IA ofensiva muda o perímetro: o novo desenho da segurança empresarial

Agentes autônomos reduzem o custo de testar — e atacar — sistemas. Para empresas brasileiras, a resposta exige controles técnicos, governança executiva e responsabilidade definida antes da primeira execução.

Juliana ReisEditora de dados e insights

21 de setembro de 2026 · 09:01· 14 min de leitura

80curtidas157leituras

Compartilhar

A inteligência artificial ofensiva está deixando de ser uma capacidade restrita a centros de pesquisa, fornecedores especializados e equipes avançadas de segurança. Modelos capazes de planejar tarefas, operar ferramentas, interpretar respostas e ajustar a própria estratégia tornam mais acessível a automação de reconhecimento, engenharia social, descoberta de falhas e exploração controlada. O salto empresarial não está apenas na qualidade de cada ação, mas na velocidade com que uma cadeia inteira pode ser executada, repetida e adaptada. Com isso, a distância entre um teste autorizado e um incidente operacional passa a depender menos da tecnologia usada e mais das permissões, dos limites e da supervisão estabelecidos.

Para empresas brasileiras, o tema exige uma revisão mais ampla do que a simples compra de novas soluções defensivas. Testes de invasão periódicos, com escopo estático e relatório entregue semanas depois, já não reproduzem um ambiente em que agentes podem trabalhar continuamente e encontrar combinações de fraquezas entre identidade, nuvem, aplicações, fornecedores e processos humanos. A governança também precisa alcançar decisões que antes ficavam implícitas: quem autoriza um agente a agir, quais ativos ele pode tocar, como sua atividade será interrompida e quem responde quando uma execução legítima produz dano. A agenda, portanto, é de desenho operacional, prestação de contas e disciplina de gestão.

O contexto: automação ofensiva altera tempo, escala e custo

A segurança empresarial foi organizada, durante anos, em ciclos relativamente previsíveis. Uma vulnerabilidade era identificada, classificada, encaminhada ao responsável e corrigida conforme uma janela de manutenção, enquanto auditorias e testes produziam fotografias periódicas do risco. A IA ofensiva comprime esse intervalo porque conecta etapas que normalmente dependiam de profissionais distintos: coleta de informações, formulação de hipóteses, seleção de ferramentas, análise de resultados e escolha do próximo movimento. Mesmo quando não cria uma técnica inédita, ela transforma economicamente técnicas conhecidas ao reduzir esforço, tempo e especialização necessários para combiná-las.

O efeito mais relevante para a administração não é imaginar um sistema infalível capaz de romper qualquer defesa. É reconhecer que tentativas medianas podem ganhar volume, personalização e persistência, pressionando controles desenhados para uma frequência menor. Um agente pode revisar documentação pública, mapear tecnologias expostas, adaptar mensagens a diferentes áreas e insistir em caminhos alternativos sem o desgaste humano associado à operação manual. Do lado defensivo, a mesma capacidade amplia testes e acelera investigações, mas somente quando a empresa dispõe de ambiente controlado, telemetria suficiente e regras claras de uso.

Essa simetria aparente esconde uma diferença de incentivos. O atacante pode aceitar erros, ruído e várias tentativas fracassadas, enquanto a empresa precisa preservar disponibilidade, privacidade, integridade de registros e continuidade do negócio. Um teste autônomo que derruba um serviço crítico, altera dados ou atravessa o limite de uma empresa terceira não deixa de ser problemático porque tinha finalidade defensiva. Por isso, eficiência técnica sem contenção pode elevar o risco que pretendia reduzir.

A mecânica do movimento: agentes transformam testes em operações contínuas

Um agente autônomo não deve ser confundido com um chatbot que oferece recomendações. Na prática empresarial, trata-se de um sistema que recebe um objetivo, decompõe a tarefa, seleciona ferramentas, observa resultados, mantém algum estado e decide os próximos passos dentro de permissões definidas. Quanto maior o acesso a scanners, navegadores, terminais, repositórios de código, sistemas de chamados e credenciais, maior sua capacidade de produzir efeito no ambiente. O risco cresce menos pelo texto gerado e mais pela combinação entre autonomia, acesso e capacidade de executar ações irreversíveis.

