A IA perguntas corretas: o modelo de identidade da empresa, a visibilidade sobre a rede e a capacidade de resposta estão prontos para um cenário de ameaças mais rápido e convincente? Essa é a tese de Michael Flannery, presidente da Uniti Solutions, em artigo publicado no Forbes Technology Council em setembro de 2026. Segundo ele, o debate sobre se a IA beneficia mais atacantes ou defensores ignora o ponto central: a tecnologia é dual por natureza, e o despreparo dos controles existentes é o verdadeiro problema.
O relatório Verizon DBIR 2026 aponta que o elemento humano continua presente em 62% das brechas de segurança, segundo o resumo executivo do estudo. Essa proporção não diminuiu conforme as ferramentas de IA se tornaram mais acessíveis aos atacantes, o que reforça a urgência de repensar controles de identidade e autenticação, visibilidade e resposta a incidentes.
Por que a IA beneficia os dois lados da cibersegurança
Na defesa, a IA já transformou a operação dos times de segurança: reconhecimento de padrões em volumes massivos de logs, triagem automatizada de alertas e resposta a incidentes mais rápida são realidades operacionais em muitas organizações. Equipes que gastavam horas separando sinal de ruído agora fazem isso em minutos, como descreve Flannery no texto.
Mas a mesma capacidade acelera a ofensiva. A engenharia social, ponto de entrada da maioria das brechas, ficou mais barata, rápida e convincente. Clonagem de voz, que antes exigia estúdio de produção, agora sai com uma amostra curta de áudio e ferramentas de consumo. E-mails de phishing, antes entregues pela linguagem artificial, hoje são personalizados, contextualizados e gerados em escala muito maior.
O caso Anthropic e o project glasswing
O exemplo mais didático da natureza dual da IA vem da própria Anthropic. O Project Glasswing, lançado no início deste ano em parceria com AWS, Microsoft, Google e CrowdStrike, deu aos defensores acesso a um modelo frontier restrito, justamente porque a Anthropic observou que a mesma capacidade de código que encontra vulnerabilidades para correção poderia, nas mãos erradas, encontrá-las para exploração. Os parceiros do programa já revelaram milhares de falhas de alta severidade, conforme a documentação do modelo restrito.
# publicidade
É um estudo de caso direto da fonte: a capacidade que endurece sistemas é a mesma que pode ser voltada contra eles. O cenário se conecta a alertas recentes sobre IA sendo usada para criar ataques zero-day inéditos, tema que ganhou atenção do Google.
Info: 62% das brechas envolvem o elemento humano, segundo o Verizon DBIR 2026. Essa taxa não caiu mesmo com o avanço das ferramentas de IA acessíveis a atacantes.
Por que o zero trust deixou de ser palavra da moda
O Zero Trust migrou de buzzword para princípio operacional essencial, na avaliação do texto. A premissa sempre foi sólida, mas o custo de não adotá-la subiu de forma drástica. Empresas tentam implementar o modelo há anos, porém a maturidade ficou muito atrás da adoção.
Em 2023, pesquisa do Gartner apontada no artigo mostrava que a maioria das organizações tinha alguma iniciativa de Zero Trust em andamento, mas projetava que apenas uma pequena fração das grandes empresas teria um programa maduro e continuamente verificado até 2026. A lacuna entre ter uma iniciativa e ter Zero Trust de fato instrumentado em identidade, dispositivos e dados é exatamente onde ataques acelerados por IA encontram espaço.
Um slide de apresentação não para uma voz clonada
Um atacante usando voz clonada para se passar por um executivo numa ligação ao help desk não é derrotado por uma apresentação sobre Zero Trust. Ele é barrado por uma política que exige verificação independentemente de quão convincente o interlocutor soa. A lógica se aplica também a Zero Trust aplicado a agentes de IA, quando o acesso válido não basta para garantir segurança.
Dica: revise o fluxo de verificação do seu help desk hoje. Se uma voz conhecida ou um nome familiar bastam para liberar uma ação sensível, o controle já falha contra clonagem de voz feita com amostra curta de áudio.
As perguntas que líderes de segurança devem se fazer
Flannery é cético em relação ao catastrofismo. A maioria das organizações não será derrubada por um único ataque dramático movido a IA: será testada, repetidamente, por ataques marginalmente mais convincentes e rápidos, mirando lacunas entre departamentos e sistemas que sempre existiram. A IA apenas facilita encontrar e explorar essas brechas.
O texto recomenda três perguntas concretas no lugar do genérico "a IA é perigosa?":
- Identidade: seu modelo de identidade trata voz ou nome familiar como verificação suficiente, ou exige algo mais difícil de falsificar?
- Visibilidade: seu time enxerga o que realmente acontece na rede, ou apenas o que deveria estar acontecendo?
- Resposta: quando algo parece errado, quanto tempo a organização leva para notar e, depois disso, para responder?
A IA não criou essas perguntas: ela elevou o custo de respondê-las honestamente. Empresas que tratam Zero Trust como checkbox verão ameaças aceleradas contornarem o checkbox. As que o tratam como modelo operacional continuamente verificado, assumindo que qualquer requisição pode ser a ilegítima, descobrirão que as mesmas ferramentas de IA que remodelam o cenário de ameaças também remodelam sua capacidade de detectar e responder. Camadas complementares como autenticação de dois fatores e a migração automatizada de controles, como a ferramenta da Cloudflare que usa IA para migração de Zero Trust, ajudam a encurtar o caminho até uma postura madura.
Atenção: na avaliação do Mercado de TI, o alerta mais prático do texto é para pequenas e médias empresas brasileiras: deepfake de voz contra help desk não exige sofisticação estatal. Uma política simples de callback e verificação em segundo canal já neutraliza a maior parte desses ataques.
O fator decisivo, conclui o artigo do Forbes Technology Council, comunidade exclusiva de CIOs, CTOs e executivos de tecnologia, não é a tecnologia: é a prontidão. Para profissionais e líderes no Brasil, o próximo passo prático é auditar controles de identidade e definir métricas claras de tempo de detecção e resposta, antes que um ataque teste essas respostas por você.
Fonte: Forbes Technology Council
