Guardian360
Começar teste gratuitoTorna-te parceiro
← Todos os artigos

Opinião

O mito da boa-fé: porque é que a IA está a partir a divulgação de vulnerabilidades, e porque é que isso sempre foi inevitável

Por Jan Martijn Broekhof ·

Um colega reencaminhou-me um ticket de suporte na semana passada. À primeira vista parecia autêntico: um relatório detalhado, tecnicamente fluente, sobre um registo MTA-STS em falta, completo com uma explicação do risco e um resumo bem arrumado da remediação. Extenso. Profissional. O tipo de relatório que queres levar a sério.

Só que nunca chegava a nomear o domínio a que se aplicava. Nem uma vez. E o registo que afirmava estar em falta estava, no nosso caso, já configurado.

Essa única omissão diz-te quase tudo. O relatório não foi escrito para nós. Foi escrito para toda a gente, disparado contra centenas de organizações ao mesmo tempo, redigido suficientemente bem para que uma certa percentagem o lesse, entrasse em ligeiro pânico e respondesse. O remetente não precisa que nós tenhamos o problema. O remetente só precisa que um número suficiente dos destinatários acredite que talvez o tenha.

Um relatório que não custa nada enviar

O meu colega tem assistido a um aumento acentuado precisamente deste tipo de ticket ultimamente. Relatórios de “investigador de bug bounty de segurança” que se leem como legítimos e minuciosos, e se desfazem em nada no momento em que os confrontas com a realidade. Conclusões genéricas, âmbito em falta, registos que na verdade não estão em falta, tudo enquadrado com o polimento confiante de um resumo assistido por IA. Responde a um e estás a convidar uma onda de seguimentos, do mesmo remetente e de outros, cada um a acenar com mais uma conclusão de aparência plausível.

A estratégia não é subtil assim que a vês. Dispara o maior número possível de relatórios de baixo esforço contra o maior número possível de organizações, aponta às coisas que muitas organizações genuinamente não configuraram (MTA-STS, cabeçalhos de segurança, registos de DNS que são bons de ter mas raramente urgentes), e espera que uma fração agarre e pague. Aproveita-se de uma lacuna específica: a organização que não tem a competência interna para distinguir uma conclusão verdadeira de uma bem vestida.

Aqui está a parte em que vale a pena parar. Enviar aquele relatório não custou essencialmente nada ao remetente. Lê-lo, triá-lo, verificar a nossa própria configuração e decidir que era ruído custou-nos tempo real e atenção real. A economia inverteu-se discretamente, e quase ninguém o disse em voz alta.

Contámos a nós próprios uma história reconfortante

Durante anos, a comunidade de segurança descreveu a divulgação coordenada de vulnerabilidades como uma relação construída sobre confiança e boa-fé. Um investigador encontra algo, divulga-o de forma responsável, dá ao fornecedor tempo para o corrigir, e toda a gente se porta como gente adulta. É uma bela história. É também, penso eu, uma história que contámos a nós próprios porque a alternativa era menos lisonjeira.

A CVD nunca funcionou de facto com base na boa-fé. Funcionou com base no custo. Produzir um relatório de vulnerabilidade credível costumava exigir tempo, competência e a vontade de pôr o teu nome e a tua reputação por trás dele. Esse esforço era o verdadeiro filtro. Não garantia sinceridade, mas correlacionava-se com ela o suficiente para podermos tratar o esforço como um substituto da boa intenção, e depois rebatizar discretamente todo o arranjo como confiança, porque confiança soa melhor do que “estamos a contar com o facto de que fazer spam para nós dá demasiado trabalho.”

O atrito era o mecanismo. Remove o atrito e a confiança fica sem nada onde se apoiar.

A divulgação coordenada de vulnerabilidades alguma vez assentou na confiança?

Penso que não, e a prova mais clara é o que acontece agora que o atrito desapareceu.

Olha para o curl. Daniel Stenberg, o seu fundador e programador principal, geriu um programa de bug bounty na HackerOne durante anos, e pela maioria das medidas funcionou; o projeto pagou mais de 100.000 dólares por cerca de oitenta vulnerabilidades confirmadas ao longo de seis anos. Depois o rácio colapsou. Até ao início de 2025, cerca de um em cada seis relatórios ao curl eram verdadeiros; no final de 2025 a taxa de acerto tinha caído para algo mais próximo de um em vinte ou um em trinta. Não porque os investigadores tenham piorado, mas porque o volume de relatórios confiantes, de aparência técnica e, no fim, vazios, explodiu.

Stenberg pôs o dedo exatamente na coisa que estou a descrever. Antigamente, disse ele, alguém investia de facto muito tempo num relatório de segurança; havia um atrito incorporado, e agora não há esforço nenhum, por isso as comportas estão abertas. Esse é todo o argumento numa frase, vindo de alguém que o viveu. O atrito estava a fazer o trabalho o tempo todo. A IA não corrompeu a boa-fé; revelou que a boa-fé estava garantida pelo esforço, e depois tornou o esforço opcional.

