©2026 MIT Sloan Management Review Brasil. Todos os direitos reservados. A reprodução, total ou parcial, é proibida sem a autorização prévia e expressa do CNEX.

IA e Segurança

Inteligência artificial & cibersegurança: a vantagem está do lado de quem governa a tecnologia

Com modelos como o Claude Mythos elevando o nível da ameaça, a CTO do Bradesco argumenta que a vantagem competitiva no setor financeiro não estará em quem adota inteligência artificial mais rápido, mas em quem consegue governá-la com mais rigor.

Cíntia Scovine Barcelos

22 de junho de 2026 e atualizado em 26 de junho de 2026

9 min de leitura

A inteligência artificial vem crescendo em relevância nas organizações desde a disrupção com IA Generativa, tornada amplamente acessível em 2022 com o ChatGPT. Inicialmente utilizada como assistente, com o humano como acionador, evoluiu para o uso de agentes com o humano no processo e caminha para a IA agêntica, na qual o humano define, instrui e aprova. A IA passa a integrar o modelo operacional das empresas, incorporando-se aos processos e modelos de negócio.

Associar IA à cibersegurança ganhou bastante repercussão na mídia quando a Anthropic revelou o Claude Mythos, em abril de 2026, seu modelo mais avançado, capaz de encontrar e explorar autonomamente vulnerabilidades de software em escala sem precedentes. Por ser potencialmente perigoso nas mãos erradas, o modelo não foi lançado publicamente. Em vez disso, a Anthropic criou o Project Glasswing, uma coalizão com mais de 200 organizações para usar o Mythos de forma defensiva, com o objetivo de varrer os sistemas mais críticos do mundo antes que adversários desenvolvam capacidades equivalentes, o que a própria Anthropic estima que acontecerá em 6 a 12 meses.

Para o setor financeiro, a mensagem é clara: a corrida cibernética deixou de ser humano contra humano e passou a ser IA defensiva contra IA ofensiva. Organizações que não se prepararem para remediar vulnerabilidades em escala e na velocidade das máquinas ficarão expostas.

IA para segurança

Com o uso de IA pelo crime cibernético, os ataques se tornaram muito mais sofisticados e passaram a ser executados por hackers sem conhecimento técnico especializado. Ao mesmo tempo, dados da Accenture, de 2025, evidenciam um descompasso: apenas 10% das organizações estão de fato preparadas para se defender de ciberataques movidos por IA.

A IA generativa trouxe uma transformação profunda na escala e na sofisticação dos ataques. Hoje é possível automatizar phishing altamente personalizado, deepfakes e engenharia social com baixo custo e alta eficácia. O relatório IBM X-Force, de 2026, aponta que ataques baseados em identidade já representam cerca de 32% das intrusões e revela uma inflexão relevante no cenário de ameaças, com um crescimento de 44% nos ataques a aplicações públicas em um ano, que passaram a responder por cerca de 40% dos casos, evidenciando a exploração crescente de vulnerabilidades e falhas de configuração, muitas vezes potencializada por automação e IA para ganhar escala.

A consequência direta é que o modelo tradicional de defesa, baseado em detecção reativa, não é mais suficiente. A defesa precisa se tornar proativa, adaptativa e baseada em dados, operando na mesma velocidade do atacante. Falamos na introdução do caso de identificação e correção de vulnerabilidades. Outra abordagem relevante é integrar a IA ao pipeline de desenvolvimento, por meio de threat modeling automatizado, análise de código em pull request e testes adversariais contínuos, deslocando a detecção de vulnerabilidades para as fases iniciais do projeto, nas quais o custo de correção é significativamente menor do que em produção. Trata-se do conceito de secure-by-design operacionalizado em escala.

A IA também viabilizou a evolução para um SOC autônomo, com agentes operando continuamente na triagem, investigação e correlação de alertas, reduzindo o tempo de resposta de horas para minutos. Em vez de analistas revisando manualmente centenas de eventos, o agente investiga, contextualiza e propõe ou executa a resposta, liberando o time humano para decisões de maior complexidade. Modelos treinados com padrões normais de uso conseguem identificar desvios sutis, como acesso fora de horário, volume anômalo de consultas a dados sensíveis e comportamento incomum de agentes, que regras determinísticas não capturariam.

