IA na descoberta de vulnerabilidades: por que a exploração em ataques ainda permanece limitada

A incorporação da inteligência artificial aos processos de pesquisa de vulnerabilidades provocou um intenso debate dentro da indústria de segurança da informação. À medida que modelos de IA se tornam mais capazes de analisar código, identificar padrões e acelerar atividades de pesquisa, cresce também a preocupação de que essas mesmas capacidades possam ampliar significativamente o potencial ofensivo dos cibercriminosos.

Nos últimos anos, diversos especialistas passaram a alertar para um possível aumento exponencial na descoberta de falhas exploráveis, cenário frequentemente descrito como uma avalanche de novas vulnerabilidades impulsionadas pela IA. A hipótese sugere que ferramentas baseadas em modelos avançados poderiam reduzir drasticamente o tempo necessário para localizar defeitos em softwares, criando uma pressão inédita sobre fabricantes, pesquisadores e equipes responsáveis pela correção dessas falhas.

Entretanto, os dados apresentados pela VulnCheck em seu relatório State of Exploitation H1 2026 mostram um cenário mais complexo do que as previsões mais pessimistas sugeriam. Embora a inteligência artificial esteja efetivamente sendo utilizada para apoiar a descoberta de vulnerabilidades, as evidências coletadas indicam que isso ainda não resultou em um crescimento proporcional da exploração dessas falhas em ataques reais.

Os resultados sugerem que, pelo menos no primeiro semestre de 2026, a IA tem contribuído mais para fortalecer a capacidade dos pesquisadores em localizar problemas de segurança do que para oferecer uma vantagem operacional imediata aos atacantes.

Os números que desafiam a hipótese de um “vulnpocalipse”

Um dos principais pontos apresentados pela pesquisa envolve a comparação entre vulnerabilidades descobertas com auxílio de inteligência artificial e aquelas identificadas por métodos tradicionais.

Segundo Patrick Garrity, pesquisador de vulnerabilidades da VulnCheck, foram identificadas 1.061 vulnerabilidades atribuídas à descoberta assistida por IA. Deste universo, apenas 14 tiveram exploração confirmada em ataques reais.

Na prática, isso representa uma taxa de exploração de aproximadamente 1,3%. O aspecto mais relevante não é apenas o percentual em si, mas o fato de ele permanecer praticamente alinhado à taxa geral de exploração observada para todas as vulnerabilidades analisadas durante o mesmo período.

Esse resultado enfraquece, ao menos com base nas evidências atualmente disponíveis, a expectativa de que a IA esteja produzindo uma quantidade significativamente maior de vulnerabilidades imediatamente aproveitadas por agentes maliciosos.

Descobrir vulnerabilidades não significa aumentar automaticamente os ataques

Os dados apresentados pela VulnCheck reforçam uma distinção importante entre dois conceitos frequentemente tratados como equivalentes: descoberta de vulnerabilidades e exploração efetiva dessas vulnerabilidades.

Identificar uma falha representa apenas uma etapa dentro de um processo muito mais amplo. Para que uma vulnerabilidade passe a fazer parte de ataques reais, diversos fatores precisam convergir, incluindo a confirmação técnica da falha, a existência de condições práticas para exploração e sua adoção por grupos ofensivos.

O relatório mostra que o crescimento das capacidades de pesquisa apoiadas por IA não implica, necessariamente, um crescimento proporcional da atividade criminosa. Em vez disso, os números sugerem que a descoberta acelerada pode ampliar a visibilidade sobre riscos existentes antes que eles sejam efetivamente incorporados ao arsenal utilizado em ataques.

O caso do Projeto Glasswing da Anthropic

Outro dado relevante citado pela pesquisa envolve os resultados obtidos pelo Projeto Glasswing, iniciativa da Anthropic voltada para a identificação de vulnerabilidades com apoio de inteligência artificial.

Segundo os números apresentados pela VulnCheck, a Anthropic reportou mais de 23.000 descobertas por meio do projeto. Entretanto, apenas 126 dessas descobertas resultaram em estudos de vulnerabilidade ambiental publicados.

Mais significativo ainda é o fato de que somente uma dessas vulnerabilidades teve confirmação de exploração em ambiente real.

Esses números demonstram que existe uma diferença expressiva entre o volume bruto de descobertas produzidas durante processos automatizados de pesquisa e o pequeno conjunto de vulnerabilidades que efetivamente se transforma em risco operacional observado na natureza.

