A IA já é usada em operações cibernéticas
Atores associados a estados e criminosos usam IA de propósito geral para reconhecimento, tradução, criação de scripts, conteúdo de phishing, análise de vulnerabilidades, e trabalho relacionado a malware. A OpenAI e a Microsoft relataram esse uso por grupos associados à China, Rússia, Irã, e Coreia do Norte em 2024, ao mesmo tempo em que disseram não terem identificado um ataque significativo que só foi possível por causa de seus modelos (divulgação conjunta OpenAI–Microsoft).
Em novembro de 2025, a Anthropic relatou que um grupo patrocinado pelo estado chinês usou o Claude Code em uma campanha de ciberespionagem e atribuiu a maior parte do trabalho tático ao modelo. A Anthropic chamou isso da primeira operação documentada em larga escala com intervenção humana mínima. Esse relato é um importante autorrelato de empresa, não um incidente público reconstruído de forma independente: detalhes sensíveis e telemetria não estão disponíveis para pesquisadores externos, e estimativas de “80–90 por cento” de automação dependem de como as tarefas são contadas (divulgação da Anthropic).
O Relatório Internacional de Segurança em IA de 2026 chega a uma conclusão calibrada: a capacidade cibernética está melhorando e os atacantes estão adotando IA, mas nenhum ataque totalmente automatizado de ponta a ponta foi publicamente relatado, e o efeito sobre a frequência geral de ataques permanece incerto (Relatório Internacional de Segurança em IA de 2026).
Onde a IA pode mudar o fluxo de trabalho
Uma operação cibernética é uma cadeia, não um único prompt. Atacantes identificam alvos, coletam informação, obtêm acesso, se movem por redes, escalam privilégios, evitam detecção, e buscam roubo ou disrupção. A IA pode acelerar partes dessa cadeia buscando em grandes bases de código, gerando variantes, traduzindo material técnico, ou coordenando ações repetitivas.
A evidência de capacidade mais robusta diz respeito à descoberta de vulnerabilidades. Sistemas de IA encontraram falhas reais de software, e equipes no AI Cyber Challenge da DARPA usaram IA com ferramentas convencionais para analisar e corrigir software de código aberto (DARPA AIxCC). A descoberta é de duplo uso: um defensor pode corrigir uma falha, enquanto um atacante pode explorá-la. Se um resultado melhora a segurança depende de quem o encontra primeiro, como a divulgação é tratada, e com que rapidez os sistemas afetados conseguem se atualizar.
Agentes também podem reduzir os requisitos de habilidade e tempo sem criar expertise nova. Um operador competente pode delegar subtarefas rotineiras e operar em escala maior. Um novato pode receber código de aparência plausível, mas carecer do julgamento para depurá-lo ou ocultá-lo. Os parâmetros de referência frequentemente usam exercícios limpos de captura-a-bandeira ou vulnerabilidades conhecidas, então o alto desempenho não se transfere automaticamente para uma empresa defendida.
Por que a infraestrutura merece atenção especial
Eletricidade, água, comunicações, transporte, sistemas de saúde, e compensação financeira dependem de tecnologia digital e operacional interconectada. Alguns equipamentos têm ciclos longos de substituição, registro limitado, requisitos frágeis de disponibilidade, ou protocolos legados. Os operadores podem não conseguir instalar uma correção comum sem testar o tempo de inatividade e os efeitos de segurança.
Ainda assim, “infraestrutura crítica” não está uniformemente exposta. Alguns sistemas são segmentados, usam controles manuais, ou têm forte regulação específica de setor. Muitos incidentes começam com fraquezas familiares — credenciais roubadas, sistemas voltados para a internet não corrigidos, acesso de fornecedores, backups ruins, ou engenharia social — em vez de uma exploração exótica desenhada por IA. A IA pode intensificar essas rotas, mas a segurança básica permanece altamente relevante.
As consequências também variam. Um comprometimento de e-mail corporativo é diferente do controle de equipamento físico. Alegações de um ataque catastrófico à infraestrutura deveriam explicar o caminho do acesso digital ao dano físico, os intertravamentos de segurança envolvidos, e a capacidade do atacante de manter acesso. Evitar esse detalhe em um nível defensivo pode transformar um cenário plausível em uma manchete sem sustentação.
