João Miguel MesquitaA inteligência artificial está a mudar rapidamente o panorama da cibersegurança. A capacidade de modelos avançados para identificar vulnerabilidades em software reacendeu o debate sobre o futuro das equipas de segurança, a gestão do risco digital e a preparação das organizações para um cenário em que as ameaças evoluem cada vez mais depressa.
Nesta entrevista, André Baptista, cofundador e CTO da Ethiack, analisa o impacto dos novos modelos de IA orientados para a descoberta de vulnerabilidades, as limitações destas tecnologias e os desafios que continuam a enfrentar empresas, governos e responsáveis de segurança
O que representa o aparecimento dos modelos Mythos para a cibersegurança?
Representa um marco importante porque, pela primeira vez, as empresas de inteligência artificial começaram a ocupar também o espaço da cibersegurança e da ciberdefesa. Estes modelos demonstraram capacidade para identificar vulnerabilidades em software de forma muito eficaz, o que levou à criação de iniciativas que envolveram grandes organizações para procurar falhas em sistemas amplamente utilizados.
O caso do Firefox é um dos exemplos mais mediáticos. A utilização destes modelos permitiu identificar centenas de vulnerabilidades que anteriormente tinham passado despercebidas. Isto demonstra que a IA está a tornar-se uma ferramenta relevante para reforçar a segurança digital.
Os resultados divulgados surpreenderam-vos?
Não particularmente. Para quem trabalha na área há vários anos, era uma evolução previsível. Os modelos anteriores já conseguiam encontrar vulnerabilidades quando eram utilizados com esse objetivo.
Os novos modelos apresentam melhores resultados e benchmarks superiores, mas não surgiram do nada. O que aconteceu foi que o público em geral passou a ter consciência da dimensão do problema.
Houve também uma componente de comunicação muito forte. Isso teve um efeito positivo porque despertou consciências para um risco real. A tecnologia evolui a um ritmo muito acelerado e a segurança tradicional nem sempre acompanha essa velocidade.
Se a IA consegue encontrar milhares de vulnerabilidades em poucas semanas, o principal problema passa a ser corrigi-las?
A correção sempre foi um desafio. As equipas de segurança já enfrentavam dificuldades para gerir e priorizar grandes volumes de vulnerabilidades antes desta nova geração de modelos.
Nem todas as vulnerabilidades têm o mesmo impacto. É fundamental distinguir as críticas das menos relevantes para que as equipas consigam concentrar recursos onde o risco é maior.
Além disso, muitos dos problemas que afetam as organizações não são vulnerabilidades comuns. Existem sistemas esquecidos, aplicações desenvolvidas internamente, software de terceiros e infraestruturas específicas que continuam a exigir análise especializada.
A IA pode criar a ilusão de que resolve todos os problemas de segurança?
Sim. Essa é uma das principais desvantagens desta narrativa.
Existe o risco das organizações acreditarem que estes modelos funcionam como uma espécie de “varinha de condão”. Não funcionam. Conseguem ajudar muito na identificação de vulnerabilidades, mas não substituem uma estratégia de segurança completa.
Os modelos não analisam toda a superfície de ataque de uma organização nem conseguem, por si só, antecipar todos os cenários de risco. São uma ferramenta poderosa, mas apenas uma parte da solução.
Os profissionais de cibersegurança devem preocupar-se com a substituição dos seus postos de trabalho?
Não acredito nisso. Vejo a IA sobretudo como uma tecnologia de amplificação das capacidades humanas.
A confiança continua a ser essencial. Em áreas como a cibersegurança, é necessário haver supervisão humana, validação e tomada de decisão por parte de profissionais experientes.
O que muda é a natureza do trabalho. As equipas vão dedicar mais tempo à revisão, validação e gestão do risco e menos tempo a tarefas repetitivas.
Que competências passam a ser mais valorizadas?
Continuamos a valorizar o conhecimento técnico, a capacidade de trabalhar em equipa e a experiência prática. Mas existe uma nova competência que se tornou particularmente importante: a capacidade de utilizar inteligência artificial de forma eficaz.
Quem conseguir integrar estas ferramentas no seu trabalho diário terá uma vantagem significativa. Procuramos profissionais que já sejam capazes de ampliar as suas próprias capacidades através da IA.
As organizações portuguesas estão preparadas para este novo cenário?
Ainda existe muito trabalho por fazer.
Os relatórios mais recentes mostram que a exploração de vulnerabilidades está a tornar-se um dos principais fatores por detrás de fugas de dados. Ao mesmo tempo, as superfícies de ataque das organizações continuam a crescer.
Há ativos expostos que muitas empresas desconhecem, dependências de fornecedores externos e sistemas críticos que não podem ser interrompidos. Tudo isto aumenta a complexidade da gestão do risco.
