Em 15 tecnologias de IA monitoradas, quase uma em cada seis vulnerabilidades ainda não tem versão corrigida conhecida — e 10 da coorte já têm exploração observada

Por que importa

Quando não existe versão corrigida conhecida, segurança deixa de ser uma fila de patches e vira decisão de arquitetura. É preciso escolher entre isolar, restringir, mitigar, substituir ou remover a dependência — e isso muda custo, prazo e risco de operação. Na mesma coorte, 12 vulnerabilidades têm EPSS de pelo menos 50%: uma estimativa preditiva da probabilidade de exploração, diferente do registro de exploração já observada do KEV — são medidas distintas, que podem se sobrepor. Em paralelo, a atividade de desenvolvedores nessas tecnologias teve crescimento mediano de 2,3% em 4 canais nos últimos 30 dias. Esse sinal de atividade não mede implantação em produção e não explica as vulnerabilidades: mostra apenas que o ecossistema continua se movimentando enquanto parte do risco permanece sem correção conhecida.

Contrassinais

• A coorte é curada e não representa todo o ecossistema open source; os números descrevem as 15 tecnologias monitoradas.(Metodologia)
• O crescimento de 2,3% mede atividade de desenvolvedores em 4 canais, não implantação em produção, e não estabelece causalidade com vulnerabilidades.(Metodologia)

Evidências

• 16,4% de 578 registros de vulnerabilidade na coorte de 15 tecnologias de IA não têm versão corrigida conhecida.(OSV)
• 10 vulnerabilidades da coorte estão no catálogo KEV, isto é, têm exploração observada.(CISA KEV)
• 12 vulnerabilidades têm EPSS ≥ 50%; em paralelo, a atividade nos 4 canais monitorados cresceu medianamente 2,3% em 30 dias.(EPSS + developer activity)

Limitações