Quando a IA consegue encontrar vulnerabilidades críticas de software com mais rapidez, menor custo e em maior escala do que pesquisadores humanos de elite, todo CISO se depara com as seguintes questões urgentes: Quanto tempo você tem até que suas vulnerabilidades de código aberto precisem ser corrigidas — e quantas você está monitorando: uma, dezenas ou milhares? Sua postura defensiva está preparada para a velocidade e a escala com que as ameaças surgem atualmente?
Os modelos de IA agora podem fazer mais do que escrever código: eles conseguem lê-lo, entender sua finalidade e identificar exatamente onde ele falha. Essa capacidade supera a de praticamente todos os seres humanos, exceto os mais habilidosos, na descoberta e exploração de vulnerabilidades de software.
O Claude Mythos Preview, o modelo de ponta no centro da iniciativa, já encontrou milhares de vulnerabilidades de alta gravidade, incluindo algumas nos principais sistemas operacionais e navegadores da web. Em alguns casos, essas falhas passaram despercebidas por décadas de análise humana e milhões de testes de segurança automatizados.
“As organizações que agirem agora para automatizar a aplicação de regras de WAF com IA transformarão a segurança em uma vantagem competitiva.”
O software que sustenta sistemas bancários, prontuários médicos, redes logísticas e redes elétricas sempre apresentou falhas. No entanto, encontrá-las e explorá-las costumava exigir conhecimentos especializados raros. A IA reduziu drasticamente os custos, o esforço e o nível de habilidade necessários. Dado o ritmo de avanço da IA, não demorará para que esses recursos se disseminem, possivelmente chegando a agentes que não estejam comprometidos em utilizá-los com segurança.
O que isso significa para os defensores cibernéticos
O que antes era uma preocupação teórica agora é uma realidade operacional: a descoberta de vulnerabilidades impulsionada por IA está aumentando drasticamente, tanto em volume quanto em velocidade, reduzindo o intervalo entre a divulgação e a exploração ativa.
A questão que se apresenta a todas as organizações de segurança é se elas conseguirão usar a IA na defesa com a mesma intensidade com que os adversários a usarão no ataque. Nesse cenário, defesas estáticas baseadas apenas em assinaturas já não são suficientes. Se os modelos de IA conseguem identificar milhares de novas vulnerabilidades de alta gravidade em poucas semanas, as equipes de segurança simplesmente não conseguem criar, testar, ajustar e implantar assinaturas manualmente com rapidez suficiente para acompanhar — muito menos no ritmo em que os invasores agirão.
O ciclo operacional tradicional do firewall de aplicações web (WAF) — fazer a triagem de alertas, validá-los com os desenvolvedores, implementar exceções e repetir o processo para cada aplicação e versão — torna-se insustentável quando o fluxo de vulnerabilidades é alimentado por inteligência de máquina. Equipes que já operam no limite ficarão ainda mais sobrecarregadas, deixando as organizações expostas justamente nos momentos em que menos podem se dar a esse luxo.
Por que a era do Project Glasswing muda o modelo operacional do WAF
O Project Glasswing não apenas revela vulnerabilidades; ele expõe um problema de velocidade.
Quando o Claude Mythos Preview consegue revelar milhares de falhas de alta gravidade nos principais sistemas operacionais e navegadores da web em questão de semanas, cada nova vulnerabilidade dá início a uma corrida: com que rapidez você consegue detectar, fazer a triagem e bloquear tentativas de exploração antes que os invasores transformem a descoberta em uma arma? Essa corrida sempre existiu, mas a IA reduziu drasticamente o tempo disponível.
Especificamente para os WAFs, isso gera três pressões cumulativas:
1. O pipeline de assinaturas não consegue acompanhar o ritmo sozinho: As assinaturas continuam sendo essenciais para ameaças conhecidas, oferecendo bloqueio determinístico e de alta confiabilidade para exploits catalogados. No entanto, elas são reativas por natureza: alguém precisa identificar a vulnerabilidade, criar a regra, testá-la e implantá-la. Quando o pipeline de vulnerabilidades avança no ritmo da IA, com milhares de novas descobertas surgindo continuamente, uma estratégia baseada apenas em assinaturas deixa lacunas cada vez maiores entre a descoberta e a proteção.
2. O custo dos ajustes se torna um risco de segurança: Muitos programas de WAF ficam estagnados em uma situação conhecida: são implantados e começam a gerar alertas, mas a ativação do modo de bloqueio é adiada porque os ajustes são caros, envolvem várias equipes e apresentam riscos. Em um mundo pós-Glasswing, essa demora não é apenas um inconveniente operacional, mas um risco de segurança mensurável. Cada semana dedicada a ajustes antes de passar à aplicação efetiva das regras é uma semana em que vulnerabilidades recém-descobertas podem ser exploradas em aplicações desprotegidas. Quando a IA consegue encontrar e encadear vulnerabilidades do kernel de forma autônoma para escalar do acesso de usuário ao controle total do sistema, o custo de estar "implantado, mas sem aplicação efetiva" nunca foi tão alto.
