Nunca se escreveu tanto software quanto em 2026, e a fatia dele que passa por um teste de segurança encolheu. O NVD registrou mais de 72 mil vulnerabilidades-CVEs entre janeiro e setembro, contra 48.244 em todo o ano de 2025. O número subiu porque a quantidade de código em produção subiu primeiro.
Com assistentes de IA, uma funcionalidade que levava duas semanas sai numa tarde. O ganho é real e não tem volta. O efeito colateral é que o volume que entra em produção passou a superar com folga a capacidade de qualquer equipe de revisar linha por linha, e boa parte do que foi publicado neste ano nunca foi lida com atenção por um humano.
Um modelo escreve o que funciona, ele otimiza para entregar a funcionalidade pedida e faz isso bem. O que não existe nesse processo é alguém imaginando como aquele mesmo código poderia ser usado contra a empresa, e a ausência passa despercebida justamente porque o resultado funciona.
Os vazamentos que chegaram ao noticiário em 2026 quase nunca começaram numa técnica inédita. Começaram num endpoint sem verificação de autorização, numa chave de API esquecida no repositório, num parâmetro que aceitava o identificador de outro cliente. Falhas de manual, em código recém publicado, achadas por quem procurou antes.
Testar com a visão do atacante é diferente de revisar código. O pentest existe para que essa descoberta aconteça do lado certo. Uma falha encontrada em teste custa algumas horas de correção e termina ali, antes de qualquer dano. A mesma falha encontrada por um criminoso vira dado de cliente exposto, operação interrompida e um custo que se arrasta muito além do conserto técnico.
Grupos criminosos já levaram IA para dentro de suas operações. Usam a tecnologia para varrer aplicações, testar hipóteses em massa e achar falhas numa fração do tempo que isso exigia antes. A procura por brechas acelerou do lado de fora, enquanto dentro das empresas a verificação ficou no ritmo antigo.
A conta é simples. Se a empresa não testa o próprio código, alguém testa por ela, e esse alguém não vai avisar.
