IA da OpenAI identifica falha de 14 anos em linguagem de programação utilizada por sites

A descoberta de vulnerabilidades críticas no PHP, uma das linguagens de programação de código aberto mais utilizadas no mundo, gerou um estado de alerta global na infraestrutura da internet. A falha, batizada de php2shell, permaneceu oculta por 14 anos e foi identificada com o auxílio de modelos de inteligência artificial da OpenAI.

A gravidade do problema reside na capacidade de execução remota de código, o que permite que cibercriminosos assumam o controle total de servidores afetados. Estima-se que até 70% dos sites da rede pudessem estar vulneráveis, levando governos e autoridades a recomendarem a instalação imediata de correções ou o isolamento de sistemas.

Impacto financeiro e a corrida pela segurança

A instabilidade gerou reflexos imediatos no mercado financeiro. Ações de empresas especializadas em cibersegurança, como CrowdStrike, Cloudflare, Datadog e Okta, registraram altas de até 7,5% em uma única sessão, impulsionadas pela expectativa de um aumento nos investimentos em proteção de dados.

O cenário foi agravado por uma sequência de incidentes recentes no setor tecnológico, incluindo falhas na cadeia de suprimentos do Microsoft 365 e do WordPress, além de roubo de credenciais no LiteLLM e problemas no Nikkei. Esse clima de instabilidade já vinha crescendo desde que a Anthropic lançou o Mythos, alertando para a existência de inúmeras falhas antigas e não detectadas na web.

O gargalo da implementação e o trabalho voluntário

Embora a PHP Foundation tenha liberado rapidamente os patches de segurança, a implementação prática em milhões de servidores é complexa. Grande parte desse processo de distribuição depende de Ondřej Surý, um engenheiro da República Tcheca que atua de forma altruísta.

Surý é responsável por transformar o código-fonte em pacotes instaláveis, facilitando a atualização para quem não possui conhecimento técnico para compilar o código. Além disso, ele e o colega Remy Hertzog mantêm atualizações para versões da linguagem que já perderam o suporte oficial, auxiliando quem não tem condições de migrar para sistemas novos.

O papel da IA: Ameaça e Defesa

A relação entre a inteligência artificial e a segurança digital tornou-se ambivalente. Se por um lado a IA da OpenAI ajudou a encontrar a falha do PHP após dois meses de coordenação com a fundação, por outro, ela acelera a criação de ataques.

Matthew Prince, CEO da Cloudflare, relatou que, nas primeiras duas horas após o anúncio da falha, as tentativas de exploração saltaram de milhares para milhões. Greg Brockman, presidente da OpenAI, admitiu que o processo de correção manual é lento e propôs a criação de "defensores autorizados" — entidades que poderiam localizar sistemas vulneráveis e aplicar correções remotamente.

Atualmente, a IA já é utilizada na defesa para analisar se a introdução de novos patches em versões antigas gera, involuntariamente, novas brechas.

Vulnerabilidades persistentes e responsabilidade corporativa

Apesar da disponibilidade das correções, a segurança total é considerada inalcançável. Muitos dispositivos, como modems domésticos e aparelhos de casa inteligente, nunca recebem atualizações dos fabricantes, tornando-se vulneráveis permanentemente.

O engenheiro Ondřej Surý critica a dependência da internet em relação ao trabalho voluntário de desenvolvedores de código aberto, enquanto grandes multinacionais lucram com essas ferramentas sem oferecer contrapartida financeira. Para ele, a autonomia dos agentes de IA não deve servir de desculpa para as empresas evitarem a responsabilidade por falhas de segurança.

Surý questiona a sustentabilidade a longo prazo de modelos fechados de fronteira, como os da Anthropic e OpenAI, que dependem fortemente de investidores, e defende a transição para alternativas mais sustentáveis que operem em servidores próprios.