A ascensão da IA e o fim da segurança por obscuridade em sistemas legados

A "segurança por obscuridade", outrora uma estratégia precária, agora encontra seu fim definitivo. A Inteligência Artificial tem se mostrado um desvendador implacável de vulnerabilidades, expondo falhas em softwares legados e sistemas que se julgavam seguros por sua pouca visibilidade ou complexidade. Isso inclui componentes que não eram atualizados há anos, como o cliente Telnet, Windows RNDIS, NFS Portmapper e Link Layer Topology Discovery, conforme revelado em recentes análises da Trend Micro.

A capacidade dos agentes de IA de inspecionar códigos e arquiteturas, mesmo sem conhecimento prévio do técnico, transformou o cenário. Antigas bibliotecas de código aberto, consideradas robustas após anos de testes comunitários, agora exibem vulnerabilidades significativas. A questão central não é mais se há falhas, mas como lidar com o volume crescente de descobertas e a pressão para corrigi-las. O FBI, por exemplo, reconhece que a IA está revelando pontos fracos que passavam despercebidos há décadas, impactando a governança e a arquitetura de sistemas.

A cobertura anterior do CEVIU, como a matéria de 26 de agosto de 2026, já apontava que a IA tornava a "segurança por obscuridade" ineficaz. Agora, a realidade é mais drástica: não é apenas ineficaz, mas está morta. Temos provas concretas. Modelos de IA estão identificando falhas em componentes obsoletos e de nicho, forçando empresas como Microsoft e Adobe a emitir um número recorde de patches. O que antes era uma preocupação teórica sobre a capacidade da IA em desvendar sistemas, hoje se materializa em um volume sem precedentes de vulnerabilidades.

Um ponto crucial que emerge é a limitação atual da IA na remediação. Enquanto ela se destaca na detecção, estudos da 1Password e Veracode mostram que patches gerados por IA falham em mais da metade das vezes, ou até introduzem novas vulnerabilidades. Isso contrasta com o otimismo inicial sobre o papel da IA em todas as fases da cibersegurança, revelando uma lacuna significativa na capacidade defensiva automatizada, um tema menos aprofundado nas discussões anteriores sobre o impacto geral da IA na segurança.

Para os líderes de TI e segurança, a morte da segurança por obscuridade significa que não há mais esconderijo. Cada sistema, por mais antigo ou obscuro que seja, é agora um alvo potencial visível para a IA, tanto de atacantes quanto de defensores. Isso impõe uma revisão urgente das arquiteturas de segurança, priorizando a transparência e a resiliência sobre a invisibilidade.

O impacto é particularmente crítico para tecnologias operacionais (OT) e sistemas de controle industrial (ICS), historicamente protegidos por protocolos proprietários e hardware especializado. A IA remove essa barreira de conhecimento, permitindo que criminosos, sem expertise em OT, orquestrem ataques destrutivos. É imperativo focar em processos de correção mais dinâmicos, validação rigorosa de patches e, acima de tudo, na prevenção de vulnerabilidades através de melhorias processuais no ciclo de desenvolvimento, em vez de apenas reagir a cada nova descoberta.