A inteligência artificial está tornando algumas etapas de ataques cibernéticos mais rápidas e escaláveis. O efeito, segundo profissionais do setor ouvidos em uma conferência de risco cibernético em Nova York, não é necessariamente criar novos objetivos para invasores, mas permitir que práticas já conhecidas — como phishing, ransomware e busca por vulnerabilidades — sejam executadas com maior velocidade e alcance. Para empresas e usuários, isso reduz o tempo disponível para identificar uma invasão e reagir.
Esse contexto ganhou atenção no Brasil após o Serpro relatar um ataque que classificou como “sem precedentes” contra o Gov.br e suas estruturas tecnológicas. A informação foi divulgada por um diretor da estatal durante um evento sobre inteligência artificial, mas não veio acompanhada de uma descrição técnica do episódio. Até a publicação do relato, não haviam sido confirmados detalhes sobre sistemas atingidos, método empregado, interrupção de serviços, vazamento de dados ou comprometimento de contas.
A distinção é importante: o anúncio de um ataque não comprova que a IA foi usada naquela ocorrência. A reportagem sobre a declaração do Serpro menciona que o presidente da empresa já havia falado sobre tentativas de acesso por agentes de IA, mas não estabelece que essas tentativas expliquem o incidente específico. Sem informações sobre a origem, a técnica e os efeitos da ofensiva, não é possível concluir se houve invasão bem-sucedida nem medir o impacto para os cidadãos.
Mais escala, menos tempo para reagir
A avaliação apresentada por Emily Licitra, executiva da seguradora Arch Insurance, é que a IA amplia ameaças existentes: pode tornar mais rápidos e escaláveis o phishing, os ataques de ransomware e a exploração de falhas. A tecnologia também pode acelerar a identificação de vulnerabilidades, encurtando o intervalo entre a descoberta de uma brecha e sua exploração. Isso pressiona equipes de defesa, que precisam detectar e corrigir problemas em menos tempo.
Para uma pessoa, uma mensagem fraudulenta mais convincente pode aumentar a chance de entregar credenciais ou abrir um arquivo malicioso. Para uma empresa, a automação pode permitir que tentativas sejam lançadas contra mais alvos, enquanto uma falha ou credencial comprometida pode afetar sistemas e dados usados no trabalho. Esses riscos não significam que todo uso de IA resulte em ataque ou que um incidente seja inevitável; mostram, sobretudo, que os controles precisam acompanhar a velocidade das ameaças.
O caso do Gov.br ilustra por que a segurança de serviços digitais importa para além de uma organização. De acordo com dados do Ministério da Gestão e da Inovação citados na reportagem sobre o episódio, a plataforma tinha 179,5 milhões de contas ativas, além de milhares de serviços e sistemas integrados. O portal dá acesso a serviços públicos e benefícios. Uma indisponibilidade ou falha na autenticação poderia dificultar esse acesso, embora não haja confirmação de que isso tenha ocorrido no episódio relatado.
Preparação ainda incompleta
Um levantamento global da Cohesity, realizado pela Vanson Bourne com 3.200 líderes de TI e segurança em 12 países, aponta lacunas entre o reconhecimento do risco e a preparação. Segundo os resultados divulgados, 99% dos entrevistados brasileiros consideram necessário rever planos de resposta a incidentes relacionados à IA, mas 45% das organizações brasileiras têm planos abrangentes de recuperação que contemplam ataques a sistemas e aplicações de IA.
O mesmo levantamento indica que 51% das empresas brasileiras não mantêm um inventário centralizado das aplicações de IA em uso e que 46% não têm plena confiança de que conseguiriam verificar a integridade de um modelo após um ataque. São dados de uma pesquisa divulgada pela própria Cohesity, fornecedora do setor; portanto, devem ser lidos como resultados de um levantamento empresarial, não como um censo de todas as organizações brasileiras.
A falta de inventário dificulta saber quais ferramentas, modelos, integrações e dados podem ter sido afetados. A resposta a um incidente envolvendo IA pode exigir mais do que restaurar sistemas: é preciso verificar se modelos e dados permanecem íntegros, revisar credenciais e entender se houve ações indevidas antes da contenção. A pesquisa também destaca o uso de ferramentas não autorizadas, conhecido como “IA sombra”, que pode expor informações e tornar mais difícil identificar os ativos envolvidos.
Como próximos passos, as organizações podem mapear aplicações e agentes de IA em uso, rever acessos e integrações, acompanhar atividades e testar seus procedimentos de contenção e recuperação. A preparação precisa considerar quem pode interromper um sistema ou credencial comprometida, como preservar evidências e como retomar operações com segurança. Essas medidas não eliminam o risco, mas ajudam a reduzir a dependência de improviso quando ocorre um incidente.
Proteção não se resume a seguro
A discussão também alcança pequenas e médias empresas. Steven Robinson, da corretora RPS, estimou que menos de 25% das empresas menores tinham cobertura cibernética e defendeu que ela seja apresentada como parte padrão do programa de seguros, em vez de um adicional opcional. Ele também recomendou simplificar a contratação e tratar a cobertura como instrumento de continuidade dos negócios, não como venda baseada no medo.
A estimativa foi apresentada em uma conferência nos Estados Unidos e não deve ser tomada como medida de adesão no Brasil. Tampouco o seguro substitui prevenção, resposta técnica ou recuperação: a própria discussão aponta para a necessidade de planos e controles. Para empresas e pessoas, a mensagem mais sólida é que a IA pode acelerar riscos conhecidos, enquanto a dimensão de um ataque concreto só pode ser avaliada com informações verificáveis sobre o que foi atingido e quais consequências ocorreram.
Fontes