De janeiro a 27 de julho de 2026, 45.207 falhas de segurança foram registradas no National Vulnerability Database, o catálogo público de vulnerabilidades. Em sete meses, o número quase igualou o dobro de tudo o que 2025 registrou no ano inteiro.
Não é que o software piorou. É que a inteligência artificial aprendeu a ler código-fonte procurando brecha — e faz isso em escala industrial, sem cansar.
A notícia parece boa. O problema é o que vem depois dela, e quase ninguém está falando disso: a descoberta ficou mais rápida que o conserto.
O que mudou na caça a vulnerabilidades
Ferramenta antiga de segurança procurava padrão conhecido: um trecho de código com jeito de erro já catalogado. Modelo de IA faz outra coisa. Ele lê o código, liga pistas que parecem não ter relação entre si e raciocina sobre como combiná-las em um ataque — que era, até 2025, trabalho de especialista humano caro e escasso.
Os resultados de 2026 mostram o tamanho do salto:
- Um agente com o modelo Gemini encontrou no Chrome uma falha crítica que passou 13 anos despercebida, depois de inúmeras revisões humanas.
- O Firefox teve 271 vulnerabilidades localizadas com o Claude Mythos, mais 22 problemas relevantes com o Opus.
- A chinesa Z.ai afirma que seus modelos acharam 2.436 vulnerabilidades em 269 projetos, sendo 1.097 críticas ou de alta severidade, em software de infraestrutura como Linux, WebKit e FreeBSD. A mais antiga estava em código escrito em 1981 — aberta havia 45 anos.
Em 14 de agosto de 2026 a mesma Z.ai anunciou o GLM-5.3, que marcou 84,5 no CyberGym — o teste que mede achar e validar vulnerabilidades reais a partir do código. Ficou à frente do Claude Mythos 5 (83,8) e do GPT-5.6 Sol (83,6). É a primeira vez que um modelo aberto lidera um teste de segurança contra os modelos fechados das grandes.
Vale o ceticismo: todos esses números foram reportados pela própria fornecedora, medidos na infraestrutura dela, sem verificação independente. Trate como indicação de ordem de grandeza, não como placar oficial.
O número que ninguém comenta: achar virou fácil, corrigir não
Aqui está a parte que muda decisão. Olhe o que aconteceu com quem tem as melhores equipes de segurança do mundo:
- Chrome: corrigiu 1.072 vulnerabilidades em apenas duas versões, em junho de 2026. Isso é mais do que as 1.036 corrigidas nas 23 versões anteriores, ao longo de cerca de dois anos. O Google passou a publicar correção duas vezes por semana.
- Oracle: a atualização trimestral de julho trouxe 1.449 correções, recorde da empresa. Só 64 vieram de pesquisadores externos — o resto saiu de ferramentas automatizadas e IA, atribuição feita pela própria Oracle.
- Microsoft: 206 vulnerabilidades em junho, 622 CVEs em julho, incluindo 59 críticas e 3 falhas de dia zero.
Detecção virou barata e automática. Verificar, priorizar, corrigir, testar e publicar continua sendo trabalho humano, no ritmo humano. O gargalo mudou de lugar: não falta mais quem encontre o problema, falta quem consiga aplicar a correção.
Por que isso é problema seu, e não só da Microsoft
Se você usa só software de prateleira, a conta é simples: atualize sempre, e rápido. O fabricante faz o trabalho pesado e a sua parte é não adiar a atualização.
Agora, se a sua empresa tem sistema próprio — aquele ERP sob medida, o portal do cliente, o app que alguém desenvolveu há alguns anos —, a conta é outra. Ninguém do lado de fora vai auditar esse código por você. E ele foi escrito na época em que achar uma falha exigia um especialista debruçado por semanas.
É exatamente esse tipo de código que a nova geração de ferramentas varre em minutos. A capacidade que encontra falha em software de 1981 não vai ter dificuldade com um sistema seu de 2019.
O ponto incômodo: a mesma capacidade serve para os dois lados. Um modelo que encontra brecha para proteger encontra brecha para invadir. Foi por isso que a Z.ai segurou a liberação dos pesos do GLM-5.3 por cerca de duas semanas para avaliação de segurança — o primeiro adiamento da empresa motivado explicitamente por risco cibernético. A empresa também admitiu que essa capacidade não estava no plano: ela adicionou dados esperando melhorar a detecção de bugs isolados, e o modelo passou sozinho a raciocinar sobre cadeias completas de exploração.
Traduzindo: a ferramenta que varre o seu sistema custa a partir de US$ 12,60 por mês e, em breve, roda na máquina de qualquer pessoa. A assimetria que protegia software obscuro — "ninguém vai perder tempo olhando o meu" — acabou.
