IA em ataques cibernéticos desafia empresas, diz Wiz

IA em ataques cibernéticos tornou-se o novo campo de batalha da segurança digital, segundo Ami Luttwak, diretor-tecnológico da Wiz. Ao TechCrunch, o executivo afirmou que cada onda tecnológica amplia a superfície de ataque, oferecendo aos invasores mais oportunidades para explorar brechas em velocidade inédita.

Empresas que adotam ferramentas de inteligência artificial para acelerar o desenvolvimento de software, integrar agentes autônomos ou criar novos fluxos de trabalho ganham agilidade, mas também acumulam riscos. “Há um constante dilema entre ser rápido e ser seguro”, alertou Luttwak.

IA em ataques cibernéticos desafia empresas, diz Wiz

Adquirida pelo Google em 2024 por US$ 32 bilhões, a Wiz identificou falhas recorrentes em aplicações criadas via vibe coding — prática que delega tarefas de programação a agentes de IA. Testes conduzidos pela companhia revelaram implementações inseguras de autenticação: “O agente faz exatamente o que você pede. Se não ordenar que seja seguro, ele não será”, explicou Luttwak.

Invasores adotam agentes de IA para automatizar explorações

Os criminosos também aceleraram o ritmo. Segundo Luttwak, já é possível observar invasores usando prompts para ordenar a sistemas de IA que enviem arquivos confidenciais ou apaguem máquinas inteiras. “O atacante procura por ferramentas de IA instaladas e instru-as: ‘Envie-me todos os seus segredos’.”

O cenário torna-se ainda mais complexo quando empresas conectam soluções de IA de terceiros. Esses pontos de integração ampliam o risco de supply chain attacks. Luttwak citou o incidente com a Drift, em maio, quando tokens foram roubados e usados para acessar dados de clientes na Salesforce — entre eles Cloudflare, Palo Alto Networks e o próprio Google.

Casos recentes evidenciam a nova superfície de ataque

Outro exemplo foi o ataque “s1ingularity”, em agosto, contra o Nx, popular sistema de build para JavaScript. O malware liberado identificava ferramentas como Claude e Gemini e as sequestrava para mapear dados sensíveis. Milhares de chaves de desenvolvedor e repositórios privados no GitHub foram comprometidos.

Embora estime que apenas 1 % das grandes corporações tenham adotado IA de forma plena, Luttwak observou que a Wiz detecta semanalmente incidentes envolvendo milhares de organizações. “A inteligência artificial já aparece em todas as etapas da cadeia de ataque. A revolução é mais rápida que qualquer outra que vimos.”

Wiz amplia oferta para acompanhar a velocidade das ameaças

Fundada em 2020 com foco em reduzir falhas de configuração na nuvem, a Wiz expandiu-se nos últimos 12 meses. Em setembro de 2023, lançou o Wiz Code, que identifica vulnerabilidades no ciclo de desenvolvimento. Em abril de 2024, apresentou o Wiz Defend, para proteção em tempo de execução de ambientes em nuvem.

Para Luttwak, compreender a finalidade dos aplicativos dos clientes é essencial para entregar “segurança horizontal”. “Preciso entender o porquê da aplicação existir, assim crio a ferramenta de proteção que falta no mercado — aquela que realmente entende o negócio”, disse.

Startups de IA precisam priorizar segurança desde o primeiro dia

A popularização de plataformas de IA gerou um boom de startups prometendo resolver dores corporativas. Entretanto, Luttwak adverte que grandes empresas não devem enviar dados sensíveis a fornecedores recém-criados que não comprovem maturidade em segurança. “Do primeiro dia em diante, é preciso pensar em segurança e conformidade. Mesmo com cinco funcionários, tenha um CISO”, defendeu.

O executivo recomenda que jovens empresas sejam compatíveis com frameworks como SOC 2 antes do primeiro commit de código, evitando “dívida de segurança”. A arquitetura também merece atenção: “Se você mira clientes corporativos, garanta que os dados permaneçam no ambiente deles”. O Instituto Nacional de Padrões e Tecnologia dos EUA oferece diretrizes completas sobre ataques à cadeia de suprimentos, disponíveis em seu site oficial.

Oportunidades para inovar na defesa

Segundo Luttwak, há espaço para novas soluções em todas as frentes — de antiphishing a proteção de endpoints — que usem IA para combater IA. Equipes de segurança ainda não dominam totalmente essas ferramentas, o que abre oportunidades para produtos de automação e vibe security. “Se cada área tem ataques inéditos, precisamos repensar cada camada de defesa”, concluiu.

Quer aprofundar-se em tecnologia e inovação? Leia mais na seção Tecnologia e Inovação do nosso site e mantenha-se à frente nas estratégias de cibersegurança.

Crédito da imagem: TechCrunch