IA acelera ataques, mas empresas continuam a adiar correções críticas

A crescente utilização de Inteligência Artificial (IA) nos ciberataques está a aumentar a pressão sobre as equipas de segurança, que enfrentam dificuldades para acompanhar a velocidade de identificação e exploração de vulnerabilidades. Segundo o estudo “The AI Exploit Gap”, da Chainguard, 91% dos responsáveis de cibersegurança consideram que os ataques potenciados por IA alteraram as suas funções mais do que qualquer outra evolução tecnológica na última década.

O relatório, baseado num inquérito a 1.300 responsáveis de cibersegurança de nove mercados, revela que 77% consideram provável que um atacante explore uma vulnerabilidade de software na sua organização nos próximos 12 meses. Ao mesmo tempo, 54% reconhecem que as suas empresas deixam, pelo menos ocasionalmente, vulnerabilidades de gravidade elevada ou crítica sem correção, mesmo tendo conhecimento da sua existência.

Para a Chainguard, os resultados evidenciam uma diferença crescente entre a capacidade de identificar e explorar falhas com recurso a IA e a velocidade com que as organizações conseguem corrigi-las.

A automatização da descoberta de vulnerabilidades está a alterar os prazos de resposta das equipas de segurança. Ferramentas baseadas em IA podem acelerar a análise de código, a identificação de falhas e a combinação de diferentes vulnerabilidades numa cadeia de exploração, enquanto os processos de correção continuam dependentes de testes, recursos humanos e prioridades operacionais.

Esta diferença preocupa 93% dos responsáveis inquiridos, que receiam que as suas organizações não consigam corrigir vulnerabilidades exploradas com recurso a IA com a rapidez necessária. Mais de metade acredita que, dentro de um ano, a descoberta de vulnerabilidades através de IA ultrapassará regularmente a capacidade de resposta das respetivas equipas.

A perceção de risco mantém-se elevada mesmo entre organizações que avaliam positivamente os seus mecanismos de defesa. Entre os responsáveis que classificam as ferramentas de cibersegurança como muito eficazes, 77% continuam a considerar provável a exploração de uma vulnerabilidade no próximo ano. A mesma expectativa é partilhada por 78% dos que consideram as suas equipas de resposta a incidentes muito bem preparadas para enfrentar ataques potenciados por IA.

“Conseguir identificar o risco e ter capacidade para agir são duas coisas diferentes”, afirma Quincy Castro, Chief Information Security Officer da Chainguard, em comunicado. O responsável considera que a resposta não pode depender exclusivamente de uma maior velocidade na aplicação de patches, defendendo uma responsabilidade partilhada entre as equipas de engenharia e segurança para reduzir a introdução de vulnerabilidades nos sistemas.

O estudo identifica diferenças significativas na gestão de vulnerabilidades consoante a dimensão das organizações. Entre as empresas com receitas anuais iguais ou superiores a mil milhões de dólares, 66% dos responsáveis admitem deixar vulnerabilidades elevadas ou críticas sem correção, pelo menos ocasionalmente. Nas organizações com receitas inferiores a 250 milhões de dólares, essa percentagem desce para 27%.

As razões apontadas também variam. Nas grandes empresas, 46% dos inquiridos referem que as atividades diretamente relacionadas com a geração de receitas recebem prioridade sobre a aplicação de correções, enquanto 48% consideram que os patches podem provocar perturbações excessivas nas operações.

Nas organizações de menor dimensão, as limitações estão mais relacionadas com a capacidade técnica disponível. Cerca de 59% apontam dificuldades na realização de testes às atualizações, um processo necessário para avaliar o impacto das correções antes da sua implementação em produção.

A Chainguard identifica ainda uma relação entre a perceção de urgência e a exposição a vulnerabilidades. Entre os responsáveis que consideram que a IA já ultrapassou a capacidade humana de correção, 20% admitem deixar vulnerabilidades críticas por resolver. A percentagem aumenta para 50% entre os que esperam que essa situação ocorra dentro de um ano e para 64% entre os que acreditam que a mudança ainda demorará mais de 12 meses.

