A janela para aplicação de patches foi encerrada. Veja como a F5 está preparada para o que vem a seguir.

Kunal AnandDiretor de Produto | F5

Há uma linha de código no FFmpeg que ferramentas automatizadas de fuzzing já testaram cerca de cinco milhões de vezes. Um bug de 16 anos permaneceu nessa linha sem ser detectado. Nada o sinalizou. Então, a Anthropic direcionou seu novo modelo Claude Mythos Preview para a base de código, e o modelo leu o código, analisou o que ele pretendia fazer e encontrou a falha. Também encontrou milhares de outras vulnerabilidades até então desconhecidas em todos os principais sistemas operacionais e navegadores. Uma delas estava presente no OpenBSD havia 27 anos. A OpenAI e outras empresas estão desenvolvendo recursos equivalentes.

Este não é um momento restrito a um único fornecedor.

Este é o momento em que a dinâmica da segurança de software mudou.

A matemática que importa

O Relógio do Dia Zero de Sergej Epp, baseado em 3.515 pares de CVE e exploits da CISA KEV, VulnCheck KEV e XDB, conta essa história em quatro números:

1. Em 2018, o tempo mediano entre a divulgação de uma vulnerabilidade e a primeira exploração observada era de 771 dias. As organizações tinham mais de dois anos para aplicar as correções.
2. Em 2023, esse intervalo havia caído para 6 dias.
3. Em 2024, esse intervalo era de 4 horas.
4. Em 2025, muitas vulnerabilidades exploradas foram transformadas em armas antes de serem divulgadas publicamente.

Enquanto isso, uma organização típica ainda leva 20 dias para testar e implantar uma correção. A maioria consegue corrigir apenas cerca de 10% das novas vulnerabilidades por mês. Não é possível eliminar essa lacuna aplicando correções mais rapidamente. Nem trimestralmente. Nem mensalmente. Nem mesmo, sendo realista, semanalmente.

Essa conta não fecha.

Por que a IA favorece o ataque

Há uma razão mais profunda pela qual a IA acelera o ataque mais rapidamente do que a defesa, e todo líder de segurança deve compreendê-la.

O ataque conta com o verificador mais barato da cibersegurança. A exploração foi bem-sucedida? A resposta é binária e instantânea. Ou você conseguiu acesso ao shell, ou não. O aprendizado de máquina se potencializa com esse tipo de sinal.

A defesa enfrenta o problema oposto. Este alerta é real? Este sistema é seguro? O feedback é ambíguo, lento e caro. Sinal ruidoso, ciclo interrompido. A IA funciona melhor no lado que conta com um verificador confiável, razão pela qual a exploração assistida por IA se industrializou mais rapidamente do que a defesa assistida por IA.

Esta é a verdade estrutural por trás dos números da Mythos. A Anthropic não construiu uma arma. Um modelo de fronteira de uso geral simplesmente se tornou bom o bastante em ler código para acentuar ainda mais a assimetria de verificação em favor dos atacantes.

Todos os laboratórios que desenvolvem modelos de fronteira ultrapassarão esse limiar e, considerando o estágio atual das curvas de capacidade, minha previsão (uma especulação, mas também a premissa de planejamento com a qual estou trabalhando) é que, dentro de 12 meses, existirão modelos de código aberto com capacidades de raciocínio sobre código comparáveis às do Mythos — modelos que qualquer pessoa com uma GPU poderá executar localmente e sem supervisão.

O que precisa mudar

Esse é o cronograma em torno do qual todos os fornecedores de software e todas as equipes de segurança corporativa devem se organizar. Então, o que precisa mudar?

A forma como testamos o código: A análise estática e os testes de invasão periódicos foram concebidos para um mundo em que a descoberta de vulnerabilidades era lenta e cara. Esse mundo não existe mais. Os testes precisam se tornar contínuos, orientados por IA e baseados em raciocínio. Modelos devem rastrear caminhos de execução, encadear fluxos e encontrar a cadeia de exploração, não apenas a falha isolada. A correspondência de padrões é apenas o requisito mínimo. O raciocínio é o novo padrão.

A forma como desenvolvemos código: A segurança não pode continuar sendo uma barreira no fim do pipeline. Ela deve fazer parte do próprio processo de escrita, com ferramentas assistidas por IA sinalizando estruturas arriscadas antes que sejam incorporadas ao código.

A forma como distribuímos código: Os prazos de divulgação, a frequência das atualizações e as práticas de gerenciamento de frotas foram todos definidos para um ritmo mais lento. Todo fornecedor de software precisa se perguntar com honestidade se seus processos atuais resistem em um mundo no qual a exploração da vulnerabilidade ocorre antes da publicação do alerta.

Isso se aplica ao código que ainda não lançamos. A questão igualmente difícil é o que fazer com o código que já está em produção. É aí que acontece a verdadeira mudança. E é também aí que a F5 está preparada para liderar.

O ambiente de execução é a resposta

Quando a janela de aplicação de patches se encerra, o caminho do tráfego permanece. Isso não é um recurso alternativo. Na nova lógica, ele é o controle principal.

