Se os seus sites rodam em PHP, a primeira coisa a fazer diante desta notícia é aplicar as correções. A OpenAI diz que passou dois meses liderando uma coalizão de mantenedores, pesquisadores e fornecedores de segurança para corrigir vulnerabilidades críticas na linguagem que sustenta boa parte da web. Uma das falhas foi encontrada pela empresa de segurança Calif usando o GPT-5.6 Sol, dentro da iniciativa Patch the Planet da OpenAI; a Wiz descobriu e relatou as duas de forma independente. Os mantenedores do PHP conduziram as correções e o lançamento, e a OpenAI considera o caso um dos problemas de segurança mais graves dos últimos tempos.
A contribuição prática da OpenAI é um verificador de versões do PHP lançado como skill do Codex, que ajuda operadores a descobrir se suas versões estão afetadas e quais atualizações se aplicam. Nos bastidores, a empresa diz ter ajudado a testar as correções, coordenar proteções com provedores de hospedagem e infraestrutura e informar partes do governo americano, incluindo o Office of the National Cyber Director. Também se comprometeu com US$ 1 bilhão em acesso subsidiado ao Daybreak, seu programa de modelos com capacidade cibernética, voltado a organizações com poucos recursos que protegem serviços essenciais.
A parte maior do anúncio é uma proposta de estrutura para lidar com falhas críticas encontradas por IA. São cinco etapas: validar e corrigir o bug na origem, incluindo testes adversariais da correção com modelos de fronteira; dar tempo às organizações afetadas para se prepararem; coordenar com parceiros do governo; preparar atualizações nos produtos afetados; e publicar orientações quando houver correção. Os mantenedores decidem quem é avisado antes, e o cronograma é revisto se surgirem exploração, vazamentos ou uma correção pública que entregue a falha. A OpenAI diz esperar que achados assim aumentem muito nos próximos meses.
A lógica é boa. Quando modelos encontram falhas graves mais rápido do que pequenas equipes voluntárias conseguem corrigi-las, a divulgação precisa de mais estrutura, e isso bate com o que a Anthropic e outros descreveram em seus próprios trabalhos recentes de segurança.
A questão de governança é mais difícil. Uma empresa que vende os modelos que encontram as falhas agora propõe coordenar quem fica sabendo e quando, e ao mesmo tempo decide quem recebe acesso subsidiado a esses modelos. A OpenAI pede opiniões e admite que seus próprios classificadores de bloqueio podem atrapalhar trabalho legítimo de segurança. A estrutura teria mais peso se fosse mantida por um órgão neutro, como um CERT ou uma fundação de código aberto, e não por um fornecedor, e a comunidade de segurança faz bem em insistir nisso antes de adotá-la.