O que fazer, na ordem certa
A resposta não é entrar em pânico nem contratar auditoria cara. É organizar o básico, que quase ninguém tem:
- Saiba o que você tem rodando. Liste sistemas, versões, bibliotecas e quem mantém cada um. Não dá para corrigir o que você não sabe que existe — e é comum descobrir sistema no ar que ninguém assume.
- Descubra qual está sem manutenção. Sistema sem responsável definido é o primeiro a cair. Se a resposta for "o rapaz que fez saiu da empresa", você já achou sua prioridade.
- Trate atualização como rotina, não como projeto. Com fabricante publicando correção duas vezes por semana, a janela trimestral de manutenção virou peça de museu.
- Rode as mesmas ferramentas antes que rodem contra você. A varredura por IA hoje é acessível. Usá-la no seu próprio código é a forma mais barata de encontrar o que um invasor encontraria.
- Priorize pelo que está exposto. Falha em sistema aberto na internet vale dez falhas em sistema interno. Comece pelo que o mundo enxerga.
Repare que quatro dos cinco itens são inventário e processo, não tecnologia. O gargalo é humano — e organização resolve mais do que compra de ferramenta.
O resumo honesto
2026 vai fechar com o dobro de falhas conhecidas de 2025, e isso não vai desacelerar. Software não ficou pior: ficou visível. As falhas já estavam lá, algumas há 45 anos, e agora existe quem as encontre em escala.
Para quem tem sistema próprio rodando, a pergunta deixou de ser "alguém vai olhar o meu código?". Alguém vai. A pergunta agora é se vai ser você primeiro.
Fatos apurados a partir do noticiário de tecnologia de agosto de 2026 (Daily Journal, Axios), do National Vulnerability Database e dos anúncios das próprias fabricantes. Os números do GLM-5.3 são auto-reportados pela Z.ai e ainda não têm verificação independente.
Perguntas frequentes
A inteligência artificial consegue mesmo encontrar falhas de segurança em software?
Sim, e em escala. Diferente das ferramentas antigas, que procuravam padrões já catalogados, os modelos atuais leem o código-fonte, conectam pistas sem relação aparente e raciocinam sobre como combiná-las em um ataque. Em 2026, um agente com o modelo Gemini achou no Chrome uma falha crítica que passou 13 anos despercebida, e o Firefox teve 271 vulnerabilidades localizadas com apoio de IA.
Quantas vulnerabilidades foram descobertas em 2026?
Foram 45.207 falhas registradas no National Vulnerability Database entre janeiro e 27 de julho de 2026 — em sete meses, quase o dobro do que o ano inteiro de 2025 registrou. A aceleração é atribuída diretamente ao uso de IA na descoberta de vulnerabilidades.
Se a IA acha mais falhas, o software não fica mais seguro?
Fica mais seguro e mais trabalhoso ao mesmo tempo. O problema é que a descoberta ficou mais rápida que a correção: achar virou automático e barato, mas verificar, priorizar, corrigir e publicar continua sendo trabalho humano. O Chrome corrigiu 1.072 vulnerabilidades em duas versões de junho de 2026 — mais do que nas 23 versões dos dois anos anteriores — e passou a publicar correções duas vezes por semana.
Minha empresa tem um sistema próprio antigo. Preciso me preocupar?
Mais do que quem usa só software de prateleira. Sistema sob medida não tem fabricante publicando correção, e ninguém de fora audita esse código por você. Ele costuma ter sido escrito quando achar uma falha exigia um especialista por semanas — proteção que deixou de existir. Um modelo que encontra brecha em código de 1981 não terá dificuldade com um sistema de 2019.
Por que a Z.ai adiou a liberação do GLM-5.3?
Porque a mesma capacidade que encontra falhas para proteger encontra falhas para invadir. A empresa segurou os pesos do modelo por cerca de duas semanas para avaliação de segurança — o primeiro adiamento dela motivado explicitamente por risco cibernético. A Z.ai também afirmou que essa capacidade não foi planejada: ela esperava melhorar a detecção de bugs isolados e o modelo passou a raciocinar sobre cadeias completas de exploração.
Por onde começar a proteger os sistemas da minha empresa?
Pelo inventário, não pela ferramenta. Liste o que está rodando, com versões e responsável por cada sistema; identifique o que está sem manutenção; trate atualização como rotina e não como projeto trimestral; rode varredura por IA no seu próprio código antes que alguém rode contra você; e priorize o que está exposto na internet. Quatro dos cinco passos são organização, não tecnologia.