Inteligência artificial amplia testes sem substituir a análise especializada

Por Emiliano Macedo

A inteligência artificial está ampliando as possibilidades dos testes de segurança cibernética, com sistemas capazes de apoiar a investigação de falhas e organizar etapas de uma avaliação. O avanço, porém, traz uma questão para as empresas que contratam esses serviços: como distinguir um resultado tecnicamente comprovado de uma resposta que apenas parece convincente?

Para Fábio Henrique de Almeida, profissional de segurança ofensiva que desenvolve um trabalho científico sobre o uso de IA nessa área, a avaliação precisa considerar como um invasor poderia explorar o ambiente. Em sua abordagem, identificar vulnerabilidades faz parte de uma investigação que deve chegar a consequências compreensíveis para o negócio, permitindo ao gestor tomar providências a partir do que foi encontrado.

“Não enxergo um sistema como uma lista de vulnerabilidades, e sim como um alvo, sob a ótica de quem realmente tentaria invadi-lo”, explica. Essa perspectiva coloca o contexto da empresa no centro da análise, pois a existência de uma falha, por si só, não esclarece quais acessos ela permitiria ou quais atividades poderiam ser comprometidas.

A pesquisa sobre o PentestGPT, apresentada na conferência USENIX Security de 2024, oferece uma medida do potencial dessas ferramentas. Nos alvos avaliados, a estrutura desenvolvida pelos pesquisadores registrou um aumento de 228,6% na conclusão de tarefas em comparação com o GPT-3.5 utilizado como referência. O dado mede o desempenho naquele experimento, sem representar um aumento equivalente na segurança das empresas ou uma comparação com especialistas humanos.

Os pesquisadores também identificaram dificuldades dos modelos de linguagem para manter o contexto durante os testes, o que motivou a organização do sistema em módulos com funções distintas. Em uma investigação com várias etapas, uma informação obtida no início pode mudar o sentido de uma descoberta posterior, tornando necessário acompanhar a relação entre os resultados em vez de avaliar cada resposta separadamente.

Outro limite está na confiabilidade do conteúdo produzido. No perfil de riscos de IA generativa publicado em 2024, o Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, o NIST, descreve a possibilidade de modelos apresentarem informações incorretas com aparente confiança, fenômeno conhecido como alucinação. Nos testes de intrusão, a implicação prática é que uma hipótese sugerida pela ferramenta precisa ser confrontada com evidências antes de entrar no relatório como uma vulnerabilidade confirmada.

Na atuação de Fábio com pequenas e médias empresas, a utilidade do diagnóstico está ligada à possibilidade de agir sobre ele. “Traduzo cada achado em ações que o dono do negócio entende e consegue aplicar, sem depender de um departamento de TI”, afirma. A declaração expressa uma preocupação que ganha relevância com a automação: ampliar a produção de informações também exige torná-las claras para quem terá de decidir sobre correções, recursos e prioridades.

Essa comunicação precisa explicar o que foi demonstrado, quais condições permitiram o problema e quais recomendações decorrem da análise. Um documento extenso, repleto de termos técnicos, pode deixar o contratante sem compreender a gravidade dos achados, enquanto uma conclusão sem evidências dificulta a conferência por quem executará os ajustes. A contribuição especializada aparece na ligação entre a investigação e uma orientação que possa ser utilizada.

O trabalho de Fábio, como pentester e instrutor, apoiado por certificações como CompTIA Security+ e PenTest+ e PJPT, se concentra justamente nessa aproximação entre fundamento técnico e aplicação prática. Ao estudar a integração da segurança ofensiva com a inteligência artificial, ele busca produzir conhecimento aplicável à rotina dos profissionais, mantendo a proteção das empresas como finalidade da avaliação.

A ampliação do alcance dos testes será mais útil quando vier acompanhada de resultados verificáveis e recomendações claras. Para o empresário, a pergunta que permanece ao receber o diagnóstico é concreta: o que precisa mudar para reduzir a exposição do negócio? A capacidade de responder com fundamento continua sendo uma parte do serviço que a quantidade de alertas, isoladamente, não resolve.

O post Inteligência artificial amplia testes sem substituir a análise especializada apareceu primeiro em Diário do Vale.