Microsoft corrige 570 falhas em Windows e Office com ajuda de IA

Quinhentas e setenta vulnerabilidades corrigidas num único pacote de atualizações. É este o novo recorde da Microsoft em mais um Patch Tuesday, o ritual mensal em que a empresa despeja correções de segurança para Windows, Office e restante linha de produtos. Desta vez, a explicação de Redmond é simples: a própria Microsoft está a usar IA para vasculhar o seu código e descobrir falhas que andavam ali escondidas há anos.

No meio da avalanche há pelo menos duas vulnerabilidades classificadas como zero-day, ou seja, já estavam a ser exploradas antes de a empresa ter conhecimento oficial dos bugs. Uma afeta o Windows Server e permite a um atacante subir de um utilizador limitado a administrador do sistema. Outra atinge servidores SharePoint, a plataforma de partilha de ficheiros da Microsoft muito usada em empresas e organismos públicos. A agência de cibersegurança dos Estados Unidos, a CISA (Cybersecurity and Infrastructure Security Agency), já tinha avisado que esta falha estava a ser usada ativamente para comprometer organizações.

O volume anormal de patches não caiu do céu. Há uma semana, num texto oficial, a Microsoft já tinha avisado que os boletins de segurança iam crescer, precisamente porque começou a recorrer a modelos de IA focados em segurança para identificar vulnerabilidades no seu próprio software. Nas palavras de Pavan Davuluri, o responsável pelo Windows, à medida que a IA ajuda os defensores a descobrir mais problemas, os clientes vão passar a ver mais correções em cada lançamento.

Isto tem duas leituras. Por um lado, é positivo ver a Microsoft usar a mesma IA que alimenta os seus Copilots para olhar criticamente para décadas de código herdado. Muito do Windows que corre hoje em máquinas portuguesas assenta em bases com mais de vinte anos, e não é surpresa que modelos treinados para farejar padrões duvidosos encontrem aquilo que uma equipa humana nunca conseguiria acompanhar à mesma velocidade. Por outro lado, a escala de 570 falhas num só mês também evidencia o tamanho da dívida técnica acumulada num fornecedor que domina o desktop e uma boa fatia das infraestruturas empresariais.

Para quem gere parques informáticos, isto traduz-se numa dor de cabeça prática: mais patches, mais janelas de manutenção, mais testes de compatibilidade com aplicações críticas. Em contextos onde o downtime custa caro, como bancos ou hospitais, aplicar de imediato dezenas de correções de segurança nem sempre é trivial, mesmo quando o risco teórico é alto. E a isto soma-se o facto de a mesma Microsoft estar no centro de outros vetores de risco, dos kits de phishing que exploram o Microsoft 365 à pressão brutal de consumo energético dos seus serviços de IA, que já fez disparar as emissões da empresa.

O uso de IA para caçar bugs internos é um passo lógico numa altura em que os mesmos modelos estão a ser usados por investigadores independentes e também por atacantes. A questão é se esta limpeza intensiva vai mesmo reduzir o risco estrutural ou se vamos passar a viver num estado permanente de patches XXL num software que é demasiado grande para ser realmente seguro. Para já, quem usa Windows, Office ou SharePoint tem uma tarefa clara: aplicar quanto antes as atualizações desta semana, especialmente em servidores expostos à internet, porque os atacantes também sabem ler boletins de segurança.

Fonte: TechCrunch