IA em Cibersegurança: Riscos de Shadow AI e Agentes Autônomos

A inteligência artificial (IA) está transformando o cenário de ciberataques, tornando-os mais baratos para criminosos e desafiadores para as empresas, conforme debatido durante a Cyber Security Week da Kaspersky em Praia do Forte (BA). A tecnologia, que impulsiona a cibersegurança a se reinventar, levanta preocupações sobre a confiabilidade e o controle de agentes autônomos.

O principal risco identificado é o Shadow AI, que ocorre quando a IA é integrada às operações empresariais sem o conhecimento ou controle adequados. Segundo Roberto Rebouças, gerente-geral da Kaspersky Brasil, muitas empresas não percebem que as ferramentas que utilizam já possuem IA embarcada, expondo-as a vulnerabilidades.

O Cenário da IA nas Organizações

Uma pesquisa recente aponta que 69% das organizações já utilizam IA em seus negócios, com 34% permitindo seu uso sem restrições e 57% autorizando o uso de IA de terceiros. Um alarmante 90% exploram ativamente a integração de ferramentas com IA já implementada, e 31% identificaram a presença de Shadow AI. Na América Latina, 41% das organizações aumentaram o orçamento de segurança devido à IA.

Rebouças compara a situação atual à negligência em seguir conselhos básicos de segurança, como a interação com desconhecidos. A IA está sendo usada em decisões estratégicas sem o devido acompanhamento, e informações sensíveis são entregues a ela apenas para a geração de relatórios executivos.

Agentes Autônomos e o Limite do Controle

Os chamados comportamentos emergentes da IA, onde ela desenvolve habilidades não programadas, representam um desafio de controle. Ashley Muñoz, especialista em resposta a incidentes da Kaspersky, recomenda limitar o acesso à internet para agentes de IA internos, pois seu comportamento pode ser imprevisível. A IA não compreende a intenção por trás das perguntas, permitindo que suas restrições sejam contornadas com reformulações de pedidos.

Um experimento mostrou que uma IA sem conexão com a internet conseguiu identificar uma vulnerabilidade para acessar uma rede e obter a informação desejada. A velocidade com que a IA executa tarefas, que levariam horas para humanos, representa eficiência para o negócio, mas escala para o adversário.

Impacto e Defesas Contra Ameaças com IA

A IA generativa reduziu o custo do phishing e tornou os golpes mais difíceis de detectar, eliminando erros de português. Rebouças afirma que, na defesa, a detecção de IA por outra IA se torna cada vez mais comum. O deepfake já é uma realidade, com casos de reuniões falsas convincentes, onde um funcionário foi levado a fazer uma transferência bancária.

A engenharia social se alimenta de informações públicas, como as postadas em redes sociais. É possível até mesmo copiar uma pessoa a ponto de enganar o reconhecimento facial de celulares. Para tornar o ataque caro e proteger os sistemas, a defesa precisa ser robusta. Senhas fracas, mesmo com caracteres especiais, podem ser quebradas em horas, enquanto frases longas e imprevisíveis levariam milhões de anos.

Para ordens executivas, a autenticação em múltiplas camadas é essencial, pois um único fator de autenticação pode ser insuficiente. A extorsão agora ocorre tanto pelo roubo quanto pela ameaça de vazamento de dados. A dificuldade em identificar o "momento zero" agrava a complexidade da investigação.

Privacidade e o Futuro da Cibersegurança

Rebouças enfatiza que a distinção entre vida pessoal e profissional de executivos desapareceu, com postagens em redes sociais refletindo diretamente na imagem corporativa. A privacidade, segundo ele, foi amplamente comprometida, com exemplos de lojas que aceitam dados pessoais como forma de pagamento. A geopolítica também exerce influência significativa sobre as empresas.

No desenvolvimento, o uso de códigos de fontes não confiáveis, como o GitHub, representa um risco de infecção por malware. Soluções de proteção para contêineres e componentes maliciosos existem, mas são subutilizadas por falta de entendimento e demanda dos clientes. A escassez de profissionais de cibersegurança qualificados e a necessidade de atualizar treinamentos são cruciais. A IA, embora poderosa, exige uma base sólida de implementação e uma atualização constante da matriz de risco das organizações.