IA e PHP legado: risco cresce, mas a prova em horas não aparece

Se você usa PHP legado em produção, a ameaça mais concreta não é uma demonstração de que uma IA encontrou uma falha em horas. É a combinação de código antigo, auditoria automatizada e decisões tomadas com dados insuficientes. A pauta associada ao vídeo "PHP updated", de Paula Bernardes coloca essa aceleração no centro da discussão, mas os números disponíveis não comprovam tempo de descoberta, quantidade de vulnerabilidades ou exploração bem-sucedida.

Isso muda a decisão: você pode tratar modelos avançados como ferramentas de triagem e revisão, mas não como evidência de que um sistema está seguro — ou comprometido — em um prazo específico.

O que os dados mostram — e o que não mostram

O catálogo reúne 673 modelos de 83 criadores. Entre os índices do Artificial Analysis, o Kimi K3.1 Pro estreou com nota de inteligência de 55,1 e preço de US$ 4 por milhão de tokens. O modelo aparece atrás de configurações do Claude Opus 5.5, que chegam a 57,6, e do Claude Sonnet 5.5, com 56.

Essas notas não são uma medição de auditoria de PHP. Nas fichas apresentadas, os campos de código e uso agêntico aparecem sem valor para os modelos citados. Também não há duração de teste, taxa de identificação de falhas, número de arquivos examinados ou confirmação de exploração.

Portanto, a afirmação de que modelos avançados expõem falhas críticas em horas permanece uma hipótese operacional plausível, não um resultado medido por esses dados. Para um CTO, a diferença importa: uma IA pode apontar padrões suspeitos, mas a confirmação exige reprodução controlada, revisão do contexto e teste sem colocar a produção em risco.

A conta pode mudar antes da arquitetura

O OpenRouter registrou 18 mudanças de preço no dia. O Z.ai GLM Latest passou de US$ 1,40 para US$ 4,295 por milhão de tokens, alta de 206,8%. O DeepSeek Flash Latest dobrou, de US$ 0,50 para US$ 1.

Houve movimentos na direção oposta. O MoonshotAI Kimi Latest caiu de US$ 24 para US$ 8,94, redução de 62,8%, enquanto o Z.ai GLM Flash Latest foi de US$ 0,199 para US$ 0,079. O DeepSeek V4 Pro 0423 também aparece com redução de US$ 1,041 para US$ 0,418 em uma das alterações registradas.

Para auditoria de legado, isso cria um problema prático. Um fluxo que lê muitos arquivos, repete instruções e pede justificativas detalhadas pode consumir muito mais tokens do que uma revisão pontual. Trocar de modelo sem fixar preços, limites e critérios de saída pode transformar uma rotina de segurança em uma despesa variável difícil de prever.

Contexto longo ajuda, mas não corrige PHP

O Claude Haiku 5.5 custa US$ 0,10 por milhão de tokens de entrada e US$ 0,50 de saída, com janela de contexto de 1 milhão de tokens no OpenRouter. O Claude Opus 5.5 custa US$ 4 de entrada e US$ 20 de saída, também com 1 milhão de tokens de contexto.

Uma janela grande pode permitir que você envie mais arquivos relacionados, chamadas internas e documentação de um sistema legado. Isso não garante que o modelo entenda dependências implícitas, regras de negócio antigas ou configurações que não aparecem no código. Contexto é capacidade de leitura; não é validação de segurança.

O mesmo vale para o ranking do Artificial Analysis. O Kimi K3.1 Pro estar entre os modelos mais bem avaliados em inteligência não transforma sua nota em um índice de detecção de vulnerabilidades. Para escolher uma ferramenta de auditoria, você precisa de testes próprios com falhas conhecidas, taxa de falsos positivos e um processo que impeça alterações automáticas sem aprovação.

Para quem isso vale

A mudança é relevante para equipes que mantêm aplicações PHP antigas, têm poucos profissionais de segurança e precisam priorizar arquivos para revisão. Nesses casos, um modelo pode ajudar a localizar entradas não validadas, autenticação inconsistente ou trechos que merecem inspeção — desde que cada alerta seja tratado como hipótese.

Para quem já possui análise estática, testes automatizados, monitoramento e revisão especializada, a IA pode reduzir trabalho repetitivo, mas não substitui os controles existentes. Para uma aplicação pequena e pouco alterada, os preços e as notas de modelos avançados também não justificam automaticamente uma migração: o custo depende do volume de código, da frequência das varreduras e do modelo escolhido.

A implicação para a infraestrutura é direta: antes de aumentar o orçamento de API, reserve capacidade para atualizar dependências, reproduzir achados em ambiente isolado e corrigir os pontos confirmados. A velocidade da IA só reduz o risco quando a equipe consegue verificar e corrigir o que ela encontra.