A vantagem permanece com os defensores

Com base nas evidências analisadas durante o primeiro semestre de 2026, Patrick Garrity conclui que os modelos de IA de ponta apresentam maior probabilidade de beneficiar as equipes responsáveis pelo fortalecimento do software do que oferecer uma vantagem equivalente aos atacantes.

Essa conclusão acrescenta um elemento importante ao debate atual sobre inteligência artificial aplicada à segurança. Em vez de confirmar um cenário de aumento imediato da exploração em massa, os dados indicam que a IA está sendo utilizada para ampliar a capacidade de identificação antecipada de vulnerabilidades.

Na prática, isso significa que fabricantes e pesquisadores podem localizar problemas antes que eles sejam explorados em larga escala, ampliando a oportunidade para desenvolvimento de correções e mitigação dos riscos.

O crescimento das KEVs não acompanha o aumento do volume de CVEs

Além da análise sobre as vulnerabilidades descobertas com apoio da inteligência artificial, o relatório State of Exploitation H1 2026 dedica atenção à evolução das Known Exploited Vulnerabilities (KEVs), conjunto de vulnerabilidades para as quais já existem evidências concretas de exploração em ataques reais. A comparação entre a quantidade de novas CVEs publicadas e o número de KEVs identificadas oferece uma perspectiva importante sobre como o cenário de ameaças está evoluindo.

Segundo a VulnCheck, quase 500 KEVs foram identificadas durante o primeiro semestre de 2026. Embora esse número demonstre que a exploração continua sendo uma preocupação relevante para organizações de todos os setores, os dados indicam que o crescimento das explorações não ocorre na mesma velocidade em que cresce o universo de vulnerabilidades catalogadas.

Essa distinção é particularmente importante para equipes responsáveis pela gestão de vulnerabilidades. O aumento contínuo da quantidade de CVEs pode criar a percepção de que toda nova vulnerabilidade representa um risco operacional imediato. Entretanto, o relatório mostra que a simples publicação de uma CVE não significa automaticamente que ela será incorporada às campanhas de ataque observadas na prática.

Do ponto de vista estratégico, essa diferença reforça a importância da priorização baseada em inteligência de ameaças. Em vez de tratar todas as vulnerabilidades com o mesmo nível de urgência, as organizações precisam compreender quais delas apresentam evidências concretas de exploração e quais permanecem apenas como riscos potenciais.

A janela entre divulgação e exploração continua diminuindo

Embora a proporção de vulnerabilidades efetivamente exploradas permaneça relativamente estável, outro indicador chama atenção no levantamento da VulnCheck: o tempo necessário para que uma vulnerabilidade passe da divulgação pública para a exploração conhecida continua diminuindo.

O relatório mostra que o intervalo médio entre a publicação de uma CVE e sua identificação como KEV caiu de 120 dias, em 2025, para 80 dias durante o primeiro semestre de 2026.

Essa redução representa uma mudança relevante para as equipes de segurança. Independentemente da quantidade total de vulnerabilidades exploradas, uma janela menor entre divulgação e exploração reduz o tempo disponível para análise, avaliação de impacto, testes internos e aplicação das correções necessárias.

Em termos operacionais, esse comportamento reforça a necessidade de processos maduros de gerenciamento de vulnerabilidades. Organizações que dependem de ciclos longos de atualização ou que possuem ambientes complexos podem enfrentar maior dificuldade para responder dentro desse intervalo cada vez menor.

Explorações no mesmo dia continuam representando um desafio

Outro indicador analisado pela VulnCheck diz respeito às vulnerabilidades que apresentam evidências de exploração no próprio dia da divulgação da CVE ou até mesmo antes de sua publicação oficial.

Durante o primeiro semestre de 2026, 23,43% das KEVs registradas apresentaram exploração no dia da publicação da CVE ou anteriormente. Em 2025, esse percentual havia sido de 28,93%.

Embora o relatório registre uma pequena redução nessa comparação, o percentual continua representando um desafio significativo para programas de defesa. Quando a exploração ocorre praticamente de forma simultânea à divulgação pública, o tempo disponível para reação torna-se extremamente limitado.

Essa característica evidencia que determinadas vulnerabilidades podem já estar sendo utilizadas antes mesmo de serem amplamente conhecidas pela comunidade de segurança, exigindo processos contínuos de monitoramento e capacidade rápida de resposta sempre que novas informações técnicas são disponibilizadas.

