O bug de anos atrás que só virou crise com IA no meio
Falhas do PHP conhecidas desde 2024 ficaram anos sem conserto porque ninguém conseguia explorá-las. A IA mudou essa conta, e isso diz mais sobre sua fila de correções do que sobre o PHP.
Rafael MilagreFounder do Viver de IA
O essencial antes de continuar
A Calif usou IA de ponta para transformar falhas do PHP conhecidas desde 2024 em ataques práticos.
OpenAI e Wiz, empresa de segurança do Google, chegaram às mesmas falhas de forma independente, também com IA.
Milhões de tentativas de exploração ocorreram em horas após a divulgação pública.
O problema não era o bug, era o critério que o deixava esperando
Pesquisadores da Calif usaram IA de ponta, em parte dentro do programa Patch the Planet da OpenAI, para transformar em ataque prático falhas do PHP conhecidas, ao menos em parte, desde 2024. Depois disso, equipes da OpenAI e da Wiz, empresa de segurança que pertence ao Google, chegaram às mesmas falhas de forma independente, também usando IA.
Um pesquisador da Wiz explicou por que o bug sobreviveu tanto tempo: a equipe do PHP já o conhecia havia anos, mas não corrigia porque nenhum atacante humano conseguia explorá-lo na prática. O risco não nasceu agora, ficou parado na fila por parecer teórico demais para priorizar.
O que isso expõe é um critério de priorização que empresa nenhuma documenta por escrito, mas que todo time de tecnologia usa no dia a dia: risco sem exploração conhecida vira risco baixo na planilha. Esse critério parava de valer no momento em que uma ferramenta de IA passa a fazer, em semanas, o trabalho que antes exigia conhecimento raro e tempo que ninguém tinha para gastar num bug antigo.
Reabra a lista de riscos marcados como teóricos
Peça ao time técnico a lista de vulnerabilidades já documentadas, mas adiadas por parecerem difíceis demais de explorar na prática.
Para cada item da lista, pergunte quando alguém tentou reproduzir um ataque real contra ela usando uma ferramenta de IA atual, e não apenas o julgamento humano registrado há anos.
Se a resposta for nunca, trate esse item como candidato a subir de prioridade nesta rodada de correções, antes que alguém de fora faça esse teste primeiro.