Essa arquitetura modifica o teste de segurança em três dimensões. A primeira é a frequência: avaliações deixam de ocorrer apenas em projetos anuais e podem acompanhar mudanças de software e infraestrutura. A segunda é a profundidade combinatória: o agente consegue testar sequências entre configurações fracas, privilégios excessivos e dados expostos. A terceira é a velocidade de reação, porque uma descoberta pode alimentar validação, priorização e abertura de correção quase imediatamente, desde que a automação não dispense revisão humana nas decisões críticas.

O redesenho mais seguro separa funções que soluções integradas tendem a misturar. O sistema que planeja não deve, por padrão, deter todas as credenciais de execução; o componente que executa precisa operar com privilégios mínimos; e um mecanismo independente deve registrar, limitar e interromper a atividade. Ambientes de simulação, réplicas sanitizadas e contas descartáveis devem absorver a maior parte das experiências. Produção fica reservada a hipóteses justificadas, janelas autorizadas e ações com impacto conhecido.

““O ganho aparece quando o agente amplia a cobertura sem ganhar liberdade irrestrita. Se a equipe não consegue explicar onde ele para, o teste ainda não está pronto para começar.””

Há também uma mudança na cadeia de fornecimento. Plataformas de IA podem envolver modelos externos, conectores, ferramentas de código aberto, provedores de nuvem e bases de conhecimento internas, cada qual com regras próprias de retenção e processamento. Um agente ofensivo pode revelar segredos ao registrar comandos, copiar trechos sensíveis para análise ou armazenar evidências fora do ambiente aprovado. A avaliação do fornecedor precisa, assim, abranger fluxo de dados, isolamento, trilhas de auditoria, atualização de componentes e possibilidade real de desligamento.

Números e sinais a observar sem depender de um painel ilusório

A direção não precisa administrar segurança por uma profusão de métricas técnicas, mas também não pode aceitar indicadores de atividade como prova de redução de risco. Quantidade de testes, alertas ou vulnerabilidades encontradas mostra volume de trabalho, não necessariamente proteção. O conjunto útil relaciona exposição, velocidade de contenção e consequência empresarial: quanto tempo um caminho explorável permanece aberto, quais ativos críticos podem ser alcançados e quantas correções eliminam a causa em vez de apenas o sintoma. Tendências consistentes importam mais do que uma pontuação isolada.

• Tempo entre uma mudança relevante no ambiente e sua primeira validação de segurança, separado por ativos críticos e não críticos.
• Percentual de ações do agente bloqueadas por política, com análise das causas para distinguir contenção saudável de configuração inadequada.
• Quantidade de caminhos de ataque confirmados que atravessam identidades, sistemas ou fornecedores, em vez da contagem bruta de vulnerabilidades.
• Tempo para revogar credenciais, interromper execuções e preservar evidências quando o comportamento foge do previsto.
• Recorrência de falhas já corrigidas, sinal de que a organização trata ocorrências sem alterar padrões de arquitetura e desenvolvimento.

Os sinais qualitativos merecem atenção equivalente. Pedidos frequentes de exceção, agentes operando com contas compartilhadas, testes executados fora de janela e relatórios sem vínculo com responsáveis indicam governança frágil. Outro alerta é a incapacidade de reconstruir a decisão do sistema: objetivo recebido, ferramentas chamadas, credenciais usadas, dados acessados e motivo de cada escalada. Sem essa cadeia, a empresa não consegue investigar incidentes, contestar resultados nem demonstrar diligência.

Também é necessário acompanhar custo operacional e efeito sobre as equipes. Se a automação multiplica achados sem capacidade de triagem e correção, ela cria uma fila maior, eleva fadiga e empurra riscos relevantes para dentro do ruído. Um programa maduro mede falsos positivos, reaberturas, tempo dos especialistas e impacto sobre desenvolvimento, atendimento e produção. A meta não é fazer o agente trabalhar mais; é reduzir exposição com uma carga que a organização consiga absorver.

Onde os planos falham: autonomia sem fronteira e responsabilidade difusa

O primeiro erro é tratar o agente como mais uma ferramenta de produtividade e liberar sua adoção pelo mesmo processo usado para um assistente de texto. A capacidade de agir em sistemas muda a classe do risco, especialmente quando há acesso a identidade, código, dados pessoais ou infraestrutura. Políticas genéricas de uso de IA não substituem regras específicas sobre execução ofensiva. É necessário classificar casos por potencial de impacto e impor exigências crescentes de aprovação, isolamento e monitoramento.

