Charles Guillemet alerta que a IA facilita localizar e explorar vulnerabilidades, e critica pesquisadores por divulgar falhas antes de correções. Ele recomenda reporte privado aos fabricantes para reduzir riscos.
Fabricantes de carteiras de hardware pediram uma abordagem mais responsável na divulgação de vulnerabilidades de segurança, em meio a preocupações de que a inteligência artificial esteja tornando falhas mais fáceis de localizar e explorar. O diretor de tecnologia da Ledger, Charles Guillemet, criticou pesquisadores que vêm publicando descobertas antes que correções estejam disponíveis, descrevendo esse comportamento como uma prática arriscada para terceiros.
“caça por atenção com o risco de outra pessoa”
O apelo foi acompanhado de uma recomendação prática: pesquisadores devem reportar falhas em particular aos fornecedores e concordar com um cronograma para a correção antes de divulgar detalhes publicamente. Como padrão comum, foi citado um prazo de 90 dias, com flexibilização conforme a gravidade da vulnerabilidade e o esforço necessário para eliminá-la.
“Noventa dias são um compromisso do fornecedor, não apenas do pesquisador”, disse Jan Komárek, chefe de segurança da Trezor.
Komárek também orientou pesquisadores a priorizarem o contato inicial com os fornecedores e a negociarem um prazo para remediação antes da publicação. A mensagem central foi que a divulgação coordenada pode equilibrar o reconhecimento técnico com a proteção dos usuários, evitando expor sistemas antes de existirem correções eficazes.
“Pesquisadores: venham primeiro até nós, concordem com um cronograma, depois publiquem tudo e, se não conseguirmos enviar uma correção dentro dessa janela, publiquem mesmo assim”
A segurança das carteiras de hardware passou a receber atenção intensificada depois que roubos ligados à Coldcard superaram a marca de US$ 100 milhões e uma violação de dados em um fornecedor de remessas da Trezor expôs informações pessoais de dezenas de milhares de clientes. Em decorrência, houve ainda o comunicado de que a violação afetou outros 67 mil clientes nos Estados Unidos.
O apelo por responsabilidade na divulgação trafega entre duas necessidades claras: a urgência de quem descobre uma falha e a necessidade de proteger usuários e ativos enquanto correções são desenvolvidas e distribuídas. A proposta de negociar cronogramas, com um prazo-padrão de 90 dias ajustável por gravidade técnica, surge como uma diretriz prática para reduzir riscos sem silenciar pesquisadores.
Em resumo, as empresas pediram que pesquisadores adotassem um fluxo de trabalho de divulgação responsável: relatar em particular, acordar prazos realistas e só publicar com maiores garantias de correção — ou após o término do prazo acordado caso a correção não tenha sido enviada.
Fonte: Cointelegraph Brasil
Siga o Ensinando a Vencer e receba nossos conteúdos em primeira mão.
