As 423 correções do Firefox expõem a lacuna de mantenedores

Em abril de 2026, a Mozilla informou 423 correções de segurança do Firefox, ante 31 um ano antes — mesmo enquanto auditorias assistidas por modelos encontravam bugs mais rápido do que o Firefox costumava recebê-los.

Transformar um achado automatizado em correção ainda exige verificação, divulgação coordenada, revisão de patch e engenharia de releases.

Auditorias independentes superaram o antigo ritmo de relatos do Firefox

A Mozilla disse que o Claude Opus 4.6 encontrou mais de 100 bugs no Firefox durante duas semanas em janeiro, incluindo 14 problemas de alta gravidade. A Mozilla descreveu isso como mais achados do que o Firefox normalmente recebe em mais de dois meses. Separadamente, a OpenAI disse que o GPT-6 Cyber encontrou mais de 81 vulnerabilidades inéditas no Firefox enquanto preparava um lançamento limitado para clientes Daybreak Red. São auditorias distintas relatadas, não uma contagem combinada de falhas não corrigidas diferentes.

A Cloudflare também testou o Mythos Preview da Anthropic em mais de 50 de seus próprios repositórios e descreveu o harness usado para buscar vulnerabilidades. Mozilla, OpenAI e Cloudflare não precisaram de um programa de pesquisa comum para que inspeções repetidas assistidas por modelos valessem a pena. Cada uma tinha código que valia a pena proteger e acesso a ferramentas capazes de examiná-lo em escala.

A contagem da OpenAI tem limites importantes. Seu relatório não estabelece que as falhas do Firefox foram exploradas em ataques reais, que tinham gravidade equivalente ou quanto tempo a Mozilla precisaria para corrigi-las. A OpenAI inicialmente restringiu o GPT-6 Cyber a clientes Daybreak Red, portanto o resultado não mostra que a mesma capacidade estivesse amplamente disponível. Mostra, porém, por que um mantenedor de navegador precisa estar preparado para receber achados em lotes, e não no ritmo habitual.

A Mozilla elevou o ritmo de correções lançadas, não apenas de relatos

A Mozilla colocou no Firefox 150 271 correções para vulnerabilidades identificadas com acesso antecipado ao Mythos Preview. Depois, informou que o Mythos Preview e outros modelos de IA a ajudaram a identificar e lançar 423 correções de segurança do Firefox em abril, ante 31 um ano antes. As 271 correções fazem parte desse relato mais amplo de abril; somar os dois números contaria o trabalho de lançamento duas vezes.

Os lançamentos de abril da Mozilla complicam a tese de que a IA apenas desloca o gargalo para a etapa seguinte. Sua equipe caracterizou a transição como difícil, e não permanentemente desestabilizadora. A comparação não diz qual era a gravidade de todos os 423 problemas nem estabelece que todo projeto possa reproduzir o fluxo de trabalho da Mozilla.

Outros desenvolvedores também tratam a correção como parte da capacidade. OpenAI e Paradigm criaram o EVMbench para avaliar agentes na detecção, exploração e correção de vulnerabilidades em contratos inteligentes. A Microsoft apresentou o Project Perception como um sistema agêntico destinado a corrigir falhas. Nenhum dos anúncios mede os resultados do Firefox, mas ambos situam a unidade útil de trabalho de segurança além do relato inicial de bug.

A divulgação privada compra um tempo que o conhecimento público já não oferece

Pesquisadores da Anthropic disseram que o Mythos Preview poderia transformar uma vulnerabilidade divulgada publicamente em um exploit funcional em horas, em vez de semanas. Essa alegação diz respeito a falhas conhecidas, não prova que atacantes usaram o Mythos contra o Firefox. Ainda assim, ela muda para que serve um atraso na divulgação: mantenedores precisam de um intervalo protegido para reproduzir um relato, avaliar sua gravidade, coordenar-se com as partes afetadas e lançar uma correção.

O GitHub disponibilizou de forma geral a comunicação privada de vulnerabilidades em 2023 para que pesquisadores pudessem contatar confidencialmente mantenedores de código aberto. O canal importa mais quando tanto encontrar quanto explorar uma falha divulgada se tornam mais rápidos. Uma caixa de entrada privada, porém, não consegue revisar um patch nem decidir quando os usuários podem recebê-lo com segurança.

O NIST enfrentava um acúmulo de mais de 25.000 vulnerabilidades em seu National Vulnerability Database em 2025, cerca de dez vezes seu recorde anterior de 2017. A fila de catalogação do NIST não é a fila de patches da Mozilla. A descoberta pode aumentar a pressão sobre vários sistemas operados por humanos, e esvaziar uma fila não esvazia as outras.

Dependências menores não podem tomar emprestada a equipe de releases da Mozilla

A backdoor no XZ Utils chamou atenção em 2024 para os riscos de segurança criados pelas demandas impostas a desenvolvedores de código aberto sem suporte suficiente. A auditoria assistida por IA acrescenta outra carga: um mantenedor pode receber mais relatos plausíveis sem ganhar mais tempo para validá-los. A Linux Foundation disse que Anthropic, Amazon, Google, Microsoft e OpenAI forneceram US$ 12,5 milhões em bolsas para ajudar mantenedores de software livre e de código aberto a lidar com achados de segurança gerados por IA. As bolsas reconhecem que alguém precisa fazer o trabalho após a varredura; não estabelecem que toda dependência agora tenha capacidade suficiente.

Submissões automatizadas de baixa qualidade também podem consumir a atenção de revisores de programas de recompensa por bugs, reservada a falhas genuínas. Um projeto pequeno precisa distinguir uma vulnerabilidade reproduzível de um falso alarme convincente antes de poder decidir por um lançamento. Maior acesso a modelos pode ajudar nessa tarefa, mas o acesso não fornece por si só um mantenedor responsável.

Alianças entre navegadores podem compartilhar decisões de confiança, não o trabalho de patches

Mozilla, Google, Microsoft e Cloudflare fizeram parceria em Private Access Control Tokens para distinguir tráfego web legítimo de humanos ou bots de solicitações indesejadas. O PACT trata de um problema diferente do reparo de vulnerabilidades no Firefox. Ele ilustra como a segurança de navegadores também depende de regras compartilhadas para atividade automatizada, enquanto cada projeto continua responsável pelo código e pelos lançamentos que controla.

As 423 correções de abril da Mozilla mostram que uma equipe de navegador pode ampliar seu pipeline de releases quando a descoberta assistida por modelos acelera. Uma dependência pequena não pode tomar esse pipeline emprestado apenas porque um modelo encontrou seus bugs. Enquanto defensores e atacantes puderem automatizar a busca, o recurso decisivo será o tempo do mantenedor que transforma um relato privado e verificado em um lançamento seguro.