No início de agosto, o pesquisador da Wiz Sagi Tzadik pediu a um agente de IA que testasse se uma falha do WordPress também poderia afetar o Drupal. A tarefa falhou — mas revelou uma falha separada no PHP, a linguagem com décadas de existência que sustenta ambas as plataformas e grande parte da web. Tzadik inicialmente suspeitou de um falso positivo: “Os modelos tendem a alucinar.” Ainda assim, o exploit funcionou, expondo uma fraqueza que passara despercebida por mais de uma década.¹

A descoberta reforçou o argumento em favor da IA como ferramenta defensiva. Pesquisadores da Calif, trabalhando com a OpenAI, encontraram de forma independente um problema relacionado; os grupos relataram suas descobertas e se uniram aos mantenedores do PHP em um esforço de cerca de 15 pessoas para rastrear os bugs e preparar uma correção. A IA pode examinar código em uma escala que equipes humanas não conseguem igualar, mas a mesma capacidade pode ajudar atacantes a identificar sistemas expostos e automatizar a exploração — tornando essencial uma divulgação rápida e coordenada.²

Essa corrida se intensificou quando detalhes começaram a circular online dois dias antes do lançamento planejado do patch. Os mantenedores do PHP anteciparam o lançamento, mas um vídeo da Calif que demonstrava inadvertidamente o exploit ajudou a desencadear atividade de imitadores. A Cloudflare registrou milhares de tentativas antes da divulgação, depois dezenas de milhares em 45 minutos, centenas de milhares em duas horas e, por fim, milhões.¹

Na quarta e na quinta-feira, o patch foi lançado — mas as desativações preventivas já haviam começado. A Grã-Bretanha tirou 32 serviços governamentais do ar; sites públicos na Finlândia, nos Países Baixos, na Alemanha e no Japão foram interrompidos, enquanto empresas e pequenos negócios corriam para atualizar seus sistemas. Para instituições com grandes equipes de TI, um empresário chamou a interrupção de um “pequeno obstáculo”; para empresas menores, as interrupções se estenderam por até sete horas. Um operador de TI em Nairóbi temia que sistemas públicos de resposta lenta ainda pudessem ser atacados.³

A resposta agora está sendo comercializada, além de coordenada: Aravind Srinivas disse que usuários poderiam receber créditos para verificar se sites em PHP e configurações de implantação estavam expostos, uma ilustração de quão rapidamente a varredura assistida por IA está se tornando parte da defesa rotineira.Aravind Srinivas (AravSrinivas)⁴

A lição não é que a IA resolveu o problema. Ela o encontrou cedo o bastante para que os defensores agissem — e revelou quão rapidamente essa vantagem inicial pode evaporar.