A Inteligência Artificial começa a assumir um papel cada vez mais ativo no panorama da cibersegurança. Em Espanha, a Agência Espanhola de Proteção de Dados (AEPD) recebeu uma notificação relativa a um incidente em que um agente de IA terá executado, com intervenção humana limitada, diferentes fases de um ciberataque.
De acordo com a informação divulgada pela AEPD, o agente utilizou um modelo de linguagem conhecido para procurar vulnerabilidades em ficheiros e, posteriormente, conseguiu realizar um início de sessão válido num sistema. Já dentro da infraestrutura, continuou autonomamente a procurar falhas na aplicação até encontrar uma vulnerabilidade que lhe permitiu modificar dados pessoais e aceder a faturas.
O caso está ainda sob análise e a informação disponível resulta da participação apresentada pela organização afetada. Por isso, a AEPD sublinha que não é possível, nesta fase, retirar conclusões definitivas sobre o incidente.
A utilização de um modelo específico de IA também não significa que o próprio modelo ou a infraestrutura do seu fornecedor tenham sido comprometidos. A Agência esclarece igualmente que a ferramenta em causa não foi desenvolvida com o propósito de realizar atividades maliciosas.
Da ferramenta de apoio ao agente autónomo
A utilização de Inteligência Artificial em atividades relacionadas com ciberataques não é uma novidade. A tecnologia já era utilizada, por exemplo, para acelerar a pesquisa de vulnerabilidades, criar conteúdos de phishing ou apoiar diferentes fases de operações maliciosas.
A diferença neste caso está no grau de autonomia. Em vez de funcionar apenas como uma ferramenta sob orientação permanente de um operador humano, o agente de IA terá conseguido encadear várias ações, analisar os resultados obtidos e adaptar os passos seguintes até atingir determinados objetivos.
A própria AEPD considera que este aspeto é particularmente relevante: um terceiro terá recorrido a um agente de IA para executar autonomamente diferentes etapas de um ataque. A situação representa, assim, um exemplo concreto de como os sistemas de IA agentiva podem alterar a dinâmica dos riscos associados à cibersegurança.
Mais velocidade e capacidade de adaptação
Para a autoridade espanhola, a Inteligência Artificial não cria necessariamente novas ameaças, mas pode aumentar significativamente a velocidade, a escala e a capacidade de adaptação das técnicas utilizadas nos ciberataques.
Esta aceleração reduz o intervalo de tempo disponível para que as organizações identifiquem uma intrusão e intervenham. A preocupação ganha particular relevância quando os sistemas conseguem executar várias tarefas sem depender de uma pessoa em cada etapa do processo.
Dados recentes do Google Threat Intelligence Group apontam igualmente para uma evolução dos agentes maliciosos, que estão a passar de interações simples com modelos de linguagem para fluxos de trabalho mais autónomos e automatizados.
Perante este cenário, a AEPD defende uma revisão dos modelos de segurança e de proteção de dados. As organizações terão de considerar não apenas os métodos tradicionais de ataque, mas também a possibilidade de agentes autónomos identificarem vulnerabilidades, explorarem acessos e ajustarem as suas ações em tempo real.
O caso espanhol permanece em investigação, mas coloca uma questão cada vez mais relevante para empresas e organizações: num contexto em que os ataques podem ser executados à velocidade das máquinas, estarão os sistemas de defesa preparados para responder com a mesma rapidez?
