Agentes de IA invadem sistemas: empresas não estão preparadas para a crise de identidade digital

O paradoxo da IA: corrigir falhas ou criar novas ameaças?

A Anthropic recentemente anunciou que não disponibilizará ao público o Mythos, seu modelo de IA mais poderoso. A justificativa é preocupante: o sistema identificou milhares de vulnerabilidades desconhecidas em sistemas operacionais e navegadores populares — falhas que permaneceram ocultas por quase três décadas. A empresa argumenta que o modelo é perigosamente eficiente: enquanto pode corrigir brechas de segurança, também poderia ser usado por atacantes para explorá-las em escala jamais vista.

Um único agente de IA, segundo a Anthropic, pode escanear sistemas em busca de fraquezas com velocidade e persistência superiores às de centenas de hackers humanos. Essa decisão revela uma verdade incômoda: as mesmas tecnologias que empresas disputam para automatizar tarefas — agendar compromissos, escrever código ou gerenciar fluxos de trabalho — também representam uma ameaça sem paralelo à segurança digital.

Segurança projetada para humanos: o calcanhar de Aquiles da era digital

Imagine um prédio onde todas as portas têm fechaduras projetadas para serem abertas por mãos humanas. Agora, esse prédio está cheio de robôs — alguns autorizados, outros intrusos — e as fechaduras não conseguem distinguir entre eles. Essa metáfora ilustra o problema atual da segurança cibernética: os sistemas ainda operam sob a premissa de que um ser humano está do outro lado.

Há não muito tempo, bastava digitar uma senha salva em um post-it para acessar a internet. Cada camada de segurança subsequente — senhas complexas, perguntas de segurança, biometria, autenticação em duas etapas — foi construída com base nessa suposição fundamental. No entanto, os agentes de IA estão quebrando essa lógica por dois lados ao mesmo tempo.

O lado legítimo: quando a IA precisa agir como você

Agentes de IA legítimos exigem credenciais para operar em nome de usuários. Exemplos não faltam:

• OpenAI Operator: navega na web como se fosse um usuário humano;
• Google Gemini: planeja viagens familiares enquanto você dorme;
• Visa Intelligence Commerce Connect: realiza compras para consumidores.

Esses não são protótipos ou promessas de feiras de tecnologia — são produtos reais que já atuam em nome de pessoas. Para isso, eles precisam acessar identidades digitais, o que os torna potenciais alvos ou vetores de ataque.

O lado malicioso: quando a IA finge ser humana

Inversamente, adversários podem simular humanidade em escala industrial. A mesma IA que ajuda a agendar reuniões pode ser usada para criar perfis falsos, burlar sistemas de autenticação ou até mesmo se infiltrar em processos de contratação e parcerias comerciais. Eles não invadem sistemas — eles se logam, aproveitando credenciais compartilhadas, portais de fornecedores ou ferramentas de colaboração.

O mito da segurança: por que senhas e autenticação não bastam mais

A maioria das organizações ainda trata a identidade como um problema de login — algo resolvido com senhas mais fortes ou etapas adicionais de autenticação. No entanto, o desafio real é outro: como saber quem ou o que já foi autorizado a entrar?

Essa distinção entre humano e máquina está se dissolvendo justamente quando os sistemas digitais se tornam mais autônomos. Quando essa fronteira some, as consequências são tangíveis:

• Fluxos de aprovação não conseguem distinguir entre um gerente humano e um agente de IA malicioso, levando a ordens de compra fraudulentas;
• Logs de conformidade não conseguem rastrear se uma ação foi executada por um colaborador ou por um script automatizado;
• Sistemas de segurança, projetados para humanos, tornam-se ineficazes contra ataques coordenados por IA.

"As empresas estão correndo para implementar agentes de IA sem considerar que o modelo de segurança atual não foi feito para essa realidade. Estamos construindo castelos de areia em uma maré alta." — Especialista em cibersegurança, não identificado.

O futuro da identidade digital: além de senhas e autenticação

Diante desse cenário, especialistas apontam que a solução não está apenas em fortalecer as credenciais, mas em redefinir o conceito de identidade. Algumas abordagens emergentes incluem:

• Verificação comportamental: analisar padrões de uso para identificar comportamentos suspeitos, como um agente de IA tentando acessar múltiplas contas simultaneamente;
• Blockchain e identidade descentralizada: permitir que usuários controlem suas credenciais sem depender de terceiros;
• IA para detecção de anomalias: usar sistemas de IA para monitorar outros agentes de IA, identificando padrões de ataque ou uso indevido;
• Autenticação contextual: combinar localização, dispositivo e comportamento em tempo real para validar identidades.

Enquanto isso, empresas como a Anthropic já sinalizam que o problema é maior do que vulnerabilidades pontuais. Trata-se de uma revolução na forma como interagimos com a tecnologia — e, se não for gerenciada com cuidado, pode abrir portas para riscos ainda maiores do que aqueles que a IA promete resolver.