O projeto curl lançou a versão 8.22.0 contendo correções para seis CVEs recém-divulgados, todos encontrados por um sistema de segurança de IA autônomo construído pela startup AISLE – e todos descobertos depois que modelos de IA de fronteira da OpenAI e Anthropic relataram publicamente que o curl não continha mais vulnerabilidades. A comparação, documentada em uma postagem no blog do pesquisador da AISLE, Stanislav Fort, publicada na terça-feira, está chamando a atenção de toda a comunidade de segurança como um dos testes comparativos mais claros de ferramentas especializadas de segurança de IA contra modelos de fronteira de uso geral.
A linha de base estava excepcionalmente limpa. Em 24 de agosto, o fundador do curl, Daniel Stenberg, escreveu publicamente que apenas três CVEs estavam pendentes para o próximo lançamento, observando que o modelo Mythos da Anthropic “diz que não consegue encontrar mais” e que o sistema de segurança Codex da OpenAI “mostra uma lista vazia” quando solicitado a analisar o curl, a onipresente biblioteca de transferência de dados implantada em mais de 20 bilhões de instâncias em todo o mundo, de geladeiras inteligentes a espaçonaves. Para mais histórias como essa, consulte nossa cobertura de notícias sobre segurança de IA.
De zero a vinte e nove relatórios durante a noite
AISLE então apontou seu próprio sistema de IA autônomo para curl. No dia seguinte, Stenberg postou uma comparação de uma linha que desde então circulou amplamente: "Mythos: 0, Aisle: 29." Desses 29 relatórios, a equipe de segurança do curl revisou seis em poucos dias e os julgou sérios o suficiente para merecer designações públicas de CVE no curl 8.22.0, que agora foi lançado.
Os seis CVEs creditados à AISLE e ao seu pesquisador são:
- CVE-2026-80229 — Provedor OpenSSL para uso gratuito
- CVE-2026-80230 — Desvio de fixação OpenSSL
- CVE-2026-80231 — reutilização de conexão de armazenamento de CA nativa
- CVE-2026-80255 — desvio seguro de atributos com guia
- CVE-2026-82208 — o acerto do cache CA wolfSSL substitui o retorno de chamada
- CVE-2026-82209 — cookie de sufixo público com escopo de domínio
Todos os seis são classificados como de baixa gravidade. A AISLE atribui esse perfil de classificação à excepcional maturidade de engenharia do curl: após décadas de auditoria, as vulnerabilidades que permanecem tendem a se esconder em configurações estreitas e interações sutis entre componentes, limitando o impacto prático. Três foram relatados em 24 de agosto, dois em 26 de agosto e um em 27 de agosto. Em 28 de agosto, a contagem pendente de CVE do curl aumentou de três para dez, com seis das novas descobertas vindo do AISLE, de acordo com o relato da empresa.
Por que essa comparação é importante
Os pesquisadores de segurança há muito rejeitam grande parte da descoberta de vulnerabilidades baseada em IA como um teatro – demonstrações encenadas contra desafios de captura da bandeira ou benchmarks com respostas conhecidas que já podem estar escondidas nos dados de treinamento de modelos. Este episódio foi diferente em um aspecto importante: a análise teve como alvo o código de produção atual, e os próprios mantenedores do curl, e não o AISLE, decidiram se cada descoberta era real e se justificava um CVE. Como Stenberg documentou publicamente o resultado zero dos modelos de fronteira antes do AISLE executar seu sistema, a comparação carregou uma linha de base com registro de data e hora que é rara nas reivindicações dos fornecedores.
Vale a pena manter o contexto do fornecedor em vista. A AISLE vende auditoria de código de IA como um produto, e a postagem do blog é um marketing explícito para sua tese "Sistema sobre Modelo" - o argumento de que sistemas especializados de IA podem superar modelos de fronteira de uso geral na descoberta do dia zero no mundo real. Os comentaristas do Hacker News fizeram a mesma observação, observando que a postagem contém poucos detalhes técnicos sobre a metodologia, embora a discussão do código público da empresa sugira uma abordagem que combina a segmentação guiada por LLM com a difusão tradicional: os modelos identificam funções interessantes e geram equipamentos de teste, depois as descobertas do fuzzer são triadas. A empresa já havia divulgado seis CVEs curl em junho, incluindo o que descreveu como o problema mais antigo já relatado no projeto.
O padrão pode se estender além da ondulação
O sinal mais provocativo veio de fora do projeto curl. Greg Kroah-Hartman, o mantenedor de longa data das versões estáveis do kernel do Linux, respondeu ao post de Stenberg dizendo: "Estou vendo o mesmo para o Linux também. Não tenho ideia do que o Aisle está fazendo de diferente, mas uau." Se um sistema de IA especializado está revelando de forma independente vulnerabilidades válidas no kernel do Linux que os modelos de fronteira não percebem, a lacuna não é uma peculiaridade de uma base de código.
Para as equipes de segurança corporativa, o episódio ocorre em meio a uma mudança mais ampla. Laboratórios como OpenAI e Anthropic investiram pesadamente no posicionamento de seus modelos de fronteira para trabalho de segurança – a OpenAI confirmou seu Astra como um modelo “crítico” de segurança cibernética apenas esta semana – e vulnerabilidades agora são encontradas regularmente por sistemas de IA em software de código aberto. O resultado curl sugere que os modelos de fronteira por si só não são todo o conjunto de ferramentas: um modelo de uso geral que relata zero descobertas não é prova de que as descobertas não existem.
As conclusões práticas já estão visíveis. As organizações que executam o curl devem atualizar para a versão 8.22.0, que contém correções para todos os seis CVEs. E para as equipes que avaliam ferramentas de segurança de IA, o benchmark que importa não é o desempenho de um modelo em desafios predefinidos, mas se suas descobertas sobrevivem à revisão pelos mantenedores do código de produção real – o padrão que esses seis CVEs acabaram de cumprir.
---
Fique à frente da IAReceba as últimas notícias, análises e avanços sobre IA — tudo em um só lugar.
Leia mais notícias sobre IA →
