Os sinais de alerta vinham se acumulando desde que sistemas de IA de fronteira começaram a suscitar temores de que a descoberta de vulnerabilidades aceleraria. Mas as falhas do PHP — encontradas por pesquisadores humanos trabalhando em um esforço assistido por IA, e não por modelos agindo sozinhos — tornaram essa perspectiva concreta. O PHP sustenta cerca de 70% dos sites, o que significa que uma fraqueza de décadas tinha enorme alcance quando foi descoberta.¹

Na quarta-feira, a coreografia normal da divulgação coordenada começou a se desfazer. Pesquisadores e fornecedores haviam preparado correções e notificações confidenciais, mas informações sobre os bugs circularam antes do lançamento planejado. A PHP Foundation disse que a Chainguard havia “quebrado unilateralmente o embargo”, levando governos e empresas a tirar sites do ar em vez de arriscar uma invasão.²

A correria deu vida à ameaça da IA sem, até agora, produzir seu pior desfecho. A Cloudflare viu as tentativas de ataque saltarem de milhares antes da divulgação para milhões depois, enquanto a Amazon afirmou que a exploração foi ampla. Ainda assim, autoridades alemãs não relataram nenhum uso bem-sucedido da falha, e pesquisadores concluíram que os bugs eram mais difíceis de transformar em armas do que o volume de varreduras sugeria.²

Isso convidou comparações com o Y2K: um alerta assustador que mobilizou os defensores a tempo. Especialistas em segurança alertam contra confundir essa fuga por pouco com segurança. “Não precisamos esperar mais dois anos até que isso aconteça (de novo)”, disse Samantha Lewis, chefe de inteligência de ameaças da Armadin. “Pode ser daqui a três horas.”³

A disputa mais profunda é sobre o que o episódio diz a respeito da capacidade da web de responder. Uma visão enxerga um sistema mantido por “cola e sonhos”, no qual pequenos operadores e órgãos públicos não dispõem dos recursos da Amazon ou da Cloudflare.¹ Outra vê provas de que a disciplina básica — aplicar correções, autenticação multifator, contenção e planos de recuperação — ainda funciona. Mas Tomer Schwartz, da Wiz, argumenta que o futuro não pode depender de administradores individuais aplicando correções manualmente: a IA pode ajudar a encontrar e testar vulnerabilidades rapidamente, enquanto “corrigir manualmente não vai escalar”.⁴