3. Os defensores precisam combater a velocidade da IA com a mesma velocidade: Se a IA está acelerando o lado ofensivo da equação, o lado defensivo precisa acompanhar esse ritmo. Isso exige controles de segurança capazes de avaliar ameaças em tempo real usando diversos sinais, atribuir riscos dinamicamente e aplicar decisões sem esperar por ciclos de ajuste com intervenção humana.
Como a F5 está respondendo
Previmos essa mudança, e é por isso que o WAF com tecnologia de IA do F5 Distributed Cloud Services foi desenvolvido para essa nova realidade. Ele complementa as assinaturas com uma análise em várias camadas, incluindo combinações selecionadas de assinaturas, indicadores contextuais de ataques e modelos de aprendizado de máquina (ML) em tempo real, além da detecção de ataques de dia zero para identificar ameaças até então desconhecidas que estejam sendo ativamente exploradas e da detecção de anomalias para identificar desvios de comportamento que nenhuma assinatura ou regra poderia prever. Cada solicitação recebe um nível de risco dinâmico, permitindo que as equipes adotem o modo de bloqueio mais rapidamente, com menos falsos positivos e sem a complexidade operacional que atrasa as implantações tradicionais de WAF.
Estas são três perguntas que todo CISO deve fazer neste trimestre para avaliar o nível de preparação:
- Você consegue acompanhar esse volume? Seu processo de gestão de vulnerabilidades foi criado para um mundo em que novas descobertas surgiam em um ritmo compatível com a capacidade humana. Quando a IA revela milhares de falhas de alta gravidade em poucas semanas, sua equipe consegue identificá-las, priorizá-las e corrigi-las com rapidez suficiente — ou o acúmulo de pendências só aumenta?
- Você consegue detectar o que nunca viu e responder em segundos? Ataques de dia zero não esperam por assinaturas. Sua infraestrutura de segurança consegue detectar ameaças até então desconhecidas em tempo real? E com que rapidez sua lógica de detecção pode ser atualizada quando surge uma nova vulnerabilidade? Se a resposta envolver a criação manual de regras e um processo de controle de mudanças, você já está em desvantagem.
- Você está bloqueando ou apenas observando? Quanto do seu portfólio de aplicações está ativamente protegido no modo de bloqueio, em vez de apenas ser monitorado? Em cada aplicação que permanece no modo de monitoramento, você verá a violação acontecer, mas não conseguirá impedi-la. Essa lacuna é a sua verdadeira superfície de ataque sem mitigação.
A maioria das empresas conta com um WAF, mas poucas o utilizam efetivamente para bloquear ameaças. O ajuste de políticas exige tempo e conhecimento especializado que as equipes de segurança não têm, fazendo com que o WAF permaneça no modo de monitoramento.
O resultado? Uma rubrica no seu orçamento de segurança que, na prática, não protege a empresa. À medida que os ataques impulsionados por IA se intensificam, essa lacuna se transforma em um risco existencial. As organizações que agirem agora para automatizar a aplicação das políticas do WAF com IA transformarão a segurança em uma vantagem competitiva.
Para saber mais sobre o WAF com tecnologia de IA nos serviços do F5 Distributed Cloud, acesse nossa página sobre o F5 Distributed Cloud WAF.
Além disso, confira nosso post anterior no blog, “A janela para aplicação de patches se fechou. Veja como a F5 está preparada para o que vem a seguir.”
Sobre os autores
Publicações relacionadas no blog
IA agêntica em cibersegurança: promessas e riscos
Saiba por que o uso de IA agêntica na cibersegurança é essencial para combater ameaças impulsionadas por IA e por que os agentes também criam novos riscos para as empresas.
Como os clientes da F5 no setor financeiro lidam com a soberania digital sem desacelerar a inovação
Como é a soberania digital na prática? Dois projetos recentes da F5 com clientes mostram como diferentes empresas estão enfrentando esses desafios.
Soberania operacional: construindo resiliência em um mundo imprevisível
Para muitas organizações, a questão já não se resume apenas a controlar os dados. Trata-se de manter a capacidade de operar, adaptar-se e se recuperar à medida que as leis e as condições evoluem.
Segurança de IA com evidências: o que levaremos ao Gartner SRM
Antes de sua sessão no Gartner SRM, o vice-presidente sênior de Marketing de Produtos da F5 explica como a F5 ajuda as organizações a proteger a IA em três etapas práticas.
Gestão de riscos de IA: como as proteções podem ajudar a mitigá-los
O risco da IA é impulsionado por comportamentos probabilísticos e pela explicabilidade limitada, não apenas por falhas de segurança. Uma gestão eficaz exige controle operacional contínuo.
Lei de IA do Colorado (SB 205): o que as empresas precisam saber antes de 2026
A SB 205 do Colorado, a lei pioneira do estado sobre inteligência artificial, foi sancionada pelo governador Jared Polis em 17 de maio de 2024. O projeto de lei estabelece requisitos para que as empresas que utilizam IA implementem controles destinados a proteger os cidadãos do Colorado.