A inteligência artificial está acelerando a velocidade dos ataques, multiplicando identidades digitais e permitindo que qualquer funcionário crie aplicações em poucos minutos. Ainda assim, os principais riscos de segurança continuam ligados a problemas conhecidos, como credenciais comprometidas, falhas de gestão de acessos e ausência de controles básicos. Para especialistas do Gartner, essa aparente contradição revela a dificuldade das organizações em enxergar a cibersegurança como um elemento de inovação e não apenas como um centro de custos.
A avaliação foi apresentada durante a Conferência Gartner Segurança & Gestão de Risco, realizada em São Paulo. Segundo os analistas, a mudança de percepção é fundamental para garantir orçamento, atenção da alta administração e capacidade de resposta em um ambiente em que a IA amplia a velocidade e a escala tanto da inovação quanto das ameaças.
“Fazemos muito mais inovação em cibersegurança, só que fazemos um péssimo trabalho em mostrar e monetizar isso”, reconheceu Oscar Isaka, diretor analista sênior do Gartner.
O tema ganha relevância em um momento em que executivos reconhecem a crescente importância da segurança digital, mas nem sempre traduzem essa preocupação em investimentos.
Pesquisa do Gartner com membros de conselhos de administração mostra que 84% consideram a cibersegurança um risco de negócio, 93% a veem como uma ameaça ao valor para os acionistas e 98% acreditam que as ameaças cibernéticas vão crescer nos próximos dois anos. Ao mesmo tempo, 94% dos executivos apontam a inteligência artificial como principal vetor de transformação da segurança cibernética, enquanto 87% classificam as vulnerabilidades relacionadas à IA como o risco de crescimento mais rápido e mais urgente para as organizações.
Apesar disso, segundo Paul Furtado, vice-presidente analista do Gartner, os orçamentos da área avançam entre 5% e 9% ao ano. “Todos dizem que é muito importante, mas ainda não estão a pôr o investimento”, constatou.
O contraste é ainda mais evidente porque a segurança aparece entre as áreas de tecnologia com maior intenção de aumento de investimentos para 2026, ao lado de inteligência artificial e IA generativa. Ainda assim, os analistas avaliam que o ritmo de crescimento dos orçamentos não acompanha a velocidade de expansão dos riscos nem a pressão por adoção segura de IA nos negócios.
IA acelera ameaças e defesas já conhecidas
Embora a inteligência artificial domine as discussões atuais sobre riscos digitais, Isaka argumentou que as novas ameaças continuam remetendo aos fundamentos da segurança. “Toda nova ameaça que surge, seja por IA ou não, nos remete a algum item básico de cibersegurança que tem que ser priorizado”, afirmou.
Paul Furtado esclareceu que, apesar da visibilidade da IA no cenário de ameaças, os vetores de risco já são bem conhecidos. “O que muda é a velocidade”, constatou. “Dedicamos muito tempo aos riscos com IA e muitas organizações não cuidam dos fundamentos. Já temos as ferramentas que precisamos. O problema está nos modelos operacionais”, enfatizou.
O exemplo mais evidente continua sendo o comprometimento de credenciais, apontado como causa raiz de mais da metade dos incidentes de segurança. Ao mesmo tempo, cresce rapidamente o número de identidades não humanas, utilizadas por APIs, integrações, agentes autônomos e aplicações automatizadas. Segundo o analista, essas identidades de máquinas deverão crescer em ritmo cerca de 80 vezes superior ao das identidades humanas, ampliando a complexidade da gestão de acessos e dos controles de confiança.
Riscos do “vibe coding”
Outro ponto de atenção é a popularização do chamado vibe coding: o desenvolvimento de aplicações por usuários com pouca experiência técnica, apoiados por ferramentas de IA generativa.
Para Isaka, o movimento não é totalmente novo. Ele compara o cenário atual à disseminação de aplicações criadas por usuários corporativos na década de 1990. “Quando o pacote MS Office passou a incluir o Access, tivemos milhões de aplicações, que acabaram se tornando críticas e as empresas tinham que suportar”, recordou.
Na sua avaliação, a IA facilita a criação de software e amplia a produtividade, mas não elimina a necessidade de disciplina de engenharia, governança e segurança. “A IA é muito boa para dar visibilidade no desenvolvimento. Mas qualquer um que conheça engenharia de software sabe que as funcionalidades e a estrutura não se esgotam em um prompt”, disse.
Resiliência ganha espaço ao lado da prevenção
Além da modernização dos controles de identidade, os analistas defenderam uma mudança de mentalidade em relação à forma como as organizações medem o sucesso da segurança. Para o Gartner, a prevenção total deixou de ser uma meta realista em um cenário marcado pela profissionalização do crime digital e pelo uso crescente de inteligência artificial por atacantes.
