Tem uma frase que a gente repetia na segurança como hipótese: “um dia a IA vai escrever exploits sozinha”. Pois é — saiu da hipótese. Em maio, o Google relatou (com a notícia confirmada pela Bloomberg) o primeiro caso conhecido de um zero-day construído com ajuda de IA e usado num ataque real.
O que aconteceu
Segundo o grupo de inteligência de ameaças do Google (GTIG), um grupo cibercriminoso com motivação financeira usou um modelo de IA de fronteira para desenvolver um exploit funcional — um bypass de autenticação em duas etapas (2FA) numa ferramenta open-source popular de administração web. A intenção era um “evento de exploração em massa”: atacar muitos alvos de uma vez. Foi barrado a tempo — o Google diz que sua “descoberta proativa” pode ter evitado o uso.
Dois detalhes importam: o Google não acredita que tenha sido o Gemini, mas tem alta confiança de que um modelo de IA apoiou a descoberta e a “weaponização” da falha. E a leitura sóbria deles: a IA está acelerando fluxos de ataque que já existiam — não inventando técnicas novas. Atores estatais (China, Coreia do Norte) também estão de olho nisso.
Por que isso muda o jogo pra quem tem site
A defesa não mudou de natureza — mudou de relógio. O ciclo “uma falha é divulgada → alguém escreve o exploit → o ataque rola na internet” sempre teve uma janela. Com IA na mão do atacante, essa janela encolheu. O que antes levava semanas pode levar dias ou horas.
E repare no alvo: um bypass de 2FA. Aquela sensação de “ativei o 2FA, estou seguro” é justamente a que cai primeiro. 2FA é uma camada ótima — não é um escudo mágico.
O que fazer (sem pânico, com método)
- Encurte sua janela de patch. A porta nº 1 continua sendo software desatualizado. Se você atualiza “quando dá”, agora isso custa mais caro. Tenha um inventário do que roda no seu site e um ritmo de atualização.
- Defesa em camadas. 2FA + senha forte + WAF + permissões mínimas + backup testado. Quando uma camada cai (como o 2FA caiu aqui), as outras seguram.
- Monitore. A maioria dos ataques automatizados é barulhenta — picos de tentativas de login, requisições estranhas. Quem olha, percebe.
- Use a IA do seu lado também. A mesma alavanca que ajuda o atacante ajuda a defesa: triagem de logs, revisão de código, varredura de dependências. O Google barrou este ataque, em parte, com IA defensiva.
Se você cuida de um site, vale revisar o guia de segurança de sites — ele cobre o básico que segura 90% dos ataques automatizados. E pra não perder o controle do “o que precisa de patch”, é exatamente o problema que o VulnGuard resolve.
Ver a demo de gestão de vulnerabilidades
Perguntas frequentes
A IA já hackeia sozinha? Ainda não — o caso mostra IA como alavanca (acelerou um grupo humano), não como atacante autônomo. O próprio Google diz que ela acelera fluxos existentes, não inventa técnicas. O efeito é velocidade: a janela de exploração encolheu.
O que eu faço? O básico, com urgência: mantenha tudo atualizado, defesa em camadas (2FA não é mágica — aqui caiu um bypass de 2FA), monitore e tenha inventário do que precisa de patch.
Fontes: Bloomberg, SecurityWeek, IT Pro (Google Threat Intelligence Group, maio de 2026).