A famosa afirmação “com grandes poderes vêm grandes responsabilidades” nunca foi tão válida no contexto corporativo quanto agora. Se por um lado empresas do mundo todo estão buscando inovações com Inteligência Artificial para acelerar seus negócios, por outro, pessoas mal intencionadas estão usufruindo dessa tecnologia para acelerar e automatizar ataques cibernéticos.

Segundo Leonardo Horvath dos Reis, Head de Cybersecurity da CI&T, os criminosos sempre souberam que a segurança é, em sua maioria, reativa nas implementações de soluções digitais.

Em um passado recente, para explorar uma falha de software, cibercriminosos enfrentavam limitações em termos de capacidade computacional e de conhecimento em construção de códigos maliciosos, o que exigia maior intervenção humana e processamento para concluir um ataque. No entanto, com o advento da IA Generativa, os criminosos estão acelerando os ataques com ações autônomas, permitindo-lhes descobrir rapidamente falhas no sistema e obter informações sigilosas, além de causar danos às organizações, como o sequestro de dados e a interrupção nas operações do negócio.

Nas mãos erradas, a IA é uma tecnologia que possibilita a realização de ataques mesmo com pouco conhecimento técnico dos criminosos. Isso inclui a criação de programas maliciosos e e-mails falsos (também conhecidos como phishing) cada vez mais realistas. Além disso, pessoas mal intencioinadas estão usando a tecnologia para imitar pessoas por meio de vídeos, vozes e imagens, aplicando golpes e criando deepfakes. Esse fenômeno é conhecido como Offensive AI e envolve o desenvolvimento de algoritmos de ataque cibernético para violar sistemas de segurança, criar bots para disseminar desinformação ou manipular opiniões públicas em redes sociais.

Outro termo relevante é o Destructive AI, o qual refere-se aos sistemas de IA que têm o potencial de causar danos físicos, materiais ou sociais significativos. Esses sistemas podem ser projetados para destruir infraestruturas, comprometer sistemas críticos ou até mesmo causar danos às pessoas. Essa categoria de IA levanta preocupações éticas e de segurança, exigindo uma análise cuidadosa e regulamentações adequadas para mitigar riscos potenciais.

O tamanho do impacto para as indústrias

O cenário é alarmante: o estudo Cost of Data Breach de 2023 da IBM Security estima que o crime cibernético custará à economia mundial US$ 10,5 trilhões por ano até 2025, diferente da estimativa de US$ 3 trilhões prevista em 2015, o custo médio das violações de dados em 2023 foi de US$ 4,45 milhões, um aumento de 15% nos últimos três anos. Mas as vulnerabilidades em segurança vão além do impacto financeiro e trazem consequências que podem ser classificadas como externas e internas.

Da perspectiva interna, um dos maiores impactos ocorre no compartilhamento indevido de informações com IAs não seguras, podendo acarretar em um vazamento de dados.

A forma como as informações são utilizadas por uma empresa também pode trazer problemas: com a LGPD (Lei Geral de Proteção de Dados), as organizações precisam prever os fins de utilização de dados de seus clientes também em soluções de Inteligência Artificial. Contudo, como o mercado é um ecossistema formado por muitas parcerias entre empresas fornecedoras de tecnologia, os dados são compartilhados e a falta de zelo no acesso por terceiros, processamento e armazenamento das informações podem gerar responsabilidades legais para as empresas envolvidas.

Em relação aos impactos externos, o principal risco reside na utilização da Inteligência Artificial para facilitar que pessoas sem conhecimento avançado em programação consigam desenvolver aplicações maliciosas de forma mais fácil e rápida. Automatização de envios de phishing (não só por texto, mas também por ligação telefônica), cópia de conteúdos de sites de bancos e tentativas de se passar por outra pessoa através de recursos de fotos, vídeo e cópia da voz são algumas das ameaças enfrentadas pelas empresas.

De acordo com a IBM Security, os segmentos de mercado com maiores custos provocados por vulnerabilidades no acesso aos dados são:

Internos ou externos, casos de vulnerabilidade fazem com que organizações tenham danos na imagem da marca (que muitas vezes pode ser irreparável), prejuízo financeiro por pagamento de multas e indenização aos clientes que forem lesados.

AI vs AI: como a Inteligência Artificial potencializa medidas de segurança

Um gargalo comum na adoção de medidas de proteção efetivas é a falta de investimento e priorização de tecnologias, processos e pessoas, incluindo a falta de profissionais de segurança qualificados no mercado. Em alguns cenários, por exemplo, muitas empresas estão migrando para a nuvem e investindo no crescimento de seus negócios, mas as iniciativas já nascem com risco por não preverem estratégias de segurança desde a concepção de suas aplicações em um ciclo completo, desde o planejamento da solução.

Nesse desafio, a Inteligência Artificial é um recurso valioso para resolver o gargalo de falta de profissionais qualificados, pois ajuda a preencher lacunas de capacidades técnicas, atuando como copiloto para que pessoas com menos conhecimento em arquitetura e programação sejam empoderadas a criar soluções mais seguras. Basta entender o processo de construção de uma solução e quais frameworks de segurança se aplicam para realizar correções de código, evitar vulnerabilidades e elaborar uma arquitetura segura de informações, entre outras medidas de segurança de forma mais rápida e segura.

Isso demonstra que construir aplicações invioláveis não só é possível, mas também não implica em perda de agilidade. Ao contrário, com o apoio de recursos de Inteligência Artificial, como o CI&T/Flow, integrado às tecnologias de segurança de software, podemos observar uma melhoria significativa na eficiência dos times envolvidos. Conforme evidenciado pelos nossos cases, que ao longo do tempo têm impulsionado a segurança dos clientes que já estão utilizando IA para acelerar correções e tornar a segurança mais proativa. Esta abordagem resultou em uma redução notável de 80% do tempo necessário para corrigir vulnerabilidades em soluções legadas, além de uma aceleração 6 vezes maior no lançamento de soluções mais robustas e seguras, em relação aos processos manuais anteriores.

A lição que fica é que, nessa realidade falsa que está ficando cada vez mais avançada e parecendo confiável, não basta que as organizações criem mecanismos de defesa, é necessário estar sempre um passo à frente de criminosos utilizando tecnologias emergentes a favor.