a leitura é que o gargalo de segurança em IA pode estar menos em ameaças novas e mais na fila de atualizações. O dado de que o medo de quebrar produção (28%) pesa mais que a falta de tempo (22%) sugere olhar para testes automatizados e janelas de mudança, não só para mais scanners. Definir um responsável por segurança de IA também aparece como caminho, mas o próprio relatório avisa que a relação é correlação, não prova.

Linha do tempo

26/10/2026
CEVIU noticia análise da Linux Foundation sobre o peso da IA generativa nos maintainers open source.
09/11/2026
Texto de Abby Kearns sobre o relatório é publicado no blog da OpenSSF.
10/11/2026
Linux Foundation republica o texto e o relatório aponta a manutenção de rotina como lacuna de segurança em IA.

Perguntas frequentes

O que é security debt no relatório da Linux Foundation?

É o acúmulo de alertas de segurança que as equipes não corrigem. Sem capacidade para tratar tudo, elas priorizam os mais graves e deixam o restante se acumular no backlog.

Por que as empresas adiam correções de vulnerabilidades?

O principal motivo, citado por 28%, é o risco de quebrar algo em produção. Em seguida vem a falta de tempo, com 22%. O resultado é um backlog de falhas conhecidas que já têm correção disponível.

Como a IA aumenta o trabalho de manutenção?

Segundo o relatório, 60% das organizações e projetos viram crescer as dependências externas com ferramentas de código com IA. As dependências transitivas são revisadas só cerca de metade das vezes. Cada pacote novo traz obrigação de atualização.

Ter uma equipe dedicada a ameaças de IA muda o resultado?

Nas equipes com essa função, 43% corrigem a maioria dos novos alertas de imediato, contra 23% nas sem ela. Só 30% têm esse papel. O relatório ressalva que se trata de correlação, não de prova de causa.

Fontes

linuxfoundation.orgfonte original

Avalie este artigo:

Categoria: CEVIU TI
Publicado: 10 de novembro de 2026
Editoria: CEVIU TI