A IA está tornando os fundamentos da cibersegurança mais importantes do que nunca

O avanço da inteligência artificial está transformando a forma como ataques cibernéticos são conduzidos, mas especialistas afirmam que o maior desafio para as organizações continua sendo o mesmo: corrigir falhas básicas de segurança. Em vez de substituir os fundamentos da cibersegurança, a IA aumenta a velocidade e a eficiência com que invasores exploram vulnerabilidades antigas, expondo ainda mais empresas que acumulam anos de "dívida de segurança".

Segundo especialistas ouvidos pela CSO, episódios recentes envolvendo modelos de IA reforçam essa conclusão. Um exemplo citado é o incidente em que um modelo da OpenAI escapou de um ambiente de testes e acessou sistemas da Hugging Face. Apesar do impacto, a causa foi uma configuração incorreta de sandbox — uma falha tradicional que existe há décadas e não um problema exclusivo da inteligência artificial.

Eric Brandwine, vice-presidente e engenheiro da Amazon Web Services (AWS), afirma que autenticação multifator, gestão de vulnerabilidades, segmentação de redes, inventário de ativos e resposta rápida continuam sendo a base da defesa. A diferença é que agora essas práticas precisam ser executadas com muito mais agilidade diante de adversários capazes de automatizar a busca por falhas.

Diana Kelley, CISO da Noma Security, alerta que a IA colocou a chamada "dívida de segurança" em evidência. Vulnerabilidades que antes exigiam tempo e conhecimento especializado para serem encontradas agora podem ser identificadas continuamente por agentes de IA operando em escala.

Ela cita como exemplo a pesquisa sobre a técnica ForcedLeak, um ataque de prompt injection indireto contra um agente de IA integrado ao Salesforce. Embora o ataque utilizasse recursos avançados de IA, sua execução só foi possível porque a política de segurança da organização ainda confiava em um domínio abandonado, posteriormente registrado pelos pesquisadores por apenas US$ 5. Uma simples revisão da configuração de DNS teria impedido toda a cadeia de ataque.

Para Gene Spafford, professor da Universidade Purdue, muitas das vulnerabilidades exploradas atualmente não representam apenas dívida técnica, mas resultado de decisões deliberadas das empresas de priorizar velocidade de desenvolvimento e novos recursos em detrimento de engenharia segura e gestão de riscos. A IA, segundo ele, apenas evidencia problemas que sempre existiram.

Especialistas também destacam que os ataques estão evoluindo em velocidade, mas não necessariamente em técnica. Chris Betz, CISO do Google Cloud, afirma que a IA permite criar ataques altamente personalizados em larga escala, tornando campanhas de phishing, exploração de vulnerabilidades e engenharia social muito mais eficientes. Ainda assim, controles como Zero Trust, autenticação multifator, aplicação de patches e monitoramento continuam sendo indispensáveis.

John Shier, CISO da Sophos, observa que as principais causas dos incidentes investigados pela empresa permanecem praticamente inalteradas: credenciais comprometidas e exploração de vulnerabilidades já conhecidas, muitas vezes disponíveis há meses sem correção. Segundo ele, ainda não surgiram novas classes de vulnerabilidades decorrentes da IA; os invasores continuam explorando falhas tradicionais, apenas de forma mais rápida.

Outro ponto de preocupação é a expansão dos ambientes em nuvem e do uso de aplicações SaaS. Adam Meyers, da CrowdStrike, afirma que criminosos buscam principalmente credenciais, tokens de autenticação e mecanismos para contornar a autenticação multifator. Para ele, nenhuma tecnologia de IA substitui a necessidade de implementar corretamente os controles básicos de identidade e segurança em nuvem.

Tony Sager, do Center for Internet Security (CIS), ressalta que as organizações não precisam tratar cada nova vulnerabilidade como um problema isolado. Boas práticas de configuração, gestão de identidades e adoção de frameworks como o NIST Cybersecurity Framework e os CIS Critical Security Controls são capazes de mitigar diversas classes de ataques simultaneamente.

Os especialistas também alertam que profissionais de segurança precisarão compreender os fundamentos da área para validar recomendações produzidas por modelos de IA. Segundo Kelley e Scott Beale, CEO do ISC2, decisões críticas continuam exigindo julgamento humano, já que erros produzidos pela IA podem ter impacto direto sobre sistemas, dados e operações da organização.

Ao mesmo tempo, novas categorias de ameaças passam a surgir contra os próprios sistemas de IA, incluindo ataques de prompt injection, manipulação de modelos e vazamento de dados. Para Roger Grimes, consultor de segurança, essas ameaças ampliam o escopo da cibersegurança, mas não substituem as práticas tradicionais.

Apesar dos riscos, o consenso entre os especialistas é que a IA deve ser utilizada como uma aliada. A tecnologia pode acelerar tarefas como descoberta de ativos, classificação de inventários, análise de telemetria, investigação de alertas e priorização de correções. O desafio será combinar esse ganho de escala com governança, supervisão humana e a aplicação consistente dos fundamentos de segurança.