O equilíbrio ataque-defesa está sem solução
É tentador dizer que os atacantes precisam ter sucesso uma vez, enquanto os defensores precisam ter sucesso sempre. Esse slogan captura uma assimetria, mas ignora outras. Os defensores controlam a arquitetura, a identidade, a correção, o monitoramento, os backups, e a recuperação. A IA defensiva pode inspecionar muito mais código e telemetria do que equipes humanas, priorizar alertas, encontrar falhas antes do lançamento, e automatizar a remediação. Os atacantes frequentemente precisam permanecer encobertos, preservar o acesso, e se adaptar a um ambiente que não controlam.
O Relatório Internacional de Segurança em IA diz explicitamente que não está claro se a IA de propósito geral beneficiará mais os atacantes ou os defensores. Essa incerteza é a previsão precisa. Os resultados podem diferir por setor e tempo: o ataque pode ganhar primeiro com uma nova capacidade, seguido pela defesa após ferramentas e correções se difundirem. Componentes de código aberto podem disseminar tanto vulnerabilidades quanto correções rapidamente.
Sistemas de IA também criam novas superfícies de ataque. A injeção de prompt pode fazer um agente seguir instruções maliciosas embutidas em e-mail, documentos, ou páginas web. Permissões excessivas de ferramentas podem transformar um erro de modelo em perda de dados. Cadeias de suprimentos de modelo, plugins, armazenamentos de memória, e credenciais exigem os mesmos princípios de privilégio mínimo e isolamento que outros softwares — mais novos testes para comportamento específico de modelo.
Como é uma boa evidência
Alegações cibernéticas são difíceis de atribuir. Uma empresa de inteligência de ameaças ou um desenvolvedor de IA vê apenas sua própria telemetria e pode ter incentivos comerciais. As vítimas podem não divulgar incidentes. Os atacantes podem usar vários modelos e ferramentas convencionais, tornando o efeito marginal da IA difícil de isolar.
Os parâmetros de referência podem superestimar a capacidade por meio de contaminação ou andaimes irreais, e subestimá-la por meio de elicitação ruim. Os relatórios deveriam divulgar a versão do modelo, as ferramentas do agente, a novidade da tarefa, a assistência humana, os critérios de sucesso, a taxa de tentativas repetidas, e se o alvo era simulado ou real. A reprodução independente e a divulgação responsável aumentam a confiança.
Mais importante, separe a adoção observada do impacto causal. “Um atacante usou IA” não prova que a IA permitiu a violação, aumentou o dano, ou mudou o resultado da campanha. Ao mesmo tempo, a falta de atribuição pública não prova ausência. Rótulos de confiança são mais honestos do que alegações categóricas.
Defesas que funcionam em vários cenários de capacidade
Os operadores de infraestrutura deveriam inventariar ativos e dependências, segmentar tecnologia operacional, exigir autenticação multifator resistente a phishing, minimizar privilégios permanentes, e monitorar acesso remoto e de fornecedores. Backups offline testados e procedimentos manuais de recuperação limitam o impacto tanto de ataques habilitados por IA quanto de ransomware comum. As aquisições deveriam exigir desenvolvimento seguro e tratamento tempestivo de vulnerabilidades.
Os agentes de IA precisam de permissões restritas, execução isolada, registro, e autorização humana para ações irreversíveis. Entradas de fontes não confiáveis deveriam ser tratadas como hostis. As organizações deveriam fazer red team de injeção de prompt, vazamento de credenciais, e mau uso de ferramentas antes de conectar agentes a sistemas de produção.
Os governos podem apoiar o compartilhamento de informação setorial, padrões mínimos de cibersegurança, divulgação coordenada, desenvolvimento de força de trabalho, e exercícios que incluam recuperação física. Os desenvolvedores de modelos podem monitorar o mau uso, preservar evidências, compartilhar indicadores de forma responsável, e fornecer a avaliadores externos qualificados acesso a testes de capacidade cibernética.
A conclusão calibrada
A IA cruzou da relevância cibernética hipotética para o uso documentado. Ela pode automatizar partes significativas das operações e melhorar a descoberta de vulnerabilidades. A evidência pública mais forte ainda não mostra campanhas cibernéticas totalmente autônomas de ponta a ponta, nem estabelece que o ataque superará a defesa no futuro previsível.
O risco é sério porque a capacidade pode escalar, a infraestrutura contém fraquezas persistentes, e os agentes podem agir mais rápido do que a revisão humana. A oportunidade é igualmente concreta: os mesmos sistemas podem encontrar e reparar vulnerabilidades. A política deveria medir resultados, fortalecer sistemas, e preservar o acesso defensivo, em vez de tratar um equilíbrio ataque-defesa contestado como uma lei estabelecida.