Por Alessandro Buonopane

Estar na vanguarda da corrida tecnológica e colher os benefícios do uso da Inteligência Artificial (IA) integram as estratégias de negócios de empresas mundo afora nos últimos 16 meses – tendo o anúncio do ChatGPT pela OpenAI como o seu grande marco zero. Porém, para isso, é preciso assegurar que um dos pilares de sucesso seja a segurança digital de dados e informações, sob pena de danos catastróficos. Assim como as empresas, criminosos cibernéticos também seguem a “hype” da IA.

A possibilidade do uso dessa tecnologia para atacar sistemas embarcados em modelos como ChatGPT e o Gemini (da Google) foi testada recentemente por pesquisadores da Cornell Tech (EUA). Em um ambiente de testes, eles conseguiram, com o uso de uma “praga” cibernética de IA Generativa (apelidada de Morris II, em referência ao worm Morris, que criou caos em 1988), roubar dados e implantar malware ao longo do caminho, propagando-se entre diferentes sistemas – no teste, ChatGPT e Gemini. O ataque contra um assistente de e-mail foi realizado com êxito, permitindo o roubo de dados e envio de mensagens de spam.

Tecnicamente falando, como um desenvolvedor de longa data que sou, fiquei intrigado com a metodologia: os pesquisadores da Cornell Tech recorreram ao chamado “prompt adversário autorreplicante”, que aciona o modelo de IA Generativa para gerar, em sua resposta, outro prompt. Desta forma, a plataforma de IA é instruída a produzir um conjunto de instruções adicionais nas suas respostas, em um mecanismo muito semelhante aos ataques tradicionais de injeção de SQL e transbordamento de dados (buffer overflow), concluíram os pesquisadores.

Não foram poucos os relatórios de tendências em tecnologia que, neste início de ano, colocaram a cibersegurança no topo das prioridades para companhias dos mais variados tamanhos. Somente no ano passado, 68% (quase sete em cada dez) ataques de cibercriminosos registrados na América Latina aconteceram no Brasil, de acordo com um estudo recente elaborado pela IBM, que monitorou cerca de 150 bilhões de eventos de segurança por dia em mais de 130 países e regiões.

A IA Generativa, como evidenciou o estudo da Cornell Tech, aparece como peça importante, tanto para equipe de TI quanto para criminosos virtuais. Os temores em torno do potencial do mal uso da IA não são injustificados: apenas 18% dos profissionais antifraude lançam mão de ferramentas de IA e machine learning no seu trabalho, segundo levantamento da Associação de Investigadores de Fraudes Certificados (ACFE).

Como diz aquele antigo ditado: copo meio vazio então? Nem tanto. Agora, falemos do copo meio cheio da questão. De acordo com o mesmo trabalho da ACFE (que ouviu 1.200 membros no final de 2023), três em cada cinco organizações projetam aumentar o orçamento com tecnologias de cibersegurança até 2026. Estamos falando de um mercado que, estima-se, pode crescer entre US＄ 200 bilhões e US＄ 300 bilhões até o fim deste ano. Em resumo, a urgência acerca deste tópico está clara e colocada.

Por tudo isso, podemos projetar, sem medo de errar, 7 abordagens estratégicas centrais que unam o melhor da IA e da cibersegurança em 2024:

1. A segurança digital verá a adoção de modelos de linguagem especializados (Small Language Models, ou SLMs) que fornecem insights mais personalizados, práticos e acionáveis para se adaptarem rapidamente às ameaças virtuais em evolução. O treinamento de dados em tempo real será a arma secreta, capacitando as equipes de segurança a se adaptarem rapidamente ao cenário de ameaças em constante mudança;

2. O cenário das ameaças cibernéticas já inclui hoje técnicas de IA mais sofisticadas, como campanhas avançadas de phishing e deepfakes, para as quais as organizações devem preparar-se – o uso de identidades falsas ganhou um grande impulso com os chamados Grandes Modelos de Linguagem (LLMs). O cuidado com os dados (sobretudo os mais centrais e essenciais) e o possível acesso a bancos de dados (cibercriminosos seguirão tentando roubá-los e monetizá-los), que permitam aos cibercriminosos maximizar os potenciais dados aos seus alvos, é primordial, tanto no aspecto preditivo quanto no reativo. Os avanços da IA Generativa nos permitem ainda concluir que haverá um aumento de escala no seu uso por cibercriminosos já em 2024;

3. Por falar em dados, um levantamento do Fórum Econômico Mundial revelou que o cenário de violação de dados mundo agora cresceu 72% no ano passado, quando comparado a 2022. Como esperado, grandes companhias de tecnologia, sobretudo as com muitos clientes, tendem a ser alvos preferenciais dos ataques, o que pedirá ainda mais indicadores-chave de desempenho para gerir e medir os riscos de maneira eficaz;

4. As novas regulamentações irão carregar mais conhecimentos em segurança cibernética nas salas de reuniões – sobretudo dos CIOs (diretores de segurança da informação) para os demais executivos de maneira menos técnica e mais acessível –, além de fomentar uma maior gestão estratégica de riscos e avaliação de perigos de terceiros para aumentar a resiliência cibernética de empresas e negócios, evitando lacunas de comunicação;

5. Como ponto adicional ao item anterior, as adoções das chamadas Métricas Orientadas para Resultados (ODMs, na sigla em inglês) e do Gerenciamento Contínuo de Exposição a Ameaças (CTEM, na sigla em inglês) devem ser adotadas para melhor e maior mensuração entre os investimentos em cibersegurança e os níveis totais de proteção eficiente que eles geram. As ODMs podem ser consideradas chave para uma defesa estratégica e compreensível para executivos que não integrem a área de TI, enquanto o uso do CTEM, de forma pragmática e sistêmica, age em favor das companhias nas áreas de acessibilidade e exposição de ativos digitais e físicos;

6. Ataques aos chamados terceiros (intermediários presentes em uma determinada cadeia de abastecimento) seguirão sendo um alvo em potencial para os criminosos digitais. Por isso, é necessário avaliar de forma constante as próprias práticas de segurança, a fim de minimizar falhas também junto a fornecedores e demais integrantes de todo um ecossistema;

7. Outro aspecto relevante envolve o comportamento dos colaboradores. Uma cultura de cibersegurança eficaz deve aumentar o foco na conscientização e melhor execução de práticas eficientes que ajudem a reduzir os riscos no ambiente virtual. A adoção de práticas de segurança centradas no aspecto humano é essencial, diminuindo consideravelmente as chances de erros e maximizando o controle associado ao comportamento, com menor insegurança e maior agilidade e eficácia.

Em um ano de eleições nos EUA e na Europa, além dos Jogos Olímpicos em Paris, os ambientes virtuais serão levados ao extremo com o uso da IA para ciberataques, de acordo com especialistas. Por isso, é importante seguir a máxima da proatividade em detrimento à mera reação. Os desafios são muitos e grandiosos, por isso é preciso tirar proveito de cada ferramenta e/ou nova tecnologia em favor de um futuro digital mais seguro.