Sayali Patil, fundadora e CEO da IntentOps, também separa os dois planos. «A arquitectura jurídica está genuinamente à frente da maior parte do mundo», considera, apontando para o conjunto de instrumentos europeus criados nos últimos anos. Mas deixa uma ressalva: «Uma estrutura de conformidade diz-nos aquilo que uma organização é obrigada a reportar. Não diz nada sobre se a sua capacidade real de detecção consegue acompanhar aquilo que está a mudar por baixo dela».
Os ataques não ficam parados enquanto as empresas se adaptam. «Os atacantes que utilizam IA podem agora automatizar o reconhecimento, gerar infraestruturas de phishing convincentes e procurar fragilidades a uma velocidade para a qual a análise manual nunca foi concebida», afirma Sayali Patil. E o problema, assume esta executiva, pode estender-se aos próprios sistemas utilizados na defesa, incluindo agentes de IA que aparentam continuar a cumprir as instruções recebidas enquanto se afastam silenciosamente daquilo que deveriam fazer. «A realidade operacional dentro das organizações, especialmente daquelas que não têm os maiores orçamentos de segurança, ainda está a tentar alcançar a lei, e é precisamente nesse espaço que os ataques impulsionados por IA continuarão a encontrar margem para actuar», considera. «A regulação estabelece a fasquia. Não coloca automaticamente ninguém acima dela».
As velhas falhas não desapareceram
Há outra espécie de ironia nesta corrida. Enquanto se discute uma nova geração de ataques suportados por Inteligência Artificial, muitas das portas utilizadas para entrar nas organizações continuam a ser bastante antigas. Stanislav Kazanov, da Innowise, considera que a capacidade operacional das organizações é precisamente o ponto mais problemático. «Na grande maioria dos casos que analisei, o caminho escolhido pelo atacante foi permitido por algo anterior a toda esta discussão e à respectiva regulação: uma conta abandonada de um antigo prestador, uma conta de serviço com acesso de administrador de domínio que não era revista desde a sua criação, um patch de segurança disponível há meses que não tinha sido aplicado». «A IA apenas tornou mais rápido e barato explorá-los. Não criou nenhum deles».
Também Bruno Castro, da VisionWare, encontra problemas semelhantes nas empresas portuguesas. «É tentador responder que o problema está na tecnologia, mas não é aí que está necessariamente a maior fragilidade». O executivo admite que uma organização pode ter boas ferramentas e continuar vulnerável se não souber utilizá-las, se não tiver processos definidos ou se as pessoas não souberem reconhecer um ataque e responder quando este acontece.
