Viktor Bulanek, da Penetrify, chega à mesma conclusão a partir da experiência com agentes autónomos. «Se o lado do ataque funciona como software, os testes humanos anuais perdem por definição». Na sua opinião, os defensores terão de adoptar níveis semelhantes de automatização e transformar a verificação contínua numa prática acessível também às organizações que não podem manter equipas especializadas. A pergunta feita pelas administrações e reguladores também teria, assim, de mudar. Em vez de «tem o certificado?», Viktor Bulanek propõe outra: «Quando foi testado pela última vez?».
Regras para quem cumpre as regras
Há ainda um limite evidente para a resposta regulatória: quem utiliza IA para cometer fraude dificilmente estará preocupado em cumprir a legislação que regula a utilização da tecnologia. Alex Lisle, da Reality Defender, aponta o exemplo dos conteúdos sintéticos. Segundo o responsável, a Europa avançou mais depressa do que outras regiões na criação de obrigações para a identificação de conteúdos gerados por IA e deepfakes. Mas «essas obrigações recaem sobre fornecedores e utilizadores que pretendem cumprir as regras». «Um burlão que utilize uma voz clonada contra o call center de um banco em Lisboa não vai identificar coisa nenhuma», diz. Para Alex Lisle, a preparação acabará por depender menos da expectativa de que um atacante respeite mecanismos de transparência e mais da capacidade de uma organização verificar aquilo que está a receber. «A preparação será decidida pela capacidade dos bancos, hospitais e organismos públicos para verificarem em tempo real aquilo que estão a ver e a ouvir».
Chris Brooks é ainda mais sintético sobre o problema europeu: «A Europa tem regulamentação razoável no papel, mas a política move-se em anos enquanto os atacantes se movem em dias. Esse intervalo é o problema central». A resposta, considera, passa por assumir desde logo que algumas barreiras serão ultrapassadas. «Uma defesa eficaz significa aceitar que as violações vão acontecer e construir a segurança em função disso: controlos de acesso rigorosos, monitorização contínua e planos de recuperação que tenham sido realmente testados».
Ninguém se defende sozinho
Para quem gere infraestruturas essenciais, há ainda uma dimensão que ultrapassa a capacidade individual de cada organização. A EDP reconhece que as capacidades ofensivas suportadas por IA «estão a evoluir a uma velocidade superior à capacidade das organizações para adaptar processos, tecnologias e competências de cibersegurança». Existe também uma assimetria nas condições em que cada lado adopta a tecnologia. «Os atacantes podem adoptar estas tecnologias com menos constrangimentos, enquanto as organizações têm de assegurar governação, conformidade, supervisão humana e continuidade operacional», explica fonte oficial da energética.
