Siga os pontos

Ontem, eu me pus a ler algo que quase ninguém lê: as notas de versão (release notes) da última atualização do iOS. E o que encontrei me deixou gelado, não pelas novas funcionalidades ou os emojis, mas pelo que se esconde na seção de segurança.

Revisitei pessoalmente os boletins oficiais de segurança da Apple (support.apple.com) das últimas cinco atualizações menores do sistema operacional, CVE por CVE. A média de vulnerabilidades corrigidas já vinha em ascensão sustentada, variando entre 40 e 60 por versão. No entanto, esta última atualização rompe a tendência com a quantidade de 87 correções de segurança críticas — quase 75% acima daquela média já elevada.

Para colocar em perspectiva, preparei este gráfico comparando o volume de patches das últimas 6 versões:

De que tipo de patches estamos falando? Ao resumir o relatório, não são erros superficiais. Estamos vendo correções profundas de corrupção de memória no Kernel, vulnerabilidades de execução de código arbitrário no WebKit, falhas de escalonamento de privilégios no CoreBluetooth e buracos no Sandbox. Erros complexos, labirínticos, do tipo que uma equipe de engenheiros humanos levaria meses para auditar e descobrir.

E aqui é onde começa minha especulação.

Especulando: o fator Fable 5

Quero ser sumamente claro: não tenho informações internas da Apple nem documentos vazados que comprovem. Isso é pura especulação baseada na observação do mercado. Mas como dizem os estadunidenses: “follow the dots” (une os pontos).

Sabemos por notas de imprensa recentes que a Apple está integrando IA massivamente em seus processos de desenvolvimento interno. Sabemos também que têm alianças estratégicas e negociações avançadas com gigantes da inteligência artificial, incluindo a Anthropic.

Se lembrarmos da minha coluna anterior, onde contei como o modelo Fable encontrou de forma autônoma vulnerabilidades em nosso GitLab em questão de minutos (cobrando-nos uma fortuna no processo), o salto nos patches de segurança do iOS de uma versão para outra deixa de parecer um esforço puramente humano.

Minha hipótese é esta: a Apple soltou o Fable 5 (ou um agente de IA de capacidades semelhantes) sobre seu próprio código fonte. Estão utilizando agentes autônomos de IA de última geração para auditar milhões de linhas de código legacy, encontrando vulnerabilidades que levavam anos dormidas no sistema operacional.

O problema dos “big pockets”

Se estou correto, deveríamos nos alegrar como usuários de iPhone, não é? Nosso telefone é agora muito mais seguro. Sim, mas como analista da indústria, isso me gera uma preocupação profunda.

Se o Fable 5 é o responsável por essa limpeza massiva de código, estamos presenciando o nascimento de uma brecha tecnológica insuperável. Como documentei há alguns dias, usar esses modelos de fronteira para auditar sistemas é brutalmente caro.

<strong>O custo de auditar com IA de fronteira:</strong> para a minha equipe, custou $845 USD para que a IA encontrasse apenas dois problemas irrelevantes, em algumas horas. Auditar um sistema operacional móvel completo implicaria, segundo essa lógica, milhões de dólares em tokens e consumo de API.

Imaginemos o custo computacional de auditar o sistema operacional móvel mais usado do mundo. Estamos falando de milhões de dólares em tokens e consumo de API.

A Apple, a Microsoft, a Google e a banca internacional têm os “big pockets” (os bolsos profundos) para pagar isso. Têm acesso irrestrito — e acordos preferenciais de volume — aos modelos mais avançados do mundo. Podem se permitir ter o Fable 5 rodando 24/7, blindando seus sistemas contra zero-days.

Mas, o que acontece com as PMEs? O que acontece com a startup que desenvolve software de contabilidade no México? O que acontece com o hospital regional que tem um sistema de gestão próprio?

Eles não podem pagar a fatura do Fable. Eles terão que seguir dependendo de auditorias humanas anuais ou de scanners de vulnerabilidades tradicionais que estão a anos-luz da capacidade de raciocínio de um modelo de fronteira.

A nova era da insegurança assimétrica

Não acredito que essa brecha vá se fechar logo. Enquanto o custo de inferência dos modelos verdadeiramente avançados continuar sendo proibitivo, a cibersegurança se tornará um luxo corporativo.

As grandes empresas serão fortalezas digitais impenetráveis auditadas por IA, enquanto o resto do mercado será um campo aberto de vulnerabilidades legacy esperando para ser exploradas (ironicamente, por cibercriminosos que também usarão IA para encontrá-las).

Vamos ver o que o futuro reserva. Com certeza, nos próximos meses, essa tendência se confirmará, haverá vazamentos e saberemos se estou errado ou se, efetivamente, a Apple acaba de inaugurar a era da “cibersegurança de elite automatizada”.

O que vocês acham? Veem essa brecha de segurança se ampliando em suas indústrias?