Desenvolvedor do GNOME defende aceitação de relatórios de vulnerabilidades gerados por IA

Michael Catanzaro, desenvolvedor ativo do GNOME e mantenedor do navegador Epiphany, propõe que projetos de código aberto deixem de rejeitar relatórios de vulnerabilidades gerados por inteligência artificial. Embora ferramentas automatizadas tenham sobrecarregado os mantenedores — levando até ao encerramento do programa de recompensas do GNOME — Catanzaro argumenta que essas ferramentas encontram falhas reais que não podem ser ignoradas, especialmente porque agentes maliciosos já as usam para criar exploits. Como exemplo, a ferramenta fwupd corrigiu mais de 250 problemas potenciais de segurança descobertos por scanners de IA em três meses. No GNOME, o número de CVEs (identificadores padrão de vulnerabilidades) saltou de 13 em 2023 para 141 até setembro de 2026.

Catanzaro reconhece os limites da automação: modelos de IA superestimam gravidade, falham em compreender a arquitetura do software e às vezes fabricam dados. Por isso, recomenda que projetos ativem avisos específicos no compilador e apliquem curadoria rigorosa. Ele também solicitou o encerramento do programa de recompensas do GNOME na plataforma YesWeHack, que distribuiu 183.900 euros por 71 vulnerabilidades aceitas de 298 relatórios — observando que incentivos financeiros reduziram a qualidade das submissões. Em posição controversa, Catanzaro recomendou que novos programas do GNOME evitem Rust, citando riscos na cadeia de suprimentos através do gerenciador de pacotes Cargo, apesar de reconhecer que a linguagem elimina categorias inteiras de falhas de segurança de memória. Suas propostas não constituem política oficial da GNOME Foundation.