A exploração inicial permaneceu estável mesmo com o aumento das CVEs

Outro aspecto observado pelo pesquisador Patrick Garrity envolve o comportamento da exploração durante o início do ciclo de vida das vulnerabilidades.

Segundo o relatório, aproximadamente 200 CVEs foram exploradas dentro dos primeiros 31 dias após sua divulgação durante o primeiro semestre de 2026. Esse comportamento permaneceu praticamente estável, apesar do crescimento no volume geral de novas CVEs publicadas.

Ao comentar esse resultado, Garrity destaca que a atividade de exploração inicial não cresceu na mesma proporção que a emissão de CVEs. Essa observação acrescenta um elemento importante ao debate sobre o impacto da expansão contínua do catálogo de vulnerabilidades.

Na prática, os dados sugerem que um maior número de vulnerabilidades registradas não implica automaticamente um crescimento equivalente na quantidade de falhas efetivamente utilizadas por agentes maliciosos durante as fases iniciais de seu ciclo de vida.

Priorização baseada em risco torna-se ainda mais relevante

Os indicadores apresentados pela VulnCheck reforçam que o desafio atual das organizações não está apenas em acompanhar o crescimento do número de CVEs, mas principalmente em identificar quais vulnerabilidades representam risco concreto de exploração.

Em ambientes corporativos, recursos técnicos e operacionais são naturalmente limitados. Equipes de segurança precisam decidir continuamente quais vulnerabilidades devem receber tratamento imediato e quais podem ser corrigidas dentro de ciclos planejados de manutenção.

Nesse contexto, a inteligência sobre KEVs assume papel estratégico. A identificação de vulnerabilidades que já apresentam evidências reais de exploração permite direcionar esforços para situações que oferecem maior potencial de impacto operacional, reduzindo o risco de dispersar recursos em correções cuja urgência prática pode ser significativamente menor.

O relatório da VulnCheck não sugere que vulnerabilidades sem exploração conhecida possam ser ignoradas. Em vez disso, os dados demonstram que compreender o comportamento da exploração é um componente essencial para tornar os programas de gerenciamento de vulnerabilidades mais eficientes e alinhados ao cenário real de ameaças.

Os sistemas de gerenciamento de conteúdo continuam sendo o principal alvo

Além de avaliar a velocidade da exploração e o impacto da inteligência artificial na descoberta de vulnerabilidades, o relatório da VulnCheck também identifica quais categorias de tecnologias concentraram o maior número de Known Exploited Vulnerabilities (KEVs) durante o primeiro semestre de 2026. Essa análise oferece uma visão importante sobre onde os ataques efetivamente ocorreram, permitindo que organizações direcionem melhor seus esforços de monitoramento e mitigação.

De acordo com os dados apresentados, os sistemas de gerenciamento de conteúdo (CMS) permaneceram como a categoria tecnológica mais visada. Foram registrados 163 KEVs, correspondendo a aproximadamente um terço de todas as vulnerabilidades exploradas conhecidas catalogadas pela VulnCheck no período.

Esse resultado demonstra que plataformas amplamente utilizadas para publicação e gerenciamento de conteúdo continuam ocupando posição de destaque no cenário de ameaças observado pela pesquisa. A elevada concentração de KEVs nessa categoria evidencia que essas tecnologias permanecem entre os principais focos de exploração monitorados durante o primeiro semestre de 2026.

Para organizações que utilizam CMS como parte de sua infraestrutura digital, os dados reforçam a importância de acompanhar continuamente a divulgação de vulnerabilidades, bem como a existência de evidências concretas de exploração associadas a esses produtos.

Dispositivos de borda, sistemas operacionais e softwares de servidor permanecem relevantes

Depois dos sistemas de gerenciamento de conteúdo, o relatório aponta outras categorias tecnológicas que também concentraram um número significativo de vulnerabilidades exploradas.

Os dispositivos de borda de rede aparecem em seguida, com 68 KEVs. Logo depois estão os sistemas operacionais, com 44 KEVs, e os softwares de servidor, responsáveis por 40 KEVs durante o período analisado.

Embora o relatório não aprofunde as razões específicas para essa distribuição, os números permitem observar que a exploração conhecida continua distribuída entre diferentes componentes fundamentais da infraestrutura de TI. Em conjunto, essas categorias representam tecnologias que desempenham funções essenciais na operação dos ambientes corporativos.

Para as equipes responsáveis pelo gerenciamento de vulnerabilidades, esses dados reforçam que programas eficazes de proteção precisam considerar diferentes camadas da infraestrutura, acompanhando continuamente a evolução das vulnerabilidades que apresentam evidências reais de exploração.

