A OpenAI, a Wiz, empresa integrada ao Google e a startup de cibersegurança Calif afirmam que a inteligência artificial descobriu duas falhas críticas em um software que sustenta 70% dos sites na internet. “Consideramos este um dos problemas de segurança mais impactantes dos últimos tempos”, escreveu a desenvolvedora do ChatGPT em uma postagem no blog.
Atualmente, os proprietários de sites estão se se dedicando para corrigir as falhas em uma linguagem de programação web amplamente utilizada, chamada PHP.
Enquanto linguagens como HTML e CSS cuidam do que você vê em um site, o PHP lida com coisas que não são visíveis, como verificar se os logins estão corretos e o processamento de pagamentos.
Agências governamentais, do FBI ao GCHQ do Reino Unido, estão instruindo as pessoas a instalarem correções de segurança o mais rápido possível. Na Europa, enquanto as atualizações não são aplicadas, alguns governos retiraram completamente seus sites do ar.
Pesquisadores da OpenAI, da Califórnia, e da Wiz afirmam ter usado uma combinação dos modelos GPT-5.6 Sol, e o Gemini 4 Argon do Google para descobrir e atacar as falhas, que estavam presentes no código PHP há mais de uma década. Um hacker poderia usar as vulnerabilidades para instalar malware em um servidor web vulnerável ou roubar dados confidenciais de clientes.
“Essas descobertas estão entre as vulnerabilidades mais graves já encontradas no PHP e, possivelmente, na história do software”, afirmaram os pesquisadores da Wiz em seu blog, apelidando os exploits gerados por inteligência artificial de “php2shell”.
“Demonstrar que essas falhas podiam ser exploradas exigia uma sequência de etapas excepcionalmente complexa, no limite do que pesquisadores humanos conseguiam realizar na prática. Os modelos de IA de ponta reduziram substancialmente essa barreira, transformando uma falha antiga em uma vulnerabilidade explorável.”
Uma correção já está disponível para download no site do PHP. Os usuários do firewall de aplicativos web da Cloudflare também estão protegidos, graças a uma atualização da empresa de segurança web.
A inteligência artificial está se tornando cada vez mais hábil em encontrar falhas de segurança, especialmente em softwares de código aberto como o PHP. Porém, a tecnologia também é muito boa em lançar ataques cibernéticos.
No mês passado, a Forbes noticiou o caso de um hacker que usou os modelos Anthropic e DeepSeek para roubar mais de 600.000 dados de cartões de crédito em ataques a mais de 100 sites.
Greg Brockman, cofundador da OpenAI, escreveu em um post realizado na rede social X : “Acredito que estamos entrando em uma nova fase da segurança cibernética, onde os modelos são capazes de encontrar vulnerabilidades com impacto em escala de internet. Os defensores em todos os lugares têm um papel a desempenhar, aplicando modelos às suas próprias defesas, encontrando e corrigindo problemas em infraestruturas compartilhadas e compartilhando as melhores práticas que podem, para tornar a internet mais segura.”
Reportagem publicada originalmente em Forbes.com