Estes resultados mostram uma associação entre maior perceção de urgência e menor frequência declarada de vulnerabilidades críticas por corrigir, embora o estudo não estabeleça uma relação de causalidade.

O impacto da IA na cibersegurança não se limita aos processos técnicos. A pressão associada à evolução das ameaças está também a afetar os profissionais responsáveis pela proteção das organizações.

Segundo o relatório, 64% dos responsáveis de segurança afirmam que a preocupação com ataques acelerados por IA contribuiu de forma moderada ou significativa para o seu próprio esgotamento profissional durante o último ano. Além disso, 96% consideram que o esgotamento das equipas tem algum impacto na capacidade da organização para responder a ameaças relacionadas com IA. Para 54%, esse impacto é moderado ou significativo.

A Chainguard alerta que a combinação entre descoberta acelerada de vulnerabilidades, exploração por atacantes e riscos provenientes da cadeia de fornecimento de software está a aumentar as exigências sobre as equipas. Na Europa, a evolução regulamentar, incluindo o Cyber Resilience Act e a Diretiva relativa à Responsabilidade pelos Produtos, acrescenta novas obrigações relacionadas com a segurança e a gestão de vulnerabilidades.

Apesar das dificuldades identificadas, a maioria dos responsáveis não considera o financiamento o principal obstáculo. Cerca de 70% afirmam que é fácil obter orçamento para iniciativas de defesa contra ameaças potenciadas por IA, embora a disponibilidade de recursos financeiros não esteja necessariamente a traduzir-se em maior capacidade operacional.

O estudo revela que 39% das organizações adquiriram ferramentas de Segurança que ainda não implementaram e apenas 22% dos responsáveis classificam as soluções existentes como muito eficazes. Quase metade, 48%, considera que os investimentos realizados continuam aquém do nível de proteção esperado pelos conselhos de administração e pelas equipas executivas.

As organizações estão, ainda assim, a alterar a distribuição dos recursos. Cerca de 51% dos inquiridos afirmam ter reafetado colaboradores à correção de vulnerabilidades, 50% adotaram componentes de software seguros por predefinição e 47% reduziram dependências de terceiros. Outros 42% aumentaram a frequência das análises de segurança, enquanto 40% contrataram profissionais adicionais de cibersegurança e 39% reforçaram as equipas de engenharia.

A necessidade de maior envolvimento da gestão de topo é reconhecida por 93% dos responsáveis, que defendem uma resposta mais urgente às ameaças aceleradas por IA.

Para a Chainguard, a resposta à evolução das ameaças exige mudanças na forma como as organizações desenvolvem, mantêm e protegem o software. A empresa defende que a prevenção deve assumir maior importância, através da utilização de componentes seguros e de uma colaboração mais estreita entre as equipas de desenvolvimento e cibersegurança.

Esta abordagem procura reduzir o número de vulnerabilidades que chegam aos ambientes de produção, diminuindo a dependência de processos de correção posteriores. O estudo aponta, assim, para a necessidade de integrar a segurança nas decisões de engenharia e nas prioridades operacionais, em vez de concentrar a responsabilidade exclusivamente nas equipas de cibersegurança.

O relatório “The AI Exploit Gap” foi encomendado pela Chainguard e realizado pela Wakefield Research, em setembro de 2026. Foram inquiridos 1.300 responsáveis de Cibersegurança, com funções de direção ou superiores, nos Estados Unidos, Reino Unido, França, Alemanha, Brasil, Singapura, México, Emirados Árabes Unidos/Arábia Saudita e Japão. A amostra abrange organizações com pelo menos 500 colaboradores, com exceção de Singapura e dos mercados do Médio Oriente incluídos no estudo, onde o limite mínimo foi de 250 trabalhadores. Portugal não integrou os mercados analisados, pelo que os resultados não permitem retirar conclusões específicas sobre as empresas nacionais.