Cibersegurança na era da IA

Perante infraestruturas antigas e recursos de segurança limitados, uma integração pode chegar à produção sem avaliação adequada das permissões ou dos riscos. A cibersegurança deve, por isso, participar desde o início, protegendo os dados e a continuidade dos serviços.

A utilização de IA pelos atacantes aumenta esta pressão. Mensagens adaptadas às vítimas e vozes ou vídeos sintéticos tornam a engenharia social mais convincente, pelo que um email bem escrito ou uma voz familiar já não garantem a legitimidade de um pedido. Processos como a alteração de dados bancários de fornecedores devem incluir confirmações por contactos previamente validados. A IA também facilita a pesquisa de vulnerabilidades e a preparação de ataques, reforçando a importância de corrigir sistemas expostos.

A própria adoção de IA amplia a superfície de ataque. Assistentes empresariais, extensões de navegador e agentes ligados a repositórios podem criar acessos à informação. As organizações devem inventariar estes componentes, identificar responsáveis, dados consultados e permissões, incluindo o Shadow AI – ou seja, utilizações que escapam aos processos aprovados. Disponibilizar alternativas adequadas e regras claras ajuda a evitar, por exemplo, que colaboradores enviem contratos através de contas pessoais, perdendo controlo sobre os dados.

A resposta técnica começa pela proteção das identidades e pela limitação dos acessos. A autenticação multifator resistente a phishing, através de mecanismos como FIDO2 ou WebAuthn, deve ser complementada pelo controlo dos dispositivos, sessões e privilégios. As contas de serviço dos agentes precisam de permissões estritamente necessárias e credenciais seguras. A segmentação de redes limita a propagação de intrusões, enquanto a correção de vulnerabilidades deve considerar a exposição, a exploração conhecida e a importância dos serviços afetados.

A proteção dos dados exige controlar a informação que entra e sai das aplicações de IA. A classificação dos conteúdos e os mecanismos de prevenção de perda de dados (DLP) permitem bloquear envios indevidos ou ocultar elementos sensíveis. É igualmente necessário avaliar a conservação dos dados, a localização do processamento e a sua eventual utilização para treino, restringindo também o acesso aos registos de segurança.

Na deteção de ameaças, a IA pode identificar comportamentos anómalos e ajudar a resumir eventos, desde que os registos de equipamentos, identidades, redes, email e serviços cloud sejam analisados em conjunto. Um acesso invulgar, seguido de uma transferência anormal de ficheiros, por exemplo, deve ser investigado como uma sequência. As conclusões automatizadas têm de ser verificáveis e sustentadas por evidências.

As aplicações com modelos de linguagem enfrentam riscos específicos, como o prompt injection, que procura alterar o comportamento do modelo através de instruções maliciosas em documentos ou páginas externas. Quando existem ferramentas ligadas a sistemas internos, o risco aumenta. O conteúdo externo deve ser tratado como não fiável, as ações devem ser validadas e as autorizações aplicadas ao nível dos sistemas. Operações de maior impacto devem exigir aprovação humana, pois uma instrução no prompt não substitui uma restrição técnica efetiva.

A resposta a incidentes pode recorrer à automação para isolar equipamentos ou revogar sessões, com registos das ações e possibilidade de reversão. Nos sistemas críticos, o impacto operacional deve ser avaliado antes da intervenção. A recuperação exige cópias de segurança protegidas contra alteração ou eliminação, com acessos separados dos ambientes de produção e testes regulares de restauro.

Sustentar esta abordagem exige responsabilidades claras, avaliação de fornecedores e formação contínua. A direção deve definir o risco aceitável, articulando negócio, TI e segurança na aprovação das utilizações de IA. A evolução deve ser medida através da cobertura dos sistemas críticos, dos tempos de contenção, dos falsos positivos e dos testes de recuperação. A IA só será uma vantagem sustentável quando os ganhos de produtividade forem acompanhados por controlos eficazes e pela capacidade de manter os serviços em funcionamento.