IA Agêntica: 90% das empresas globais sofreram incidentes de segurança em 2023

Nove em cada dez organizações no mundo sofreram ao menos um incidente de segurança envolvendo IA agêntica no último ano, segundo pesquisa global da ServiceNow divulgada nesta terça-feira (20). O levantamento ouviu mais de 3.700 líderes seniores de segurança e tecnologia em 20 países e apontou que a capacidade de resposta a esses incidentes é limitada: apenas 36% das empresas conseguiram contê-los em menos de 24 horas.

Ainda mais preocupante é o baixo número de organizações com programas de segurança considerados defensáveis. Apenas 13% do total apresentaram bons resultados em cinco dimensões de segurança: superfície de ataque, responsabilização, segurança desde a concepção, visibilidade e preparação para auditorias. O estudo, intitulado 'Deployed but ungoverned: the state of agentic security', indica que a maioria das empresas ainda governa a IA agêntica por meio de estruturas legadas. Somente 44% das equipes de segurança incorporam controles ao desenvolvimento de um agente antes de sua criação, enquanto as demais implementam permissões e salvaguardas após o agente já estar em operação, uma abordagem reativa.

Escala do problema e 'Shadow AI'

A escala do problema agrava o risco. Atualmente, 49% das organizações operam entre 100 e 999 agentes de IA, e 35% operam mais de 1.000. Mesmo assim, 29% das equipes de segurança já encontraram agentes em produção que nunca haviam sido registrados ou cuja existência era desconhecida. O estudo classifica essa situação como 'shadow AI', indicando operação sem supervisão adequada.

O diretor de segurança da informação (CISO) da ServiceNow, Ben de Bont, alertou que os incidentes recentes servem como um alerta. "As organizações não deveriam ter de escolher entre agir rapidamente e gerenciar riscos. Aquelas que fizerem isso da maneira certa incorporarão a governança à implantação dos agentes desde o início, aproveitando os benefícios da IA sem perder visibilidade nem controle", afirmou.

Desequilíbrio entre IA e resposta humana

A pesquisa também mapeia um desequilíbrio entre o ritmo de atuação dos agentes de IA e a capacidade humana de reagir a falhas. Embora 76% das organizações afirmem manter um mapeamento completo dos acessos de cada agente, apenas 19% conseguem visualizar mais de 90% de seus agentes em tempo real. Dois terços das organizações (66%) não conseguem agir automaticamente quando um agente apresenta comportamento anômalo, o que significa que qualquer resposta ainda depende de intervenção humana, em um ambiente onde a velocidade das máquinas é o padrão de operação.

Esse cenário de vulnerabilidade e lentidão na resposta motivou a ServiceNow a apresentar sua nova oferta, Autonomous Security. A solução é orientada pelo conceito interno chamado Shift Zero e inclui mecanismos como um botão de desligamento emergencial (kill switch) e o AI Passport.

Governança integrada como solução

O objetivo da nova oferta é incorporar governança antes da implantação dos agentes, e não após. Nadir Izrael, vice-presidente global de segurança e risco cibernético (GVP) da ServiceNow, explicou a lógica: "Inovação e segurança precisam avançar juntas, não uma depois da outra. É para isso que Autonomous Security e Shift Zero foram criados: para que a governança seja incorporada no momento em que um agente é desenvolvido ou implantado, em vez de ser acrescentada posteriormente."

Izrael complementou que, quando a segurança opera na velocidade das máquinas, ela deixa de ser um freio à adoção da IA e passa a ser o que permite expandir seu uso com segurança. O estudo foi conduzido pela ServiceNow em parceria com a Phronesis Partners e os participantes representam organizações de médio e grande porte, com 97% delas informando receita anual igual ou superior a US$ 250 milhões.