A pressão tornou-se suficientemente severa para que o curl deixasse de aceitar submissões na HackerOne e redirecionasse brevemente os autores de relatórios para o GitHub, com o seu security.txt a declarar que o projeto não oferece qualquer compensação monetária. Quando um projeto tão bem dotado de recursos e respeitado como o curl tem de mudar o seu modelo de divulgação para sobreviver ao ruído, o enquadramento da “confiança” não é apenas impreciso. É ativamente inútil, porque nos impede de desenhar para o mundo em que realmente estamos.

Isto não é sobre culpar os investigadores

Quero ter cuidado aqui, porque a versão fácil deste argumento é uma versão cínica, e está errada.

Bons investigadores independentes, competentes e honestos existem, e valem o seu peso em ouro. O próprio Stenberg diz isto melhor do que eu conseguiria: em setembro de 2025, um investigador enviou ao curl uma longa lista de problemas genuínos encontrados com ferramentas assistidas por IA, e Stenberg elogiou-a abertamente como um trabalho excelente. A IA nas mãos de alguém que percebe o que está a ver é um verdadeiro trunfo. O problema não é a ferramenta, e não é o investigador que apresenta um relatório cuidadoso, reproduzível e específico do domínio.

As plataformas também não são as vilãs. As plataformas de bug bounty impõem estrutura: regras de âmbito, pontuações de reputação, deteção de duplicados, um registo documental. Esses mecanismos são um substituto moderno do antigo atrito, o que é precisamente a razão pela qual continuam a funcionar. É revelador que a experiência do curl apenas no GitHub não se adequou às necessidades do projeto, e em março de 2026 ele voltou a mover o reporte de segurança para a HackerOne, ainda sem qualquer recompensa associada. A estrutura valia a pena manter. O cheque em branco não.

O ator que vale a pena nomear é o submissor em massa de baixo esforço: a pessoa que aponta uma ferramenta de IA a uma lista de organizações, gera relatórios plausíveis à escala, e dispara-os diretamente contra qualquer canal aberto que exista, sem plataforma, sem reputação, sem custo. Foi isso que o meu colega viu. Não chegou através de um pipeline filtrado com uma pontuação de reputação anexada. Aterrou na nossa fila de suporte.

A porta desguarnecida que agora nos dizem a todos para abrir

Aqui está por que razão isto não é apenas um problema de open-source, e por que razão deve preocupar as organizações do mercado intermédio e as PME em que passo a maior parte do meu tempo a pensar.

A CVD está a tornar-se governação padrão, por regulação. A própria posição da ENISA, expressa pelo seu responsável pelos serviços de incidentes e vulnerabilidades, é que a NIS2 e o CRA estão a normalizar a divulgação coordenada de vulnerabilidades: espera-se cada vez mais que as organizações tenham processos estruturados para receber relatórios de vulnerabilidades, e lidar bem com eles está a tornar-se uma vantagem competitiva. Em princípio, isto é bom. As organizações devem ter uma porta da frente para relatórios de segurança.

Mas cada organização que abre essa porta herda exatamente o problema do curl, normalmente com muito menos competência para o defender. Um projeto de voluntários com uma equipa de segurança dedicada e anos de processo teve dificuldades. Um fabricante regional ou uma empresa de serviços de média dimensão, recém-informada de que precisa de um canal de divulgação, não tem camada de reputação, não tem músculo de triagem, e não tem forma fácil de distinguir uma extorsão bem enquadrada de uma conclusão genuína. A regulação está a fazer surgir milhares de portas novas, abertas e desguarnecidas, precisamente no momento em que a IA tornou gratuito inundá-las. Essa é a tenaz, e as organizações menos equipadas para lidar com ela estão a caminhar direitas para dentro dela.

Então por que é que substituímos o mito?

Não tenho um plano bem arrumado de dez pontos, e desconfio de quem afirme ter. Isto é maior do que a fila de entrada de uma empresa, e prefiro pensar sobre isto abertamente do que fingir que está resolvido.

Aquilo de que estou razoavelmente seguro é isto: o antigo filtro do custo desapareceu, e não vai voltar. Por isso, o movimento honesto é deixar de chamar à CVD uma questão de confiança e começar a desenhar para um mundo onde a confiança não pode ser assumida à porta. Isso pode significar reintroduzir custo ou atrito deliberado do lado do remetente. Pode significar camadas de reputação e de identidade para canais abertos, e não apenas para os alojados em plataformas. Pode significar capacidade de triagem partilhada para organizações mais pequenas que não a conseguem construir sozinhas. Sinceramente, não sei qual destas se vai revelar viável.

Por isso vou terminar com as perguntas, e não com as respostas. Se o esforço era o verdadeiro filtro e o esforço é agora gratuito, o que é que pomos no seu lugar que não exclua também o investigador honesto que reporta pela primeira vez? E como é que damos às organizações mais pequenas, as que agora são legalmente esperadas a abrir um canal de divulgação, uma forma de sobreviver à inundação que até o curl mal conseguiu aguentar?

Gostava de ouvir como estás a pensar sobre isto. Não é retórica. Falo a sério.

Fontes