IA acelera exploração de falhas e Google registra recorde de 10,7 mil vulnerabilidades em agosto
A quantidade de vulnerabilidades divulgadas por mês mais que dobrou entre janeiro e agosto de 2026. O volume chegou a 10.740 registros em agosto, o maior patamar da série analisada pelo Google Threat Intelligence Group (GTIG). Para os pesquisadores, o avanço ocorre em um contexto no qual a inteligência artificial vem agilizando tanto a identificação de falhas quanto sua conversão em ferramentas de ataque.
Em janeiro, foram divulgadas 5.045 vulnerabilidades. Já em julho e agosto, o total mensal ultrapassou 10 mil. A mudança não se limita à velocidade de publicação: segundo o GTIG, a IA também está influenciando quais tipos de falhas são encontrados e como os riscos associados a elas evoluem.
Outro indicador chama atenção: de janeiro a agosto, 141 vulnerabilidades distintas já haviam sido identificadas como exploradas em ataques. O número supera as 127 registradas ao longo de todo o ano de 2025.
Esse crescimento, porém, não é atribuído principalmente a uma onda de novas vulnerabilidades zero-day. O fator central seria a rapidez com que criminosos transformam falhas já conhecidas e consideradas perigosas em recursos para operações reais.
Uma vulnerabilidade zero-day é explorada antes que o fabricante tenha conhecimento do problema ou disponibilize uma correção. Já as falhas conhecidas, chamadas de n-day, foram divulgadas publicamente e, em geral, contam com atualizações de segurança ou informações técnicas que ajudam a compreender seu funcionamento.
Ferramentas de IA podem facilitar a análise de atualizações, comunicados de segurança, versões de produtos e códigos de prova de conceito, conhecidos como PoCs. Ao comparar esses materiais, invasores podem identificar o que mudou após a correção e adaptar rapidamente técnicas de exploração. Assim, uma falha n-day pode ser transformada em um meio de ataque pouco tempo depois de sua divulgação.
O GTIG cita como exemplo a CVE-2026-1731, uma vulnerabilidade em software da BeyondTrust que recebeu destaque de autoridades federais de cibersegurança dos Estados Unidos em fevereiro. A falha foi descoberta de forma autônoma pelo agente de pesquisa Hacktron AI.
Depois que o problema veio a público, pesquisadores observaram grupos de hackers explorando a vulnerabilidade em campanhas direcionadas para obter acesso inicial e contornar as defesas de empresas. Um grupo começou a utilizá-la apenas quatro dias após a divulgação. Em até uma semana, outros cinco grupos também foram identificados explorando a mesma falha.
Após invadir os sistemas, os criminosos realizaram ações como elevar privilégios, roubar dados e instalar programas adicionais. Entre os recursos observados estavam os payloads SNOWLIGHT e SPARKRAT, além de mineradores de criptomoedas.
Para o Google, o caso mostra que agentes autônomos de pesquisa podem encontrar vulnerabilidades graves quando direcionados a sistemas expostos e relevantes. Por enquanto, essas ferramentas estariam sendo usadas sobretudo na identificação de falhas de risco médio e alto. A analista sênior do GTIG Kelli Vanderlee avalia que a descoberta e a exploração de vulnerabilidades com apoio de IA devem continuar avançando no curto e médio prazo.
O relatório também indica que uma parcela expressiva das vulnerabilidades divulgadas se concentra em um grupo restrito de fornecedores, entre eles a Totolink, fabricante de firmware para roteadores, e a Oracle. Dispositivos de borda – ou seja, equipamentos que conectam redes internas à internet – e serviços corporativos expostos seguem entre os alvos de maior interesse. Cerca de 14% das vulnerabilidades exploradas entre janeiro e agosto afetavam dispositivos edge e appliances de segurança.
O aumento acompanha uma tendência mais ampla. Mais de 67 mil novos CVEs foram publicados em 2026, e projeções apontam que o total pode chegar a 96 mil até dezembro. Além disso, as submissões anuais de CVEs ao National Vulnerability Database (NVD), mantido pelo NIST, cresceram 263% entre 2020 e 2025. Nos três primeiros meses de 2026, o volume ficou aproximadamente um terço acima do observado no mesmo período do ano anterior.
O que esse cenário muda para as empresas
A principal consequência é a redução do tempo disponível para reagir. Uma atualização de segurança publicada pelo fabricante pode ser analisada rapidamente por atacantes, que procuram entender qual falha foi corrigida e quais sistemas ainda não receberam o patch. Por isso, esperar por sinais de um ataque em andamento pode deixar a organização exposta.
Empresas precisam manter um inventário atualizado de ativos, incluindo equipamentos de rede, aplicações acessíveis pela internet e serviços fornecidos por terceiros. Sem saber quais produtos estão em uso e onde estão instalados, fica mais difícil identificar se um alerta se aplica ao ambiente e priorizar a correção.
Também é importante estabelecer critérios claros para aplicar atualizações. Vulnerabilidades em dispositivos de perímetro e sistemas expostos externamente merecem atenção especial, sobretudo quando há indícios de exploração ativa. Quando uma correção não puder ser instalada imediatamente, medidas temporárias podem reduzir a exposição, como restringir o acesso, desativar serviços desnecessários ou aplicar regras de monitoramento.
A gestão de patches não deve se limitar à instalação de atualizações. As equipes de segurança precisam verificar se houve exploração antes da correção e procurar sinais de comprometimento, como contas com privilégios elevados sem justificativa, conexões incomuns e alterações inesperadas em sistemas críticos.
Por fim, o uso de IA por agentes de ataque reforça a necessidade de processos de resposta mais automatizados e bem testados. Alertas, inventário, atualização e investigação precisam funcionar de forma integrada. Quanto menor o intervalo entre a divulgação de uma falha e a proteção dos sistemas, menor a oportunidade para que uma vulnerabilidade conhecida seja convertida em invasão.