— Os avanços nas capacidades dos agentes autônomos de inteligência artificial (IA) estão acelerando os ataques cibernéticos e reduzindo o tempo que as organizações precisam para corrigir bugs de software. As defesas cibernéticas tradicionais, concebidas para combater invasores humanos, cuja atuação é limitada por restrições de tempo e escala, deixarão de ser suficientes. À medida que a IA possibilitar ataques mais rápidos, automatizados e persistentes, a capacidade de resposta cibernética (resiliência cibernética) rápida se tornará um fator cada vez mais importante de diferenciação da qualidade do perfil de crédito, de acordo com relatório da Moody’s.
A IA amplia a capacidade ofensiva persistente além dos hackers apoiados por Estados. Os custos computacionais elevados e o acesso restrito aos avançados recursos cibernéticos dos modelos de ponta mais recentes limitam, atualmente, a realização de campanhas cibernéticas totalmente autônomas. No entanto, os avanços nos modelos open-weight, que estão amplamente disponíveis, e a queda dos custos provavelmente reduzirão essas barreiras. Os agentes de IA que recebem objetivos amplos também podem atacar alvos que seus operadores não previram, aumentando o risco de violações não intencionais.
A lacuna entre a divulgação de falhas de software e sua exploração está diminuindo. O acúmulo de vulnerabilidades que precisam de correção está sobrecarregando as equipes de defesa cibernética das empresas. O tempo mediano para a correção de uma vulnerabilidade crítica — ou KEV— é de cerca de três meses, enquanto os agentes de IA que ultrapassaram o escopo previsto de ambientes de teste controlados exploraram vulnerabilidades e comprometeram sistemas em poucos dias. A descoberta de bugs de software assistida por IA está aumentando a carga de patches.
Os modelos open-weight com menos salvaguardas estão reduzindo a lacuna de capacidade cibernética em relação aos modelos de ponta. Seus parâmetros disponíveis publicamente permitem que os usuários os personalizem e os executem de forma privada, reduzindo a supervisão e limitando a eficácia das salvaguardas. À medida que os modelos abertos adquirirem gradualmente as avançadas capacidades ofensivas cibernéticas, que hoje são restritas a um pequeno número de provedores, eles provavelmente desencadearão um risco irreversível de uso indevido.
A IA fortalecerá lentamente as defesas. As ferramentas assistidas por IA que incorporam segurança desde a concepção podem corrigir muitas vulnerabilidades com pouca intervenção humana. No entanto, as equipes de defesa precisam implementar correções automatizadas com segurança em sistemas de produção, nos quais erros podem causar interrupções e as ferramentas automatizadas ainda podem deixar de detectar vulnerabilidades críticas. Portanto, a validação humana continua necessária, o que exige mais tempo e limita as possíveis economias de custos.
As organizações com baixa resiliência cibernética estarão expostas ao maior risco de crédito. A resiliência cibernética se tornará cada vez mais importante. Empresas com mais recursos podem compensar o risco crescente investindo no fortalecimento das defesas. As organizações com práticas deficientes de aplicação de patches provavelmente ficarão ainda mais defasadas, sobretudo se tiverem redes digitais extensas, que ampliam significativamente sua superfície de ataque. Pequenas e médias empresas começarão a se tornar alvos economicamente mais viáveis— conclui o relatório da Moody’s.