Use a IA como colega de equipe de segurança

A IA está mudando a velocidade do trabalho de segurança, mas não muda o que conta como evidência. O Cyber AI Profile preliminar do NIST separa usar IA para defender, proteger sistemas de IA e frustrar ataques viabilizados por IA. Esta lição começa pela defesa.

Use um ambiente de IA aprovado para trabalho sensível. Dê a ele os dados mínimos necessários: oculte credenciais, tokens e informações pessoais, e siga as regras de tratamento de dados da sua organização. As orientações de segurança da CISA sobre IA alertam contra compartilhar dados confidenciais com ferramentas públicas.

Um pedido útil dá ao modelo uma tarefa delimitada: “A partir destes eventos mascarados, liste as observações com referências às linhas, as hipóteses com o grau de confiança e a próxima consulta que as diferenciaria. Não afirme que uma invasão está confirmada.” Depois:

1. Reúna evidências confiáveis e com horário.
2. Peça à IA um resumo, hipóteses e as informações que faltam.
3. Verifique cada afirmação importante nos registros originais e reproduza os achados técnicos.
4. Decida com um responsável humano; aprove qualquer ação de contenção ou de divulgação.
5. Registre o que o modelo sugeriu, o que foi conferido e o que aconteceu.

Fique atento a detalhes de eventos inventados, certeza falsa, contexto perdido e prompt injection escondido em logs ou em documentos recuperados. Uma resposta fluente é um ponto de partida para a investigação, não uma conclusão.

A XBOW é uma empresa comercial de testes de segurança autônomos. Em 2025, a HackerOne relatou que a XBOW tinha chegado ao topo do seu ranking dos EUA por reputação, mostrando que sistemas de IA conseguem encontrar algumas vulnerabilidades reais. A HackerOne também destacou os validadores como uma forma de reduzir os achados alucinados. O relato da própria XBOW descreve testes e relatórios automatizados. Uma posição num ranking mede resultados naquele programa; não prova que um agente pode substituir todo teste de invasão humano nem entender todas as regras de negócio.

Para uma ferramenta de testes com IA, defina um escopo de alvos e limites de taxa explícitos, proteja os dados de teste, exija evidências reproduzíveis e deixe os donos aprovarem qualquer passo disruptivo. Compare os achados aceitos, os falsos positivos, o tempo de correção e os resultados dos novos testes - não só o número de relatórios.

Uma inferência razoável a partir destes exemplos é que a análise inicial e os testes de rotina vão ficar mais rápidos, enquanto a validação, o acesso seguro às ferramentas e a correção dos sistemas de base ficam ainda mais valiosos. As equipes podem rodar verificações mais estreitas com mais frequência e dedicar a atenção humana aos casos ambíguos, à lógica de negócio e às decisões de risco. Meça se a IA melhora a detecção e a correção, e fique atento a ruído extra ou a automação insegura. Isto é uma direção a testar, não uma garantia sobre nenhum produto ou prazo.