A recomendação é deslocar o foco para a resiliência, entendida como a capacidade de reduzir impactos, preservar operações críticas e acelerar a recuperação após um incidente. “Se você está andando na rua, tropeça e está em forma para recuperar o equilíbrio e continuar andando, tudo bem. Se não estiver preparado, é capaz de cair e quebrar o nariz”, ilustrou. “Um ataque de ransomware é um risco ao negócio conforme seus efeitos na operação”, comparou.
A mudança não é apenas conceitual. Segundo o Gartner, clientes, investidores e órgãos reguladores passaram a encarar ataques cibernéticos como eventos cada vez menos evitáveis. A capacidade de resposta torna-se tão ou mais importante quanto os mecanismos de proteção.
O analista observa que métricas ligadas a continuidade operacional, tempo de recuperação e impacto nos processos de negócio tendem a oferecer indicadores mais úteis para a alta administração do que a simples contagem de incidentes bloqueados.
Shadow AI amplia exposição
Outro tema recorrente nas discussões da conferência foi o crescimento da chamada Shadow AI, o uso de ferramentas de inteligência artificial sem conhecimento ou supervisão das áreas de tecnologia e segurança.
Segundo dados apresentados pelo Gartner, quase 60% dos CISOs afirmam ter evidências de uso de IA dentro de suas organizações. Quando os funcionários são consultados diretamente, cerca de um terço admite utilizar essas ferramentas sem comunicar a área de TI.
Para Furtado, o problema não está apenas no uso da tecnologia, mas na circulação de informações corporativas em ambientes que podem não oferecer as mesmas garantias de proteção existentes dentro da empresa.
Os especialistas defendem que a resposta não deve ser a proibição pura e simples das ferramentas. A estratégia mais eficaz envolve disponibilizar ambientes corporativos controlados, estabelecer políticas claras de uso e ampliar os programas de conscientização sobre classificação e proteção de dados.
Visibilidade e controle contínuo
Na visão dos analistas, a crescente complexidade dos ambientes digitais exige uma evolução dos modelos tradicionais de controle.
“Passamos do tempo em que ter o controle satisfaz o requerimento”, afirmou Isaka. “Temos que ter um controle que seja adaptativo, rápido e que consiga se ajustar à medida que o risco vai mudando”, defendeu.
O analista citou como exemplo as soluções de gerenciamento de acessos privilegiados (PAM). “Ter uma tecnologia de acesso privilegiado não é suficiente para controlar acessos privilegiados. Nós temos que ter uma tecnologia que nos dê certeza de que os nossos acessos privilegiados são usados somente quando são necessários”, descreveu.
Segundo os especialistas, o mesmo raciocínio vale para monitoramento de dados, proteção de identidades e gestão de vulnerabilidades. Sem visibilidade adequada sobre informações, usuários e fluxos digitais, torna-se impossível aplicar controles efetivos ou responder rapidamente às ameaças.
| Diagnóstico de riscos e ameaças | Medidas de mitigação recomendadas |
|---|---|
| Comprometimento de credenciais continua entre as principais causas de incidentes | Expandir MFA, fortalecer gestão de identidades e revisar políticas de acesso |
| Crescimento acelerado de identidades de máquinas, APIs e agentes de IA | Modernizar IAM e adotar governança específica para identidades não humanas |
| Uso de IA por funcionários sem conhecimento da TI (Shadow AI) | Criar ambientes corporativos seguros para IA, políticas de uso e programas de capacitação |
| Aumento da velocidade e da escala dos ataques impulsionados por IA | Utilizar automação e IA defensiva para detecção, correlação e resposta a incidentes |
| Dependência excessiva de controles manuais e revisões pontuais | Implementar controles contínuos, automatizados e adaptáveis ao contexto |
| Foco excessivo em novas ameaças e negligência dos fundamentos | Priorizar gestão de vulnerabilidades, MFA, monitoramento e higiene básica de segurança |
| Dificuldade de justificar investimentos em segurança | Medir impacto em negócio, tempo de resposta, produtividade e aceleração de projetos |
| Expectativa de prevenção total de ataques | Adotar estratégia baseada em resiliência, continuidade operacional e recuperação rápida |
| Uso de regulamentação apenas como referência mínima de proteção | Utilizar requisitos regulatórios como piso, e não como objetivo final de segurança |
| Falta de visibilidade sobre dados, acessos e fluxos de informação | Ampliar monitoramento, classificação de dados e rastreabilidade de acessos e movimentações |