A proteção em tempo de execução inverte a assimetria da verificação. Em vez de questionar se existe uma falha hipotética em algum ponto da base de código, o ambiente de execução observa o que uma aplicação faz e intervém quando o comportamento se desvia do esperado. O sinal é concreto. O feedback é claro. Um invasor pode encontrar mil vulnerabilidades de dia zero no seu código, mas, se a exploração não conseguir percorrer o caminho dos dados, a falha não se transforma em uma violação de segurança.

A F5 está presente no caminho dos dados há 30 anos. F5 BIG-IP, F5 NGINX, e F5 Distributed Cloud Services — a F5 Application Delivery and Security Platform — foram criados exatamente para essa camada. A decisão arquitetônica que tomamos — de que a aplicação deve ser protegida por onde o tráfego flui — é a mais importante em uma era na qual o código não pode ser corrigido com rapidez suficiente. Tudo o que estamos fazendo agora em gerenciamento de tráfego de IA e segurança em tempo de execução estende essa mesma decisão às cargas de trabalho que os clientes estão criando hoje.

O que estamos fazendo com nosso próprio código

Também estamos fazendo nossa parte do outro lado da equação. Como parte de nossa prática operacional, executamos modelos de IA de fronteira em nossa própria base de código.

Os modelos leem o código-fonte diretamente, rastreiam fluxos de risco entre módulos e linguagens e analisam detalhes reais da implementação. Uma segunda etapa de verificação separa os sinais relevantes do ruído. As descobertas são classificadas com mapeamentos CWE, níveis de gravidade, referências a arquivos e linhas e contexto de explorabilidade, sendo encaminhadas diretamente para correções priorizadas.

O objetivo não é encontrar falhas isoladas. Trata-se de descobrir cadeias de exploração, priorizar o que importa e transformar as descobertas em código mais seguro. Cada ciclo constrói uma base de conhecimento que torna o próximo mais rápido e preciso. À medida que os modelos de ponta evoluem, a forma como os utilizamos também evolui. Nossa base de código sempre será testada com as melhores ferramentas e os melhores modelos disponíveis, porque é exatamente isso que os adversários usarão.

O custo e quem arca com ele

Quero ser direto sobre o que isso significa para os clientes.

A divulgação de mais vulnerabilidades não é sinal de um software mais fraco. É sinal de processos mais robustos. Cada falha que encontramos e corrigimos antes que um invasor a explore representa uma exposição a menos em produção. Mas cada correção também é um patch que alguém precisa implantar. Quem opera o BIG-IP em produção verá mais patches, e os ciclos de atualização que antes eram trimestrais não podem continuar assim. Estamos investindo no F5 Insight e no gerenciamento de frotas para agilizar todo o ciclo: nós encontramos, corrigimos e validamos, e você implanta. E, quando a implantação leva tempo, o caminho do tráfego mantém a aplicação protegida enquanto o código é atualizado.

Essa última oração resume todo o argumento:

1. Encontre vulnerabilidades antes que os invasores possam explorá-las.
2. Corrija mais rápido do que as vulnerabilidades podem ser transformadas em armas.
3. Proteja em tempo de execução enquanto o código é atualizado.

As três disciplinas só funcionam em conjunto. Nenhuma delas funciona sozinha.

O novo normal

É assim que a segurança de software funcionará daqui para a frente. Não se trata de uma campanha nem de uma reação ao lançamento de um único modelo. A janela para aplicação de correções se fechou e não voltará a abrir.

Algumas empresas tratarão este momento como uma fase passageira. Somente aquelas que aceitarem essa realidade como o novo normal e se reconstruírem continuamente em torno dela, nas camadas de código e de tráfego, prosperarão.

A F5 está se preparando para o novo normal. Nossos clientes também. Faremos juntos esse importante trabalho.

Sobre o autor

Kunal AnandDiretor de Produto | F5

Kunal Anand lidera a organização de produtos da F5 como Chief Product Officer. Responsável pela visão, estratégia e execução de produtos, ele garante o desenvolvimento de soluções inovadoras que resolvem desafios críticos e proporcionam experiências excepcionais aos clientes. Em sua função anterior como Chief Technology and AI Officer, Kunal definiu a estratégia e a visão de tecnologia e IA da empresa. Antes da F5, Kunal exerceu simultaneamente os cargos de Chief Technology Officer e Chief Information Security Officer na Imperva. Sua trajetória na Imperva começou em 2018, com a aquisição da Prevoty, uma startup de segurança de aplicações que ele cofundou em 2013. Antes de ingressar na Prevoty, foi Diretor de Tecnologia na BBC Worldwide. Kunal tem um amplo histórico de inovação e conhecimento técnico especializado, além de ter ocupado cargos de liderança em equipes de segurança, dados, tecnologia e engenharia na Gravity, MySpace e no Laboratório de Propulsão a Jato da NASA. Kunal tem mais de 15 anos de experiência em IA e aprendizado de máquina, abrangendo treinamento de modelos, uso de algoritmos baseados em IA para aprimorar produtos e projeto e implementação de arquiteturas de IA. Kunal é bacharel em Ciência da Computação pelo Babson College.

Mais publicações de Kunal Anand