IA da AISLE acha 6 falhas no curl que OpenAI e Anthropic não viram

Duas das maiores empresas de IA do mundo rodaram seus sistemas de cibersegurança contra o curl e voltaram de mãos vazias. Dias depois, um sistema autônomo da startup AISLE encontrou seis vulnerabilidades reais no mesmo código — todas confirmadas e corrigidas pelos mantenedores. O resultado expõe tanto o potencial quanto os limites da IA aplicada à segurança.

O que aconteceu

O curl é um dos softwares mais auditados do planeta. Ele está em mais de 20 bilhões de instalações, de geladeiras inteligentes a espaçonaves. Justamente por ser tão revisado, achar uma falha nova ali é difícil.

Em 24 de agosto de 2026, o fundador do projeto, Daniel Stenberg, publicou um resultado curioso: o sistema Mythos, da Anthropic, e o Codex Security, da OpenAI, não apontaram nenhuma vulnerabilidade pendente além das que já eram conhecidas. Segundo o próprio Stenberg, o Codex “mostra uma lista vazia”.

Foi então que a AISLE rodou seu sistema autônomo no mesmo código. No dia seguinte, Stenberg fez a comparação pública: Mythos 0, AISLE 29 relatórios. Desses 29, a equipe de segurança do curl revisou e considerou seis sérios o suficiente para receber um CVE oficial — o identificador público que marca uma vulnerabilidade reconhecida.

Por que esse teste é diferente

A maioria das avaliações de IA em segurança usa desafios do tipo capture-the-flag ou benchmarks com respostas já conhecidas. O problema é que essas respostas podem já estar nos dados de treinamento dos modelos, o que inflaciona os resultados.

Aqui foi diferente. A AISLE analisou código de produção atual, e quem decidiu se cada achado era real e merecia um CVE foram os mantenedores do curl — não a própria empresa. Como Stenberg publicou o resultado zero das IAs da OpenAI e da Anthropic antes de a AISLE rodar sua análise, a comparação tem uma propriedade rara: o ponto de partida estava registrado e datado publicamente.

Segundo a AISLE, as seis falhas foram corrigidas na versão 8.22.0 do curl, com crédito ao pesquisador Stanislav Fort. Três foram reportadas em 24 de agosto, duas em 26 e uma em 27.

O que isso significa na prática

Vale um freio de arrumação antes do entusiasmo. As seis falhas foram todas classificadas como severidade baixa. Elas se escondem em configurações específicas e interações sutis, com impacto prático limitado. Não estamos falando de brechas que colocam bilhões de dispositivos em risco imediato.

Ainda assim, o dado é relevante. CVEs são marcadores imperfeitos, mas oferecem uma validação externa forte: cada um é uma falha antes desconhecida, reproduzida e aceita por especialistas do próprio projeto. Encontrar seis em um código tão revisado não é trivial.

O episódio também joga uma dose de realismo sobre os sistemas das grandes empresas. OpenAI e Anthropic vêm promovendo suas ferramentas de segurança autônoma como avanços importantes. Aqui, num teste público e sem respostas prontas, ambos ficaram no zero enquanto uma startup menor entregou resultados aceitos pelos mantenedores.

Isso não prova que a AISLE é definitivamente superior — um único código não define uma tecnologia. Mas mostra que a corrida por IA de cibersegurança está longe de ter um vencedor claro, e que resultados de laboratório nem sempre se traduzem em código real. Para quem usa software todo dia, a lição é simples: revisão humana e verificação independente continuam sendo indispensáveis, mesmo com IA no circuito.

Fonte: AISLE · Imagem de capa: AISLE