2026-11-04 · Fonte：Computerworld
Quase 48.000 CVEs chegaram em 2025 enquanto a IA arma atacantes e defensores ao mesmo tempo, deixando às equipes de segurança uma crise de capacidade que os playbooks de corrigir tudo já não conseguem absorver.
Cinco dias. É mais ou menos esse o tempo que, em média, uma vulnerabilidade hoje sobrevive sem ser explorada após a divulgação — um colapso no tempo de reação dos atacantes que cai diretamente sobre os ciclos de correção que muitas empresas ainda mantêm em cadência mensal.
O problema de escala se soma ao problema de velocidade. Quase 48.000 CVEs foram publicadas em 2025, e a Patch Tuesday — que um dia ditava o ritmo do mês, com as atualizações chegando, as equipes testando, os comitês de mudança aprovando e as implantações rolando nas semanas seguintes — já não consegue absorver esse volume. O processo nunca foi indolor, mas era previsível.
Essa previsibilidade acabou.
Os profissionais têm um nome para o que tomou seu lugar: o Patch Apocalypse. O rótulo é dramático, mas a realidade operacional por baixo é concreta — problemas de capacidade, priorização e processo desembarcando ao mesmo tempo. Os atacantes não esperam mais que as organizações terminem seus ciclos de teste para agir.
A IA é o acelerador dos dois lados da balança. Pesquisadores do lado defensivo agora usam ferramentas com assistência de IA para analisar código, fazer fuzzing de aplicações e identificar falhas muito mais rápido do que qualquer revisão manual conseguiria; no curto prazo, isso significa mais divulgações chegando mais rápido, em mais softwares. Mas as técnicas idênticas estão ao alcance dos atacantes, que podem usar IA para analisar patches, fazer engenharia reversa das correções e construir exploits funcionais logo depois que uma atualização é lançada. O cronograma se comprime pelas duas pontas ao mesmo tempo.
A receita decorre da aritmética: corrigir tudo não é mais a resposta, e a virada defendida é sair da correção reativa para a automação baseada em risco. O padrão que se desenrola nos ambientes corporativos é claro — a janela entre divulgação e exploração continua encolhendo, e uma vulnerabilidade publicada numa terça-feira pode já ter sido transformada em arma antes que a janela tradicional de mudanças se abra na semana seguinte.
Tags: Patch Tuesday · CVE · AI-Assisted Vulnerability Discovery · Exploit Development · Risk-Based Automation
萬安算交所 AIXX · AIXX · Exchange verificado · Ir ao mercado