O segundo erro é confundir autorização contratual com segurança operacional. Uma empresa pode ter permissão formal para testar determinado ambiente e, ainda assim, atingir integrações, dados ou serviços fora do escopo por causa de dependências pouco documentadas. Em ecossistemas com fornecedores, franquias, parceiros financeiros e plataformas compartilhadas, a fronteira técnica raramente coincide com a fronteira jurídica. O escopo precisa ser traduzido em controles executáveis, como listas de ativos, limites de requisição, horários, tipos de ação proibidos e condições automáticas de parada.

O terceiro erro é atribuir responsabilidade ao algoritmo. Sistemas não assumem dever fiduciário, não respondem a reguladores e não explicam a clientes por que um serviço ficou indisponível. A empresa deve nomear responsáveis humanos para a decisão de usar, aprovar, supervisionar e encerrar cada operação, preservando a segregação entre quem desenvolve o agente e quem aceita o risco. Responsabilidade clara não significa concentrar culpa em um operador, mas distribuir deveres de maneira verificável entre negócio, segurança, tecnologia, jurídico, privacidade e fornecedores.

• Executar testes diretamente em produção porque o ambiente de homologação é considerado pouco representativo.
• Conceder credenciais amplas para evitar interrupções causadas por permissões insuficientes.
• Permitir que o mesmo agente encontre a falha, explore, altere o ambiente e confirme a correção sem validação independente.
• Enviar evidências sensíveis a modelos externos sem conhecer retenção, localização e uso posterior dos dados.
• Adotar métricas de quantidade de achados como base de remuneração, incentivando volume em vez de redução de risco.
• Manter decisões relevantes apenas em conversas informais, sem registro de escopo, aceite e critérios de parada.

Planos também falham quando a empresa compra uma plataforma antes de organizar os fundamentos. Inventário incompleto, identidades privilegiadas sem dono, registros insuficientes e processos lentos de correção não desaparecem com IA; ao contrário, tornam a automação menos confiável. Um agente pode localizar mais rapidamente a desordem, mas não decide sozinho a prioridade empresarial nem corrige conflitos entre disponibilidade e segurança. A preparação começa por ativos, acessos, telemetria e responsáveis.

Execução em 90 dias: da política mínima ao teste controlado

Nos primeiros 30 dias, a organização deve estabelecer uma linha de base e suspender experimentos sem dono formal. O trabalho inclui mapear iniciativas existentes, identificar ferramentas conectadas, localizar credenciais e classificar ambientes por criticidade. Um comitê pequeno, com autoridade operacional, precisa definir casos proibidos, casos condicionados e casos permitidos, evitando um fórum excessivamente amplo que apenas adie decisões. Nessa etapa, o objetivo não é redigir uma política perfeita, mas impedir autonomia invisível e criar um registro único de uso.

Entre o 31º e o 60º dia, a empresa pode construir um ambiente de validação com dados sintéticos ou devidamente sanitizados, contas temporárias e telemetria independente. Um caso estreito deve ser escolhido, preferencialmente em ativo não crítico e com vulnerabilidades conhecidas, para medir se o agente reconhece limites e produz evidências úteis. Critérios de parada precisam ser testados de propósito, incluindo consumo anormal, tentativa de sair do escopo e solicitação de privilégio adicional. A equipe deve comprovar que consegue revogar acesso e reconstruir a sessão sem depender do próprio fornecedor da solução.

Do 61º ao 90º dia, o programa pode avançar para uma operação assistida, ainda com aprovação humana antes de ações de maior impacto. O teste deve integrar abertura de chamados, priorização pelo risco do ativo, validação de correções e comunicação com os donos de negócio. Uma revisão independente compara o desempenho com o método anterior e verifica se houve redução do intervalo de exposição, sem aumento desproporcional de ruído ou incidentes. Só então a empresa decide onde ampliar, restringir ou interromper o uso.

A execução em 90 dias não encerra o tema, mas cria evidência para uma decisão de escala. O conselho e a diretoria devem receber uma síntese que associe capacidade técnica a cenários de negócio, como indisponibilidade, fraude, vazamento, descumprimento contratual e impacto sobre clientes. Investimentos adicionais precisam ser condicionados à qualidade dos controles e à capacidade de correção das áreas responsáveis. Automatizar descoberta sem financiar remediação apenas acelera a constatação de problemas antigos.