As organizações têm feito progressos, mas a velocidade dos atacantes continua a ser uma preocupação séria.
Qual é hoje o maior obstáculo das empresas portuguesas?
Historicamente, a cibersegurança era vista como um custo. Felizmente, essa mentalidade está a mudar.
Os conselhos de administração começam a receber métricas concretas sobre risco digital e conseguem perceber melhor o impacto financeiro de um incidente.
Ainda existem desafios orçamentais, mas vemos uma consciencialização crescente. Cada vez mais organizações entendem que a segurança é um investimento estratégico.
O facto de os modelos encontrarem vulnerabilidades em projetos open source deve ser visto como um problema?
Pelo contrário. Vejo isso sobretudo como uma demonstração de transparência.
É preferível descobrir as vulnerabilidades e corrigi-las do que ignorá-las. O software open source beneficia desta capacidade porque permite que os problemas sejam identificados e resolvidos mais rapidamente.
O desafio está depois na correção e na coordenação com as equipas responsáveis pelos projetos.
Quem financia a correção dessas vulnerabilidades em projetos mantidos por pequenas equipas?
Não existe uma resposta única.
Existem mecanismos de patrocínio, doações e apoio por parte de empresas que dependem desses projetos. Além disso, as próprias equipas open source já utilizam ferramentas de IA para acelerar o trabalho.
A inteligência artificial pode reduzir significativamente o esforço necessário para corrigir problemas e desenvolver testes automáticos.
A Ethiack já utiliza IA para descobrir vulnerabilidades?
Sim. Embora não tenhamos tido acesso ao modelo Mythos, realizamos investigação contínua com diferentes modelos, incluindo modelos abertos executados em infraestrutura própria.
Temos obtido resultados muito interessantes na identificação de vulnerabilidades específicas das organizações, sobretudo em software desenvolvido internamente ou em componentes particulares.
Onde é que a IA apresenta melhores resultados?
Principalmente na descoberta aprofundada de vulnerabilidades específicas.
Quando queremos analisar em detalhe uma aplicação ou um componente concreto, os modelos são muito eficazes.
Já quando falamos de descoberta de vulnerabilidades em larga escala e monitorização contínua de grandes superfícies de ataque, continuam a ser necessários métodos mais determinísticos e especializados.
O que consegue fazer uma plataforma especializada que um modelo generalista ainda não consegue?
A diferença está na especialização.
Uma plataforma como a nossa combina inteligência artificial com processos determinísticos, regras de segurança, mecanismos de controlo e validações específicas para testes de penetração.
Os modelos, por si só, não garantem que os testes sejam realizados com a profundidade necessária nem que respeitem todas as regras de segurança e ética exigidas num ambiente empresarial.
Quanto tempo falta para estas capacidades chegarem às mãos dos grupos criminosos?
Já chegaram.
Os atacantes já utilizam estas tecnologias. A questão agora é encontrar um equilíbrio entre democratizar o acesso à inteligência artificial e evitar os riscos associados.
Estamos a viver um período de adaptação. O desafio é garantir que os benefícios destas tecnologias superam os seus potenciais impactos negativos.
O que é mais preocupante: a IA encontrar vulnerabilidades ou explorá-las autonomamente?
Explorar vulnerabilidades.
Encontrá-las é importante porque permite corrigi-las. O verdadeiro problema surge quando essas vulnerabilidades são utilizadas para comprometer sistemas.
O risco aumenta quando a descoberta e a exploração passam a estar cada vez mais automatizadas.
Que mensagem deixa aos responsáveis de segurança das organizações?
A principal mensagem é que a segurança tradicional já não acompanha a velocidade das ameaças atuais.
É necessário atualizar métricas de risco, evitar o burnout das equipas, utilizar inteligência artificial para acelerar processos defensivos e preparar as organizações para um maior volume de incidentes.
A capacidade de adaptação será um dos fatores decisivos para a resiliência digital das empresas nos próximos anos.
Para André Baptista, os modelos de IA como o Mythos representam um avanço significativo na descoberta de vulnerabilidades, mas estão longe de substituir plataformas especializadas ou profissionais de cibersegurança. A tecnologia pode acelerar tanto a deteção como a correção de falhas, mas a gestão do risco, a priorização e a supervisão humana continuam a ser elementos indispensáveis.
Os decisores de tecnologia devem reconhecer que a Inteligência Artificial se consolidou como um pilar fundamental da defesa digital. No entanto, a vantagem competitiva continuará a pertencer às organizações capazes de integrar eficazmente a automação, processos especializados e equipas altamente qualificadas, num contexto em que as ameaças evoluem de forma contínua e cada vez mais sofisticada.
