A velocidade com que a IA escreve código está superando a velocidade de revisão das equipes de segurança. Um novo estudo da Linux Foundation, patrocinado e participado pela ActiveState, mostra que 58% das equipes estão liberando código mais rápido do que as revisões de segurança conseguem acompanhar; ao mesmo tempo, 60% dos entrevistados afirmaram que assistentes de programação baseados em IA aumentaram o número de pacotes externos em seus repositórios de código. No entanto, as equipes revisam apenas cerca de metade do tempo as dependências indiretas introduzidas por esses pacotes — conhecidas como "dependências transitivas".
A ActiveState é a patrocinadora e contribuidora deste novo estudo. O estudo é apoiado pela Open Source Security Foundation (OpenSSF) e pela LF AI & Data Foundation. A ActiveState divulgou os resultados do estudo "State of AI Impact on Software Security and Cybersecurity 2026" na segunda-feira. O estudo afirma que há uma lacuna crescente entre a velocidade do desenvolvimento de software impulsionado por IA e a capacidade das organizações de proteger a segurança do código produzido.
Estudos indicam que, à medida que a IA acelera simultaneamente a geração de código e a descoberta de vulnerabilidades, esses desafios estão se tornando mais urgentes, deixando às organizações menos tempo para identificar e corrigir problemas antes que atacantes os explorem. A vulnerabilidade PHP2Shell de outubro de 2026 destacou essa urgência: patches de emergência foram lançados poucas horas após a divulgação da falha, e tentativas de exploração já foram relatadas. Os estudos afirmam que, com o aumento da velocidade com que vulnerabilidades são identificadas e exploradas, as organizações enfrentam pressão crescente para garantir que revisões de segurança, auditorias de dependências e correções acompanhem esse ritmo.
A pesquisa abrangeu 172 profissionais de segurança de empresas e projetos de código aberto. A pesquisa também descobriu que a IA é parte da solução, mas com alguns compromissos. Os entrevistados relataram que 30% das vulnerabilidades detectadas no último ano foram identificadas com a ajuda de ferramentas assistidas por IA; 69% dos entrevistados afirmaram que essas ferramentas melhoraram significativamente sua postura de segurança. Em média, as ferramentas de IA aceleraram o trabalho de segurança em 17%, mas os falsos positivos nas vulnerabilidades aumentaram a carga de trabalho dos profissionais em 30%, destacando a necessidade de equilibrar os ganhos de eficiência trazidos pela IA com uma supervisão de segurança eficaz.
Abby Kearns, CEO da ActiveState, disse: “Assistentes de programação de IA não apenas escrevem código, eles também escolhem suas dependências, e este estudo mostra que as equipes verificaram apenas cerca de metade do conteúdo resultante. Isso está alinhado com o que ouvimos semanalmente de nossos clientes. Desacelerar os desenvolvedores não resolve o problema. A solução é determinar, antes que o código entre no repositório, quais componentes são confiáveis, permitindo que desenvolvedores e suas ferramentas de IA comecem com componentes já aprovados pela equipe de segurança.”
Outras principais descobertas incluem:
- Habilidades estão em risco. 82% dos entrevistados concordam que a dependência excessiva de ferramentas de IA enfraquece as habilidades de segurança dos desenvolvedores.
- Preocupação supera o nível de preparação. Para cada ameaça relacionada à IA avaliada, mais profissionais expressaram preocupação do que disseram estar preparados. A maior diferença ocorre na geração automatizada de exploração de vulnerabilidades e fuzzing por IA, com uma diferença de 41 pontos percentuais.
- A cadeia de suprimentos ocupa o primeiro lugar na lista de preocupações. Ataques à cadeia de suprimentos são a principal preocupação dos especialistas em segurança, com 93%; seguidos por injeção de prompts, com 90%; e pela carga de manutenção causada por atualizações frequentes de componentes, com 87%.
- A responsabilidade não está claramente definida. Apenas 30% das equipes têm cargos dedicados a ameaças de segurança relacionadas à IA, e apenas cerca de um terço das equipes possuem políticas de segurança formais que abrangem a IA.
- A clareza na atribuição de responsabilidade traz retornos. Entre equipes com cargos dedicados à segurança de IA, 75% afirmaram estar plenamente preparadas para ataques adversariais contra sistemas de IA; entre todos os entrevistados, essa proporção é de 50%.
- A revisão humana não é exigida por padrão. Entre equipes com políticas de segurança de IA, apenas 57% exigem revisão humana do código gerado por IA.
Um estudo indica que essas descobertas, em conjunto, sugerem que, à medida que a adoção de IA aumenta, é necessário definir com mais clareza a responsabilidade pela segurança e fortalecer a governança. O estudo também aponta que a criação de cargos especializados, a elaboração de políticas claras e a implementação adequada de ferramentas estão associadas a níveis mais altos de preparação; no entanto, a pesquisa não comprovou que essas práticas causaram essas diferenças.
Laura Guazzelli, arquiteta de segurança responsável por sistemas AI/ML/LLM/Agentic da OpenSSF, disse: "À medida que a IA acelera o desenvolvimento de software, as organizações também precisam governar e proteger o código produzido com a mesma cautela. Isso começa pela compreensão de em quais etapas da cadeia de suprimentos de software a IA introduz riscos, definindo quem é responsável por responder a esses riscos e garantindo que as práticas de segurança acompanhem as mudanças na forma como o software é construído."
O relatório recomenda que as organizações designem responsáveis claros para ameaças de segurança relacionadas à IA, elaborem políticas formais de segurança da IA e incorporem revisão humana do código gerado, além de fortalecer o controle sobre dependências diretas e transitivas. Com base nesses achados, a ActiveState recomenda implementar governança desde a introdução de componentes de código aberto, permitindo que as equipes de segurança decidam quais componentes podem entrar na cadeia de suprimentos de software antes que desenvolvedores ou assistentes de IA os incorporem.
O relatório completo “Estado Atual do Impacto da IA na Segurança de Software e Cibersegurança em 2026” está disponível no site da Linux Foundation, incluindo descobertas da pesquisa e recomendações práticas: https://www.linuxfoundation.org/research/ai-impact-on-cybersecurity-2026
Sobre o ActiveState
A ActiveState afirma que a empresa está comprometida em garantir a segurança da cadeia de suprimentos de software desde a origem na era da codificação por IA. Com o ActiveState Curated Catalog — um repositório privado e revisado de componentes de código aberto — as equipes de segurança podem decidir quais componentes são permitidos no software empresarial antes que sejam introduzidos por desenvolvedores ou assistentes de programação por IA. A empresa afirma que isso dá às equipes de segurança controle, mantendo ao mesmo tempo a velocidade de desenvolvimento das equipes de engenharia. O Curated Catalog pode ser integrado aos repositórios de artefatos, scanners e assistentes de programação por IA já em uso pelas equipes. Para mais informações, visite activestate.com.
Fonte da mensagem: ActiveState