Vulnerabilidades demais, respostas de menos: a lei de Ashby na era da inteligência artificial
Artigo por Luiz F. Freitas-Gutierres
Os avanços da inteligência artificial (IA) na descoberta de vulnerabilidades são notáveis — sobretudo na análise de código-fonte e no apoio a testes e varreduras automatizadas. Isso, entretanto, impõe um desafio: transformar um volume crescente de achados em decisões, respostas e remediações. Na plataforma HackerOne, por exemplo, o aumento das submissões de relatórios de falhas de segurança tem sido acompanhado pelo crescimento do número de vulnerabilidades confirmadas, mas a capacidade de remediação não tem avançado no mesmo ritmo1. Ademais, nem todo alerta é uma vulnerabilidade de fato, e nem toda a vulnerabilidade apresenta o mesmo grau de severidade ou implica o mesmo risco para os ativos, sistemas e serviços de uma organização.
Como analogia, imagine um hospital que recebe dezenas de pacientes em um único dia. Alguns apresentam sintomas leves; já outros precisam de atendimento especializado; e há casos que exigem intervenção imediata. Aumentar o número de profissionais responsáveis pela triagem pode ajudar na identificação rápida de casos graves. Mas isso não significa que o hospital disponha de leitos, equipamentos, recursos humanos ou salas cirúrgicas suficientes para atender a todos. Reconhecer corretamente uma demanda não é equivalente a dispor dos meios para atendê-la. Como formulou William Ross Ashby na Lei da Variedade Requerida2, um sistema necessita dispor de capacidade regulatória3 suficientemente diversificada para enfrentar a variedade de perturbações que ameaçam sua lógica de funcionamento. Aqui, “variedade” não se traduz simplesmente em quantidade numérica. Cem problemas similares podem exigir uma mesma solução, ao passo que dez problemas diferentes podem requerer dez estratégias de resolução distintas. O cerne da questão está em quantas situações diferentes precisam ser enfrentadas e não no volume de problemas existentes. Sob esse viés, lidar com a complexidade da inundação informacional envolve tanto atenuar as perturbações críticas quanto ampliar o repertório de respostas.
Na cibersegurança, isso ajuda a compreender por que descobrir mais vulnerabilidades não produz, por si só, maior capacidade defensiva. É necessário interpretar e validar os achados, eliminar duplicatas, avaliar sua severidade e encaminhá-los às equipes responsáveis. Mesmo quando uma vulnerabilidade é confirmada, sua remediação depende de processos e recursos organizacionais, sobremaneira para separar o ruído dos achados reais que exigem ação a curto prazo, assim como para definir soluções e verificar sua eficácia.
O projeto “curl” ilustra como o desequilíbrio pode começar na triagem4. Em janeiro de 2026, o encerramento do programa de bug bounty desse projeto foi anunciado, citando, entre os motivos, a sobrecarga causada por relatórios de baixa qualidade gerados com IA — fenômeno conhecido em inglês por artificial intelligence slop. Segundo o relato4, a proporção de submissões confirmadas como vulnerabilidades, antes superior a 15%, caiu para menos de 5% a partir de 2025. Contudo, o cenário evoluiu rapidamente: em abril de 2026, o próprio mantenedor relatou que, após retornar à plataforma HackerOne em março de 2026 (sem restabelecimento das recompensas financeiras), os informes de baixa qualidade haviam cedido lugar a um volume crescente de relatórios mais consistentes5. Essa melhora não eliminou a pressão sobre os responsáveis, pois o aumento de achados reais também ampliou o trabalho necessário para avaliá-los e corrigi-los.
Em maior escala, dados divulgados pela HackerOne em abril de 20261 apontam para um crescimento dos achados válidos (um aumento de submissões de 76% entre março de 2025 e março de 2026, com manutenção da taxa de validação na ordem de 25%), não acompanhado, no mesmo ritmo, pelo aumento de resoluções e correções de vulnerabilidades (cerca de 19% dentro do mesmo período de análise). Daqui depreendem-se dois entraves: (a) relatórios inconsistentes consomem a capacidade de triagem, e (b) vulnerabilidades reais, por sua vez, exigem capacidade regulatória (de resposta). Mais do que isso, uma vulnerabilidade validada que permanece sem tratamento prolonga a exposição da organização a riscos cibernéticos, a depender das condições de explorabilidade dessa brecha. Alinhado a isso, a mesma IA que amplia as capacidades dos pesquisadores de segurança cibernética e blue teams também pode ser empregada por adversários, o que a torna uma tecnologia dual e reforça a importância de reduzir o intervalo entre a descoberta e o tratamento das vulnerabilidades. Contudo, há que se ponderar que sua utilização também tem introduzido erros e prejudicado determinadas operações de cibercriminosos6.
Diante da expansão da capacidade de descobrir vulnerabilidades, um dos caminhos passa pelo autoconhecimento da instituição. Não basta conhecer as falhas e identificar em quais tecnologias elas estão presentes; é necessário compreender o papel dessas tecnologias na sustentação dos serviços, suas interdependências e as consequências de um possível comprometimento. Filtrar o ruído é parte desse esforço, mas não o esgota: mesmo entre os achados válidos, é preciso distinguir o que pode aguardar daquilo que exige intervenção prioritária, considerando os recursos disponíveis e o que está em jogo. Esse discernimento exige que a organização olhe não apenas para suas fragilidades, mas também para suas finalidades. O que precisa continuar funcionando? Quais serviços não podem ser interrompidos? Que consequências não estamos dispostos a aceitar? Portanto, priorizar vulnerabilidades é também explicitar o que se considera indispensável preservar. À luz de Ashby, esse autoconhecimento orienta a construção de um repertório de respostas adequado às perturbações que ameaçam aquilo que a instituição precisa proteger e respalda a alocação de recursos conforme os riscos identificados.
Referências:
(1) Rice, A. (2026, April 15). The Vulnerability Apocalypse Is a Remediation Crisis. HackerOne. https://www.hackerone.com/blog/continuous-threat-exposure-management-remediation-crisis
(2) Ashby, W. R. (1956). An Introduction to Cybernetics. Chapman & Hall.
(3) No contexto da cibernética, “regulatória” refere-se à tomada de decisão e ao controle sobre processos.
(4) Stenberg, D. (2026, January 26). The End of the curl Bug-Bounty. daniel.haxx.se.
https://daniel.haxx.se/blog/2026/01/26/the-end-of-the-curl-bug-bounty
(5) Stenberg, D. (2026, April 22). High-Quality Chaos. daniel.haxx.se. https://daniel.haxx.se/blog/2026/04/22/high-quality-chaos
(6) Nelson, N. (2026, October 15). AI Slop Isn’t Just for Social Media; It’s Ruining Cyberattacks, Too. Dark Reading. https://www.darkreading.com/threat-intelligence/ai-slop-ruining-cyberattacks
Luiz F. Freitas-Gutierres é pesquisador do Think Tank da Associação Brasileira das Empresas de Software (ABES), professor adjunto no Departamento de Eletromecânica e Sistemas de Potência (DESP) e professor permanente do Programa de Pós-Graduação em Ciência da Computação (PPGCC) da Universidade Federal de Santa Maria (UFSM). As opiniões expressas neste artigo não refletem, necessariamente, os posicionamentos da Associação.