Modelos generativos conseguem também analisar o comportamento de código malicioso em sandbox, identificar padrões de ofuscação e classificar novas ameaças sem depender de assinaturas conhecidas, fechando lacunas deixadas por ferramentas tradicionais baseadas em regras.

Segurança e Governança de IA

Outra perspectiva importante é proteger a IA contra ciberataques. Para isso, precisamos sair da lógica tradicional de segurança, afinal não existe um único ponto de controle. A proteção precisa cobrir toda a cadeia, desde os dados de treinamento até a inferência, incluindo agentes, integrações e operação contínua. O World Economic Forum reforça que a segurança de IA deve ser tratada como um processo contínuo ao longo de todo o ciclo de vida, com avaliação iterativa de riscos, mitigação e governança.

Um estudo do Gartner, de 2026, aponta que a IA generativa está redefinindo os programas de segurança, deslocando o foco para dados não estruturados e novos ciclos de inferência, enquanto a evolução para a IA agêntica amplia significativamente a superfície de risco.

Na prática, isso se traduz em controles para operar IA com segurança em escala:

• Validação de inputs e outputs, com proteção contra prompt injection, jailbreak e conteúdo malicioso;
• Governança de identidade e acesso, estendida não só a usuários, mas a agentes, integrações e identidades de máquina;
• Proteção de dados, com DLP (data loss prevention), isolamento de contexto e garantia de que dados sensíveis não sejam usados indevidamente em treinamento ou inferência;
• Monitoramento contínuo, com logs completos e capacidade de auditoria;
• Controle de integrações e conectores, que hoje representam um dos principais vetores de risco.

A IA agêntica eleva a complexidade de forma significativa, porque muda a natureza do risco. Enquanto a IA tradicional responde, a IA agêntica decide, executa e interage com outros sistemas. O desafio deixa de ser apenas o acesso indevido e passa a ser a execução imprópria de ações.

O mesmo estudo do Gartner citado anteriormente apresenta a proliferação de agentes como uma das principais tendências de risco e projeta que, até 2028, 25% das aplicações corporativas de IA generativa sofrerão ao menos cinco incidentes de segurança por ano, contra 9% em 2025. Sistemas de IAM tradicionais não foram desenhados para o uso massivo de agentes, o que exige novas estratégias para identidades de máquina e autorização baseada em políticas.

Quando agentes começam a transacionar entre si sem supervisão humana direta, o risco deixa de ser individual e se torna sistêmico. A resposta passa por governança formal de agentes, com identidade, escopo e limites bem definidos, aplicação de princípios de zero trust, monitoramento comportamental contínuo e, em cenários críticos, a manutenção do controle humano. A autonomia plena sem supervisão não deve ser considerada uma estratégia de segurança.

Caminhando para o futuro

O setor financeiro sempre foi alvo do crime cibernético e continuará sendo, agora com adversários exponencialmente mais capazes. A IA generativa e agêntica não apenas sofisticou os ataques, mas também democratizou o acesso a capacidades ofensivas que antes exigiam alto conhecimento técnico. Quem ainda opera com defesa reativa está, estruturalmente, sempre um passo atrás.

Proteger a IA em si é o novo capítulo dessa agenda. Modelos que decidem, executam e interagem com outros sistemas sem supervisão humana direta criam uma superfície de risco que os controles tradicionais não foram desenhados para cobrir. Governança de identidade agêntica, validação de inputs e outputs, proteção da cadeia de suprimentos de IA, monitoramento comportamental de agentes e manutenção do controle humano em cenários críticos deixaram de ser práticas avançadas para se tornarem requisitos básicos de operação responsável. A proliferação de agentes sem governança não é inovação, mas sim risco sistêmico acumulado.

No fim, a vantagem competitiva no setor financeiro não estará em quem adota IA mais rápido, mas em quem a governa melhor. Instituições que construírem hoje a fundação de segurança, governança e capacidade agêntica terão maior liberdade para inovar amanhã com velocidade e confiança. Não se trata de escolher entre inovação e segurança, mas de entender que, nesse novo ciclo, uma não existe sem a outra. A vantagem está do lado de quem governa a tecnologia.