Spotify duplica alterações de código enquanto a IA encontra falha crítica no kernel

A Spotify relatou que o desenvolvimento assistido por IA mais do que duplicou as suas alterações mensais fundidas, passando de aproximadamente 8.100 para 17.000 em termos homólogos em agosto, segundo a InfoQ. Este aumento de velocidade foi acompanhado por uma manutenção automatizada significativa, com o sistema Fleet Management da Spotify a fundir mais de 2,5 milhões de pedidos de pull de manutenção automatizados, a maioria dos quais foi fundida automaticamente após verificações de segurança. Os ganhos de eficiência foram ainda mais destacados por uma recente migração de Java em serviços de backend que demorou apenas três dias, conforme notado pela InfoQ. No entanto, esta aceleração na entrega coincide com um período em que as próprias ferramentas de IA descobriram vulnerabilidades de segurança graves, sugerindo que a velocidade deve ser equilibrada com controlos de qualidade rigorosos.

No mesmo período, o Tencent Zhuque Lab descobriu uma falha crítica no kernel do Linux utilizando um sistema de IA multiagente denominado Corvus AI, conforme reportado pela The Hacker News. A vulnerabilidade, conhecida como Vghost, permite que utilizadores locais obtenham privilégios de root e potencialmente escapem de máquinas virtuais para o host, afetando kernels do Linux desde a versão 4.11 até à 7.2-rc4. Esta descoberta sublinha a natureza dual da IA na engenharia de software: pode acelerar o desenvolvimento, mas também expor problemas profundos que a revisão humana poderia não detetar. A The Hacker News notou que a falha permite a um utilizador local ler e escrever na memória do kernel à vontade, uma capacidade que persiste ao longo de quase uma década de versões do kernel.

Simultaneamente, o Next.js lançou uma atualização de segurança fora do ciclo habitual a 14 de outubro para abordar duas falhas críticas de execução remota de código, segundo a The Hacker News. A Vercel, desenvolvedora do Next.js, classificou ambas as falhas de execução de código como críticas, com uma pontuação CVSS de 9,5. A atualização também abordou uma falha de negação de serviço de alta severidade que afetava aplicações App Router. A The Hacker News reportou que um dos problemas subjacentes, CVE-2026-96889 na librsvg, foi tornado público a 23 de setembro e corrigido na sharp a 27 de setembro, destacando a importância da aplicação atempada de patches de dependências. Estes eventos ilustram coletivamente que, embora a IA possa aumentar drasticamente o volume de alterações de código, como visto na Spotify, também exige uma revisão humana robusta, testes automatizados que falhem sem correções e uma gestão estrita de dependências para manter a segurança e a fiabilidade.