IA acelera a busca por vulnerabilidades, mas comprovação de bugs ainda exige conhecimento humano
O artigo argumenta que, embora ferramentas de IA acelerem etapas de reconhecimento e geração de payloads em testes de segurança ofensivos, elas não substituem a validação humana necessária para provar que uma vulnerabilidade é real e explorável em produção. Aponta como sintoma prático o aumento de submissões de baixa qualidade em programas de bug bounty, com severidades infladas por relatórios gerados por IA sem evidência real de exploração.
A segurança ofensiva vem incorporando IA para ler código rapidamente, gerar payloads, resumir superfícies de ataque e executar fluxos de teste repetitivos em escala — uma aceleração real de tarefas mecânicas que antes consumiam tempo de especialistas humanos.
O problema apontado é que essas ferramentas orquestram técnicas conhecidas (enumeração de endpoints, inspeção de parâmetros, rastreamento de fluxo de dados) e produzem relatórios com aparência profissional, mas saída de modelo não equivale a evidência de exploração. A IA tende a confundir padrões suspeitos com vulnerabilidades comprovadas, gerando falsos positivos com severidade superestimada — o exemplo citado é atribuir CVSS 9.8 a um achado que, na prática, não é sequer explorável.
Na prática, isso já aparece como aumento de submissões automatizadas de baixa qualidade em programas de bug bounty, com relatórios de linguagem genérica e pouca ou nenhuma validação real por trás. Provar uma vulnerabilidade continua exigindo demonstrar reachability do input a partir de uma superfície controlada pelo atacante, contornar de fato os controles de autenticação e autorização existentes, e evidenciar impacto concreto na configuração efetivamente implantada — etapas de julgamento que a geração automática de texto não cobre sozinha.
O valor de um pentester experiente, segundo o artigo, está justamente em reconhecer quando a ferramenta foi enganada, em perceber quando pequenos bugs isolados podem se encadear em um impacto crítico, e em se adaptar quando a primeira tentativa falha — uma capacidade de composição e ceticismo que os modelos atuais não replicam de forma confiável.