O painel público do Patch the Planet, iniciativa da OpenAI com a empresa de segurança Trail of Bits, registrava neste domingo (25) 1.995 achados em 68 projetos de código aberto, segundo reportagem da Exame. Desse total, 1.316 ainda esperavam uma correção. O programa escreveu 679 patches, e 466 foram aceitos pelos responsáveis pelos projetos.
Os números mostram onde a defesa com IA encontra seu limite. Achar uma falha ficou rápido. Transformá-la em uma correção confiável, aceita por quem mantém o software e instalada por quem o usa, continua lento.
O que o painel conta e o que não conta
Um achado, nesse painel, não equivale a uma vulnerabilidade crítica confirmada. O total de 1.995 é uma contagem de ocorrências, sem uma régua única de gravidade, de acordo com a Exame. Também é preciso separar duas etapas: um patch aceito por um projeto não significa que ele já esteja em todos os sistemas que usam aquele código.
A decisão final fica com os mantenedores. Quando a OpenAI apresentou o programa, em junho, descreveu um fluxo em que especialistas reproduzem o problema, eliminam duplicatas e testam a mudança antes de enviá-la. Os mantenedores avaliam a proposta e controlam tanto a alteração quanto a divulgação da falha.
Quando a correção cria outro defeito
A Trail of Bits publicou em 21 de outubro uma avaliação de mais de 130 propostas de mudança já incorporadas aos projetos. Encontrou 21 regressões: 16 funcionais, 1 de desempenho e 4 de compilação ou testes. Segundo a empresa, nenhuma delas quebrou uma proteção de segurança.
A própria Exame faz uma ressalva: é uma avaliação interna, de um processo que inclui engenheiros humanos. O estudo não demonstra que a IA corrige melhor do que programadores, apenas que o fluxo com revisão produziu poucos efeitos colaterais graves em uma amostra de mais de 130 mudanças.
O programa se soma ao Daybreak, plano da OpenAI para proteger infraestrutura digital descrito em reportagem da Forbes de 23 de outubro. A expansão anunciada em agosto divide o acesso em duas faixas: a Blue, de defesa geral, e a Red, para pesquisa de segurança autorizada com modelos mais avançados. De acordo com a Forbes, o acesso é restrito a organizações verificadas.
Quem paga e quem fica esperando
A OpenAI anunciou um compromisso de US$ 1 bilhão em acesso subsidiado por seis meses, voltado a serviços essenciais e organizações com poucos recursos. O valor se refere ao uso das ferramentas, não a dinheiro transferido a cada entidade nem a uma fundação.
Para empresas que dependem de bibliotecas abertas, a consequência prática é de prazo. Com 1.316 achados sem correção, a exposição não termina quando a IA aponta o defeito: ela termina quando o mantenedor aceita o patch e a equipe de TI de quem usa o software o instala. Projetos mantidos por poucas pessoas, que recebem propostas em volume maior do que conseguem revisar, tendem a ser o ponto mais lento dessa cadeia.