Gente e cultura: supervisão humana precisa ser uma função real

A expressão “humano no circuito” perde valor quando não define autoridade, competência e tempo de resposta. Um profissional que apenas confirma dezenas de ações sugeridas, sob pressão e sem contexto, torna-se um carimbo operacional. A supervisão efetiva exige que a pessoa possa negar, modificar e interromper a execução, além de compreender o ativo e a consequência do teste. Para ações críticas, a dupla validação entre segurança e dono do serviço reduz decisões unilaterais e melhora a leitura do impacto.

As equipes de segurança também precisam desenvolver competências que vão além da operação tradicional de ferramentas. Engenharia de agentes, avaliação de comportamento, desenho de ambientes controlados e análise de trilhas passam a conviver com conhecimento jurídico, privacidade e continuidade. Isso não elimina especialistas ofensivos; aumenta sua responsabilidade na formulação de hipóteses, interpretação de resultados e identificação de comportamentos enganosos. O profissional deixa de executar cada passo para projetar e fiscalizar um sistema que executa muitos passos.

Para desenvolvimento e operações, a mudança deve evitar uma cultura punitiva. Se cada achado autônomo virar exposição individual de uma equipe, haverá incentivo para restringir testes, ocultar ativos e contestar resultados. A governança funciona melhor quando mede recorrência sistêmica, qualidade de arquitetura e velocidade de correção, sem apagar a responsabilidade por negligência clara. Segurança contínua depende de cooperação, mas cooperação não deve signific ausência de cobrança.

A alta liderança tem uma função específica: definir o apetite para testes que podem afetar a operação e garantir recursos para corrigir o que for encontrado. Delegar integralmente a questão ao responsável por segurança cria um desequilíbrio, porque os riscos alcançam receita, contratos, reputação e obrigações de proteção de dados. Conselhos não precisam aprovar comandos ou ferramentas, mas devem exigir limites, cenários de perda, indicadores de controle e responsáveis nomeados. A pergunta central deixa de ser se a empresa usa IA ofensiva e passa a ser sob quais condições aceita que software tome ações em seu nome.

O que fica: segurança passa a governar capacidade de ação

A IA ofensiva tende a se tornar parte comum do arsenal de fornecedores, equipes internas e adversários, ainda que com níveis muito diferentes de sofisticação. Isso torna insuficiente uma estratégia baseada apenas em bloquear ferramentas ou esperar clareza regulatória completa. Empresas brasileiras precisam adotar uma arquitetura de confiança limitada: agentes recebem objetivos estreitos, acessos temporários, ambientes segmentados e supervisão proporcional ao impacto. A autonomia deve ser conquistada por evidência, não concedida como padrão.

A vantagem não estará necessariamente com quem implementar primeiro, mas com quem transformar velocidade em aprendizado controlado. Organizações capazes de testar com frequência, corrigir causas estruturais e preservar responsabilidade humana podem encurtar a exposição sem comprometer a operação. As demais correm o risco de produzir uma aparência de modernização sobre inventários frágeis, permissões excessivas e decisões sem dono. Nesse cenário, o maior passivo não é um modelo cometer um erro, mas a empresa não conseguir demonstrar por que permitiu que ele agisse.

O próximo estágio da cibersegurança empresarial será menos definido por uma fronteira fixa e mais pela administração de capacidades distribuídas. Modelos, conectores, identidades e ferramentas formarão sistemas que observam e atuam em uma velocidade incompatível com aprovações improvisadas. O desenho vencedor combina contenção técnica, governança executiva e disciplina de correção, mantendo a responsabilidade em pessoas e órgãos claramente identificados. IA ofensiva pode ampliar a defesa, mas somente quando a organização governa cada permissão como uma decisão de negócio.

A conclusão é direta: agentes autônomos não devem receber confiança por parecerem inteligentes, e sim permissões limitadas por controles verificáveis. O programa maduro separa planejamento, execução e supervisão; testa a interrupção antes da autonomia; vincula cada ação a um responsável humano; e mede redução de exposição, não volume de atividade. Quando essa estrutura existe, a IA ofensiva deixa de ser uma experiência de laboratório e se torna uma capacidade empresarial administrável. Sem ela, a automação apenas torna mais rápido um risco que já não tinha dono.