A inteligência synthetic agente está se tornando arraigada nas operações empresariais na velocidade da luz. Com a promessa de proporcionar produtividade sem precedentes (e impulsionados por CEOs e CIOs que veem a IA como a chave para ser competitivo), os agentes de IA tornaram-se “copilotos” para praticamente todos os desenvolvedores. Como resultado, o código gerado pela IA está aparecendo em todos os lugares.
Mas os riscos ocultos do uso atual da IA de agentes estão se acumulando quase tão rapidamente quanto o código. Os agentes de IA fazem um excelente trabalho ao prever a próxima linha de código, mas não compreendem as implicações de segurança do código que está sendo criado. Em muitos casos, ao automatizar a produtividade como um copiloto confiável, eles amplificam o erro humano ao sugerir padrões inseguros que os desenvolvedores que trabalham em uma velocidade vertiginosa aceitam sem pensar duas vezes. A capacidade dos agentes de IA de trabalharem de forma autônoma apenas acelera o problema.
Está avançando ainda mais rápido com tecnologias operacionais, como termostatos domésticos, câmeras e assistentes de reserva de viagens, consultor-chefe de segurança da BeyondTrust Morey Haber disse recentemente. “No próximo ano, quase todas as tecnologias que operamos estarão conectadas à IA de agência”, disse ele.
De acordo com um relatório recente do Gartnero uso desenfreado de IA oculta e de automação não autorizada está alimentando ainda mais a proliferação de vulnerabilidades de IA. O Gartner observa que 32% dos profissionais de TI que usam ferramentas generativas de IA no trabalho dizem que as mantêm escondidas das equipes de segurança cibernética. Combinados com plataformas de baixo código/sem código e práticas de codificação de vibração, os copilotos de IA estão expandindo enormemente a superfície de ataque empresarial.
Proliferam vulnerabilidades de IA
Se as práticas de desenvolvimento de alta velocidade não forem suficientes, o uso de IA por agentes também está sendo empurrado a partir do topo, onde os executivos parecem ter forte fé no que os agentes de IA podem fazer, com a Gartner descobrindo que 79% dos líderes de TI esperam benefícios significativos. Eles convertem prontamente chatbots de IA personalizados em agentes de IA, vinculando-os a APIs e ferramentas. Isto aumenta o risco porque apenas 14% dos líderes de TI dizem estar confiantes de que os dados e o conteúdo estão prontos para interações humanas e de IA. Os CISOs são muitas vezes impotentes para dissuadir estas iniciativas.
Outro pesquisa por PagerDuty descobriram que 81% dos executivos estão dispostos a permitir que sistemas autônomos tomem medidas durante uma violação de segurança, interrupção do sistema ou outras crises. Essa descoberta sublinha uma desconexão entre as esperanças de uma IA de agência e a realidade: 96% dos executivos dizem estar confiantes de que podem detectar e mitigar falhas de IA antes que afetem as operações, embora 84% já tenham sofrido interrupções relacionadas com a IA. Enquanto isso, pesquisa da Capgemini descobriram que apenas 27% das organizações afirmam agora confiar em agentes totalmente autônomos, abaixo dos 43% de um ano atrás.
A realidade é que a IA não cria novas vulnerabilidades; ele duplicate os maus hábitos encontrados nos vastos conjuntos de dados nos quais foi treinado. Essencialmente, está amplificando o erro humano. Se as organizações não mudarem a sua abordagem ao desenvolvimento de IA, corremos o risco de inundar os nossos repositórios com código gerado por IA que é fundamentalmente inseguro e continua a alimentar a expansão da superfície de ataque empresarial.
Como os CISOs podem conter a maré
Os CISOs não estão completamente impotentes em controlar o uso autônomo de IA. Mas devem agir rapidamente para implementar um programa de supervisão em camadas que reduza as vulnerabilidades de acordo com as suas tolerâncias ao risco.
Priorize o gerenciamento de riscos do desenvolvedor: Os agentes de IA podem estar introduzindo riscos no meio ambiente, mas isso começa com os desenvolvedores humanos. Um programa abrangente de gerenciamento de riscos para desenvolvedores que aborde caminhos de aprendizagem relevantes, proteções de IA e observabilidade e rastreabilidade da pilha de tecnologia é necessário para preparar os desenvolvedores para uma análise de segurança especializada de seu trabalho. A educação dos desenvolvedores e o aprimoramento das melhores práticas de segurança, incluindo o uso de benchmarks para acompanhar o progresso na aquisição de novas habilidades, serão fundamentais para garantir a segurança do código gerado pelo desenvolvedor e pela IA. É um elemento central para que os desenvolvedores colham os benefícios das ferramentas de codificação de IA e dos agentes agentes.
IA de sombra de inventário: Obter controle sobre os agentes de IA começa sabendo o que você tem e onde eles estão. A observabilidade profunda no desenvolvimento do assistente de IA é essencial, permitindo identificar quais desenvolvedores usam quais grandes modelos de linguagem (LLMs) e em quais bases de código.
Obter visibilidade profunda dos agentes de IA também permite que as organizações priorizem os riscos associados, dependendo do tipo de agente (incorporado, autônomo) e do nível de risco dos projetos em que estão trabalhando. