Um novo relatório da CrowdStrike revela que grupos cibercriminosos, impulsionados pelo uso de inteligência artificial, já convertem vulnerabilidades recém-divulgadas em exploits operacionais em menos de 24 horas tornando o modelo tradicional de ciclo de 30 dias para aplicação de patches completamente obsoleto e expondo empresas de todos os setores a um risco sem precedentes.
O tempo que uma organização tem para se proteger após a divulgação de uma falha crítica chegou ao limite. O CrowdStrike Threat Hunting Report 2026 confirma o que muitos CISOs temiam: adversários habilitados por inteligência artificial já operam exploits funcionais em menos de 24 horas. A janela de exploração de vulnerabilidades praticamente desapareceu.
O documento, divulgado em agosto de 2026, é um retrato brutal da nova realidade ofensiva. Não se trata de tendência futura. Está acontecendo agora, em escala industrial.
88% dos exploits chegam em menos de 48 horas
Os números são contundentes. No primeiro semestre de 2026, 88% das explorações de vulnerabilidades com Proof of Concept (PoC) público monitoradas pela CrowdStrike ocorreram dentro de 48 horas após o lançamento do PoC. Em muitos casos, o ataque veio antes mesmo da divulgação oficial.
Grupos ligados à China, identificados como VAULT PANDA e GENESIS PANDA, lançaram campanhas deliberadas dentro de 24 horas após a publicação de vulnerabilidades críticas. A velocidade não é acidente é método.
Para contextualizar a dimensão do problema: em 2024, foram registradas 40.287 vulnerabilidades, o equivalente a mais de 100 novas falhas por dia. Em 2025, os CVEs publicados atingiram 48.244, crescimento de 20% ano a ano. A superfície de ataque cresce. O tempo de reação encolhe.
IA como motor da aceleração ofensiva
A inteligência artificial não é apenas ferramenta dos defensores. O relatório da CrowdStrike documenta que adversários habilitados por IA ampliaram suas operações em 89% ano a ano, empregando automação em reconhecimento, roubo de credenciais e evasão de controles de segurança.
Sistemas de IA já conseguem gerar código de exploit funcional para CVEs publicados em 10 a 15 minutos, ao custo aproximado de um dólar por tentativa, segundo dados da Cloud Security Alliance. O custo marginal do crime caiu. A velocidade de operacionalização disparou.
Dentro dos ambientes monitorados pela CrowdStrike, a IA registrou volume de atividades 2,5 vezes maior do que o gerado por usuários humanos. A janela de exploração de vulnerabilidades não colapsa por acaso: ela colapsa porque existe infraestrutura automatizada dedicada a isso.
O breakout time tempo médio entre acesso inicial e movimento lateral dentro da rede caiu para 29 minutos em 2025. O caso mais rápido registrado no período: 27 segundos.
Novas frentes: vishing, nuvem e cadeia de suprimentos
O relatório não se limita à exploração de vulnerabilidades técnicas. Ele aponta três frentes de expansão que exigem atenção imediata dos times de segurança.
Os ataques de vishing — phishing por voz — dobraram no primeiro semestre de 2026 em relação ao segundo semestre de 2025. Grupos como CORDIAL SPIDER e SNARKY SPIDER comprometem aplicações SaaS integradas a SSO com eficiência alarmante. Em um incidente documentado, o SNARKY SPIDER passou da tomada de conta ao roubo de dados em menos de cinco minutos.
Na nuvem, a atividade criminosa focada em ambientes cloud classificada como cloud-conscious eCrime cresceu 171% ano a ano. As táticas incluem roubo de credenciais, cryptomining, abuso de LLMs (LLMJacking) e roubo de ativos financeiros digitais.
Na cadeia de suprimentos de software, atores ligados à Coreia do Norte (DPRK) envenenaram 131 pacotes confiáveis de frameworks de IA. O vetor não é a vulnerabilidade técnica é a confiança implícita em bibliotecas amplamente utilizadas.
O modelo de 30 dias está morto
Durante anos, o ciclo de 30 dias para aplicação de patches foi referência de boas práticas. Esse modelo não existe mais como proteção real.
A Rapid7 registrou aumento de 105% na exploração confirmada de vulnerabilidades com CVSS entre 7 e 10 recém-divulgadas de 71 casos em 2024 para 146 em 2025. A Qualys aponta que o tempo médio até a exploração caiu para menos de 24 horas. Em aproximadamente 60% das brechas analisadas pelo J.P. Morgan, um patch já estava disponível no momento do comprometimento. O problema não é ausência de solução é ausência de velocidade.
Reguladores já responderam. A CISA reduziu o prazo de remediação de vulnerabilidades críticas de 15 para 3 dias para órgãos federais dos EUA. O mercado corporativo precisa calibrar seus processos no mesmo ritmo.
O que CISOs precisam fazer agora
O relatório da CrowdStrike não apenas diagnostica ele aponta a direção. Diante de adversários que operam em minutos, as equipes de segurança precisam abandonar ciclos de resposta semanais ou mensais.
Automação, IA defensiva, monitoramento contínuo e threat hunting proativo deixaram de ser diferenciais competitivos. São requisitos de sobrevivência operacional. A janela de exploração de vulnerabilidades agora é medida em horas e a resposta precisa ser proporcional.
O déficit global de aproximadamente 4,8 milhões de profissionais de cibersegurança, apontado pelo J.P. Morgan, torna ainda mais urgente o investimento em plataformas integradas e em automação de resposta. Não é possível escalar equipes humanas no mesmo ritmo que adversários escalam algoritmos.
Assine a nossa News e siga o Itshow nas redes sociais para ficar por dentro de todas as notícias do setor de TI e Cibersegurança!