Produtos baseados em IA surgem como uma nova superfície de ataque

Outro aspecto destacado pela VulnCheck é o surgimento dos produtos de inteligência artificial como uma nova superfície de ataque observada no ecossistema de segurança.

O relatório identifica a existência de explorações conhecidas envolvendo tecnologias relacionadas à IA, indicando que esse segmento começa a integrar o conjunto de produtos acompanhados sob a perspectiva da exploração de vulnerabilidades.

Entre os exemplos citados estão ferramentas de modelagem, plataformas de escalonamento de carga de trabalho, gateways de IA, agentes e soluções voltadas para automação de fluxo de trabalho.

Embora o documento não apresente detalhes adicionais sobre cada uma dessas explorações, sua inclusão no levantamento demonstra que a expansão da inteligência artificial também amplia o conjunto de tecnologias que passam a exigir acompanhamento contínuo por parte das equipes de segurança.

A expansão da IA amplia o escopo do gerenciamento de vulnerabilidades

Os dados apresentados pela VulnCheck mostram que a discussão sobre inteligência artificial não está limitada apenas ao uso da IA para descobrir vulnerabilidades. À medida que novas plataformas e componentes baseados nessa tecnologia passam a integrar os ambientes corporativos, eles próprios tornam-se elementos sujeitos ao ciclo tradicional de identificação, divulgação e exploração de vulnerabilidades.

Essa observação acrescenta uma nova dimensão ao gerenciamento de riscos. Organizações que incorporam soluções de IA em seus processos passam a administrar não apenas os benefícios operacionais dessas tecnologias, mas também a necessidade de acompanhar vulnerabilidades que possam afetar esses novos componentes.

Ao mesmo tempo, o relatório não estabelece uma relação entre essa nova superfície de ataque e um crescimento desproporcional da exploração. Os dados apenas indicam que produtos relacionados à inteligência artificial já aparecem entre as tecnologias afetadas por vulnerabilidades exploradas conhecidas.

Essa distinção é importante para evitar interpretações exageradas. O surgimento de uma nova superfície de ataque significa que novas tecnologias passam a fazer parte do processo contínuo de gerenciamento de vulnerabilidades, e não necessariamente que elas estejam alterando, por si só, a dinâmica geral da exploração observada no período.

Os resultados reforçam uma visão baseada em evidências

Ao reunir indicadores sobre descoberta assistida por IA, evolução das KEVs, velocidade de exploração e categorias tecnológicas afetadas, o relatório da VulnCheck apresenta um panorama fundamentado em evidências observadas durante o primeiro semestre de 2026.

Os números mostram que a utilização da inteligência artificial na pesquisa de vulnerabilidades ainda não se traduziu em um aumento proporcional da exploração em ataques reais. Da mesma forma, embora o intervalo entre a divulgação de uma CVE e sua exploração conhecida tenha diminuído, a atividade inicial de exploração permaneceu estável quando comparada ao crescimento do volume de novas CVEs.

Esses resultados contribuem para uma avaliação mais equilibrada do impacto atual da IA na segurança cibernética. Em vez de confirmar um cenário de exploração em massa impulsionada por modelos avançados, o levantamento destaca a importância de analisar dados concretos para compreender como as vulnerabilidades evoluem ao longo de seu ciclo de vida.

O que os resultados significam para as organizações

As evidências apresentadas pela VulnCheck indicam que a evolução da inteligência artificial deve ser analisada com cautela quando o tema é exploração de vulnerabilidades. Embora ferramentas baseadas em IA estejam ampliando a capacidade de pesquisa e identificação de falhas, os números observados no primeiro semestre de 2026 não sustentam a percepção de que essa evolução tenha provocado, até o momento, um aumento proporcional das explorações em ataques reais.

Os dados mostram que apenas 14 das 1.061 vulnerabilidades atribuídas à descoberta assistida por IA tiveram exploração confirmada, correspondendo a uma taxa de aproximadamente 1,3%. Segundo o relatório, esse percentual permanece alinhado à taxa geral de exploração registrada para o conjunto das vulnerabilidades analisadas no mesmo período.

Da mesma forma, o levantamento referente ao Projeto Glasswing demonstra que um elevado volume de descobertas não se traduz automaticamente em vulnerabilidades exploradas. Entre mais de 23.000 descobertas reportadas pela Anthropic, apenas 126 resultaram em estudos de vulnerabilidade ambiental publicados e somente uma apresentou confirmação de exploração na natureza.

