Defesa em profundidade precisa operar na velocidade das máquinas, diz a16z

A tese da a16z é direta: a distância entre exploit e correção não fecha com mais esforço de patching. O texto cita dados de remediação lentos. O relatório de violações da Verizon de 2026 aponta mediana de 43 dias para remediação completa, e só 26% das vulnerabilidades já exploradas foram totalmente corrigidas no conjunto analisado. A Veracode, em 2025, calculou 252 dias de média para corrigir falhas, contra 171 dias cinco anos antes. Do outro lado, a Anthropic relatou em outubro que um modelo ainda não lançado gerou um exploit remoto, sem login, para uma falha do kernel Linux em menos de uma hora.

O caso do PHP ilustra o argumento. Em outubro, duas falhas críticas vazaram antes da correção, e as tentativas de exploração começaram quatro dias antes da divulgação. Empresas de hospedagem e CDN bloquearam os ataques na borda, mas entre 2,6 e 4,4 milhões de instalações fora desse guarda-chuva ficaram expostas. Para a TI corporativa, os controles listados são: tirar ativos da internet aberta, segmentar a rede, aplicar virtual patching e migrar para código memory-safe (o Android foi de 76% para 24% de falhas de memória entre 2019 e 2024, segundo o Google). A a16z soma a isso a recuperação: em pesquisa da Sophos de 2024, 94% das vítimas de ransomware disseram que atacantes tentaram comprometer os backups, e 57% dessas tentativas tiveram sucesso. O texto também alerta para a concentração: a maior CDN já fica na frente de um quarto dos sites, e a falha de julho de 2024 da CrowdStrike derrubou cerca de 8,5 milhões de máquinas Windows.

O tema vem sendo construído no CEVIU ao longo de 2026. Em 15 de abril de 2026, o CEVIU noticiou "Preparando seu Programa de Segurança para o Ataque Acelerado por IA", sobre janelas de correção cada vez menores. Em 6 de junho de 2026, em "IA acelera detecção de vulnerabilidades e expõe o limite do patching tradicional", a Red Hat defendia automação event-driven. Em 27 de agosto de 2026, "Ataques com IA encurtam janela de patch, exigindo novo plano de controle de segurança" apontava a exploração em horas. Em 6 de novembro de 2026, "IA encarece a dívida técnica: descoberta de vulnerabilidades ficou mais barata e rápida" tratava do descompasso entre achar e corrigir bugs.

A diferença agora é o foco. A cobertura anterior descrevia o problema e pedia automação do patching. A a16z argumenta que o caminho é reduzir a dependência do patch, com defesas fora do dispositivo, segmentação, virtual patching, eliminação de classes de bug e recuperação testada.

Para quem opera TI corporativa, a leitura é que o indicador de maturidade deixa de ser o tempo médio de aplicação de patch. Passa a importar quanto do parque fica protegido enquanto o patch não chega. Isso significa inventariar o que está exposto, revisar a segmentação (inclusive acessos de terceiros e administradores remotos) e testar restauração de backup com regularidade. Também vale medir a dependência de um único provedor de borda, já que a concentração que ajuda em semanas como a do PHP vira ponto único de falha.