Google relata 90 zero-days explorados em 2025 e alerta que IA acelera corrida armamentista cibernética

O cenário da cibersegurança cruzou um limiar preocupante, de acordo com o relatório "Year in Review 2025" do Google, recém-lançado, sobre vulnerabilidades zero-day. Este documento, um termômetro dos desafios defensivos da indústria, detalha a exploração de impressionantes 90 zero-days in-the-wild ao longo do último ano. Este número representa um aumento acentuado e preocupante, sublinhando uma onda ofensiva que supera rapidamente a capacidade global de defesa. Mais alarmante ainda, a análise do Google aponta a inteligência artificial como o principal catalisador dessa escalada, alertando que "a IA está mudando as regras do jogo" de maneiras que ameaçam criar um ciclo insustentável de ataque e contramedida.

Um Surto Recorde e uma Mudança Estratégica

As 90 zero-days exploradas documentadas pelo Google quebram todos os recordes anteriores, pintando um quadro de um ecossistema de agentes de ameaças altamente agressivo e eficaz. Isso não é meramente um aumento quantitativo, mas uma mudança qualitativa na estratégia de direcionamento. O relatório observa uma clara migração por grupos de ameaças persistentes avançadas (APTs) e sindicatos cibercriminosos, afastando-se de produtos de consumo de massa e direcionando-se para software de nível empresarial, ferramentas de gerenciamento de TI e o próprio software de segurança. Essa mudança indica a busca por alvos de maior valor, onde uma única vulnerabilidade pode render acesso a vastas redes corporativas, propriedade intelectual sensível e infraestrutura crítica. A cadeia de suprimentos de software empresarial tornou-se uma superfície de ataque particularmente atraente, como demonstrado por vários incidentes de alto perfil mencionados no relatório, onde uma vulnerabilidade no produto de um único fornecedor levou a comprometimentos em cascata em centenas de organizações.

O Acelerador da IA: Uma Espada de Dois Gumes

A tese central do alerta do Google gira em torno do papel transformador e desestabilizador da IA. No lado ofensivo, os agentes de ameaças estão aproveitando a IA para automatizar e aprimorar múltiplos estágios do ciclo de vida do ataque. Modelos de aprendizado de máquina agora podem vasculhar montanhas de código para identificar padrões de vulnerabilidade em potencial muito mais rápido do que pesquisadores humanos. Fuzzers alimentados por IA podem gerar códigos de exploração novos e com sofisticação crescente. Além disso, a IA generativa está sendo usada para criar iscas de phishing e conteúdo de engenharia social altamente convincentes e em escala, baixando a barreira de entrada para atacantes menos qualificados e aumentando o volume de tentativas de acesso inicial.

Esse boom ofensivo impulsionado por IA está criando o que o relatório descreve como um "ciclo insustentável". As equipes defensivas, já sobrecarregadas pelo volume de alertas e patches, são forçadas a reagir na velocidade das máquinas. Embora as ferramentas defensivas com IA também estejam avançando—automatizando a detecção de ameaças, correlacionando a telemetria de segurança e priorizando incidentes—o relatório sugere que a curva de adoção ofensiva está atualmente mais íngreme. A assimetria surge do fato de que os atacantes precisam encontrar apenas um caminho viável, enquanto os defensores devem proteger um patrimônio digital inteiro e em constante expansão.

O Espectro Iminente e o Imperativo Defensivo

A avaliação contundente do Google serve como um alerta urgente para a indústria de cibersegurança. A era de depender exclusivamente de programas tradicionais de divulgação de vulnerabilidades e ciclos mensais de patches está chegando ao fim. O relatório implica que a comunidade deve passar por uma mudança de paradigma para evitar ser permanentemente superada.

Os imperativos-chave para as organizações incluem:

• Acelerar Radicalmente a Velocidade de Aplicação de Patches: A janela entre a divulgação de uma vulnerabilidade e sua exploração está entrando em colapso. As organizações devem passar da implantação de patches em semanas ou dias para horas. Isso requer gerenciamento automatizado de ativos, monitoramento contínuo e pipelines de implantação otimizados.
• Adotar Proativamente uma Postura de "Assumir a Violação": Estratégias como a arquitetura de confiança zero, que verifica rigorosamente cada solicitação e limita o movimento lateral, não são mais apenas para empresas de elite. Elas devem se tornar prática padrão para conter o impacto de uma possível exploração zero-day.
• Investir em Defesa Impulsionada por IA em Escala: Para combater a IA com IA, os defensores devem implantar seus próprios sistemas de aprendizado de máquina para análise comportamental, detecção de anomalias e busca preditiva de ameaças. Isso inclui usar IA para simular ataques e fortalecer os sistemas antes que sejam alvejados.
• Proteger a Cadeia de Suprimentos de Software: A adoção rigorosa da lista de materiais de software (SBOM), avaliações de risco de fornecedores e mandatos para práticas de desenvolvimento seguro são críticos para mitigar o risco proveniente de componentes de terceiros.

Conclusão: Um Ponto de Inflexão

O relatório de zero-days 2025 do Google é mais do que um conjunto de estatísticas; é um diagnóstico de um sistema sob estresse extremo. O número recorde de vulnerabilidades exploradas, combinado com a mudança estratégica para alvos empresariais e o efeito catalisador da IA, marca um ponto de inflexão definitivo. A mensagem é clara: a corrida armamentista cibernética entrou em uma nova fase mais perigosa. A velocidade e sofisticação possibilitadas pela IA estão concedendo aos atacantes uma vantagem temporária. A responsabilidade agora recai sobre os líderes de segurança, desenvolvedores de software e formuladores de políticas para inovar defensivamente em um ritmo sem precedentes. A sustentabilidade do nosso ecossistema digital pode depender do fechamento dessa lacuna antes que o ciclo saia completamente do controle.