Como hackei o Facebook (recompensa de $3000) e porquê LLM gera código inseguro

Como hacker ético, sigo uma regra importante: só falo sobre uma falha de segurança depois que ela for corrigida. Às vezes, isso leva meses. Felizmente, empresas como a Meta têm políticas claras para isso. Depois que o problema é resolvido, a falha pode ser divulgada com autorização — um bom equilíbrio entre segurança e transparência.

Em um fim de semana de 2024, encontrei o que parecia ser o sonho de qualquer hacker: uma forma quase mágica de acessar contas do Facebook. A equipe da Meta corrigiu tudo com agilidade.

Mas este texto não é sobre essa falha em si — é sobre o que ela representa para o futuro. Se quiser detalhes técnicos, tem um link com todas as informações.

Mesmo empresas com grandes times de segurança são hackeadas todos os dias. Isso mostra que segurança não é um destino, mas uma corrida constante contra novas ameaças. E com o crescimento das IAs que geram código automaticamente, essa corrida ficou ainda mais complicada.

Surgem então algumas perguntas inevitáveis: essas IAs pensam em segurança? Elas entendem o contexto em que o código vai rodar? (Spoiler: não.)

Na prática, esses modelos foram treinados com códigos públicos de plataformas como GitHub e StackOverflow. Mas quem garante que esses códigos estavam certos? Quem revisa se o que a IA sugere não tem falhas, backdoors ou práticas inseguras?

Muitas vezes, quem está usando a IA não tem conhecimento técnico para perceber o risco — ou pior, confia apenas porque “foi a IA que sugeriu”. Por isso, é comum que essas ferramentas gerem código inseguro.

Segurança não pode ser um pensamento de última hora. E mesmo com ajuda da IA, a responsabilidade pelo que construímos ainda é nossa.

:) valeu, devs