Estados Unidos lançam sistema com IA para encontrar e corrigir falhas de segurança

O governo dos Estados Unidos colocou em operação uma nova estrutura federal destinada a coordenar a descoberta, validação, priorização e correção de vulnerabilidades cibernéticas identificadas com o apoio de inteligência artificial.

Batizada de Gold Eagle, a iniciativa pretende conectar órgãos públicos, empresas de tecnologia, operadores de infraestrutura crítica e mantenedores de software de código aberto em um sistema centralizado para o processamento seguro de falhas encontradas em softwares e redes.

Anunciado pela Casa Branca em 14 de julho de 2026, o programa está sob coordenação do Departamento do Tesouro, com participação do Departamento de Segurança Interna, da Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA, e de estruturas federais ligadas à defesa.

Segundo Sean Cairncross, diretor nacional de cibersegurança dos Estados Unidos, o objetivo é permitir uma coordenação de vulnerabilidades descobertas por IA em velocidade e escala superiores às observadas nos modelos tradicionais de divulgação e correção.

A iniciativa foi estabelecida pela ordem executiva 14409, intitulada “Promoting Advanced Artificial Intelligence Innovation and Security”, assinada em 2 de junho de 2026. A determinação orientou a criação de um novo modelo operacional de defesa cibernética baseado no uso de sistemas avançados de IA e na colaboração entre governo e setor privado.

Na prática, o Gold Eagle funcionará como uma central de recebimento e coordenação. Vulnerabilidades encontradas por ferramentas automatizadas poderão ser enviadas ao ambiente, avaliadas, confirmadas e classificadas conforme o risco antes de serem encaminhadas às organizações responsáveis pela correção.

A Casa Branca informou que a plataforma já começou a receber informações sobre falhas, coordenar verificações e priorizar correções em softwares e redes utilizados por diferentes setores da economia norte-americana.

O uso de inteligência artificial em segurança de aplicações permite analisar grandes volumes de código, configurações, dependências e comportamentos de sistemas em busca de erros que poderiam ser explorados por invasores.

Modelos avançados podem apoiar atividades como revisão de código, identificação de padrões inseguros, análise de caminhos de execução e geração de provas de conceito. Essa capacidade amplia significativamente o volume de vulnerabilidades que pode ser encontrado, mas também cria um desafio operacional: confirmar quais resultados são válidos, determinar sua gravidade e coordenar a correção antes que as falhas sejam exploradas.

Segundo um alto funcionário da Casa Branca citado no anúncio, o Gold Eagle deverá evitar que diferentes empresas e agências desperdicem recursos examinando ou corrigindo repetidamente a mesma vulnerabilidade.

A central também buscará reduzir falsos positivos e duplicações. Depois da validação, equipes formadas por engenheiros do governo e da iniciativa privada poderão realizar a triagem, definir prioridades e coordenar medidas de mitigação.

Esse processo é particularmente importante porque ferramentas de IA podem produzir grandes quantidades de alertas. Sem um mecanismo centralizado de validação, fornecedores e operadores de infraestrutura crítica poderiam receber registros duplicados, incompletos ou sem contexto suficiente para avaliar o impacto real.

O Gold Eagle deverá empregar modelos de inteligência artificial de diferentes fornecedores, incluindo tecnologias proprietárias. Autoridades informaram que o modelo Mythos, da Anthropic, está entre os sistemas previstos para apoiar a busca por vulnerabilidades.

A estrutura técnica de recebimento das vulnerabilidades inclui uma plataforma chamada Vulnerability Information and Coordination Environment, ou VINTS.

O ambiente foi desenvolvido com o apoio do Software Engineering Institute da Universidade Carnegie Mellon e deverá funcionar como a porta de entrada para descobertas enviadas por terceiros, incluindo falhas identificadas com ferramentas de IA.

O VINTS deverá permitir o processamento e o compartilhamento seguro das informações, preservando etapas de validação, classificação, priorização, divulgação coordenada e correção.

A divulgação coordenada é uma prática utilizada para impedir que detalhes técnicos de uma vulnerabilidade sejam publicados antes que o fornecedor tenha tempo para desenvolver uma atualização. Quando uma falha crítica é divulgada prematuramente, hackers podem analisar as informações e criar exploits antes que empresas e usuários consigam instalar as correções.

As autoridades afirmaram que ainda estão estruturando o mecanismo usado para distribuir os dados aos participantes sem provocar vazamentos. O desafio será garantir que fornecedores e operadores afetados recebam informações técnicas suficientes para corrigir as falhas, sem ampliar o risco de exploração.

A participação de operadores de infraestrutura crítica coloca o Gold Eagle em uma posição estratégica para a proteção de setores como energia, telecomunicações, finanças, transportes, saúde e serviços governamentais.

Vulnerabilidades nesses ambientes podem gerar consequências que ultrapassam o comprometimento de dados, incluindo paralisações operacionais, interrupção de serviços essenciais e impactos sobre cadeias de suprimentos.

O programa também inclui fornecedores e mantenedores de software de código aberto. Esses componentes são amplamente reutilizados em produtos comerciais, serviços de nuvem, aplicações corporativas, dispositivos conectados e sistemas industriais.

Uma vulnerabilidade em uma biblioteca popular pode afetar milhares de produtos simultaneamente. O caso da falha Log4Shell, encontrada na biblioteca Log4j em 2021, demonstrou como um único componente de código aberto pode exigir uma mobilização prolongada entre governos, fabricantes e empresas para identificar todos os sistemas vulneráveis e aplicar correções.

Ao centralizar descobertas geradas por inteligência artificial, o governo pretende reduzir a duplicação de esforços e permitir que as correções sejam priorizadas conforme o alcance do software, a exposição dos sistemas e o potencial de exploração.

A iniciativa, contudo, dependerá da capacidade das organizações de absorver as informações produzidas. Encontrar vulnerabilidades com maior velocidade não garante que elas serão corrigidas no mesmo ritmo, especialmente em ambientes legados, sistemas industriais e infraestruturas que não podem ser interrompidas facilmente para manutenção.

Segundo autoridades da Casa Branca, a operação do Gold Eagle utiliza mecanismos estabelecidos pelo Cybersecurity Information Sharing Act de 2015, legislação que oferece proteções para o compartilhamento voluntário de indicadores de ameaças cibernéticas entre empresas e o governo.

A administração pediu ao Congresso que renove a legislação, cuja vigência está prevista para terminar em setembro. Um alto funcionário afirmou que, sem a reautorização, a continuidade do programa poderá enfrentar obstáculos jurídicos e operacionais.

A base legal é relevante porque empresas podem hesitar em compartilhar informações sobre falhas, incidentes e sistemas vulneráveis quando existe risco de responsabilização, exposição pública ou uso regulatório dos dados.

O Gold Eagle representa uma tentativa de adaptar os processos tradicionais de gestão e divulgação de vulnerabilidades a um cenário no qual sistemas de inteligência artificial conseguem encontrar falhas em escala crescente.

O resultado dependerá não apenas da capacidade técnica dos modelos utilizados, mas também da qualidade da validação, da proteção das informações, da colaboração dos fornecedores e da velocidade com que as organizações conseguirão transformar as descobertas em correções efetivas.