Esses resultados reforçam que a descoberta de vulnerabilidades representa apenas uma etapa dentro do ciclo de gerenciamento de riscos. A existência de uma falha não implica, por si só, que ela será incorporada às campanhas observadas em ambiente real.

A velocidade da exploração continua exigindo atenção

Embora a pesquisa não identifique um crescimento proporcional da exploração em relação ao aumento das CVEs, ela evidencia uma redução no intervalo médio entre a publicação de uma vulnerabilidade e sua identificação como vulnerabilidade explorada conhecida (KEV). A queda de 120 dias, observada em 2025, para 80 dias no primeiro semestre de 2026 demonstra que as organizações dispõem de uma janela menor para responder aos riscos identificados.

O relatório também aponta que 23,43% das KEVs registradas apresentaram evidências de exploração no mesmo dia da publicação da CVE ou anteriormente. Apesar de representar uma redução em relação aos 28,93% observados em 2025, o indicador mostra que uma parcela significativa das vulnerabilidades exploradas continua exigindo respostas rápidas por parte das equipes de segurança.

Outro dado relevante é que aproximadamente 200 CVEs foram exploradas dentro dos primeiros 31 dias após sua divulgação, comportamento que permaneceu estável mesmo diante do crescimento do número total de CVEs emitidas. Conforme destacado por Patrick Garrity, a atividade de exploração inicial não cresceu na mesma proporção que a emissão de novas vulnerabilidades.

Em conjunto, esses indicadores reforçam a importância de acompanhar continuamente a evolução das vulnerabilidades que apresentam evidências concretas de exploração, permitindo que os esforços de correção sejam direcionados de acordo com o risco efetivamente observado.

A expansão da IA amplia o escopo da gestão de vulnerabilidades

O relatório também evidencia que a inteligência artificial passa a ocupar dois papéis distintos dentro do cenário de segurança. De um lado, ela é utilizada como ferramenta de apoio para pesquisadores na identificação de vulnerabilidades. De outro, produtos baseados em IA começam a aparecer como uma nova superfície de ataque, com explorações conhecidas envolvendo ferramentas de modelagem, plataformas de escalonamento de carga de trabalho, gateways de IA, agentes e soluções de automação de fluxo de trabalho.

Essa evolução amplia o escopo das atividades de gerenciamento de vulnerabilidades, exigindo que organizações acompanhem não apenas o impacto da IA na pesquisa de falhas, mas também a segurança dos próprios componentes baseados nessa tecnologia que passam a integrar ambientes corporativos.

Ao mesmo tempo, os dados apresentados pela VulnCheck não indicam que essa nova superfície de ataque esteja alterando, por si só, o comportamento geral da exploração de vulnerabilidades. O levantamento limita-se a registrar que esses produtos já fazem parte do conjunto de tecnologias afetadas por vulnerabilidades exploradas conhecidas durante o período analisado.

Conclusão

O relatório State of Exploitation H1 2026, da VulnCheck, oferece uma visão baseada em evidências sobre um dos debates mais relevantes da segurança cibernética atual: o impacto da inteligência artificial na descoberta e exploração de vulnerabilidades.

Os dados apresentados mostram que, até o momento, a utilização de IA para pesquisa de vulnerabilidades não resultou em um aumento proporcional da exploração em ataques reais. A taxa de aproximadamente 1,3% das vulnerabilidades descobertas com auxílio de IA exploradas na prática permanece alinhada ao comportamento observado para o conjunto das vulnerabilidades analisadas.

Ao mesmo tempo, o levantamento demonstra que o intervalo entre a divulgação de uma CVE e sua exploração continua diminuindo, reforçando a necessidade de processos ágeis de monitoramento e resposta. Também evidencia que sistemas de gerenciamento de conteúdo permanecem como a categoria tecnológica com maior número de KEVs, enquanto produtos relacionados à inteligência artificial começam a surgir como uma nova superfície de ataque acompanhada pela comunidade de segurança.

Em conjunto, os resultados sugerem que, no cenário observado durante o primeiro semestre de 2026, a inteligência artificial tende a oferecer uma contribuição mais significativa para pesquisadores e defensores na identificação antecipada de vulnerabilidades do que uma vantagem equivalente para agentes responsáveis por ataques, acrescentando uma perspectiva fundamentada por dados ao debate sobre o papel da IA na segurança cibernética.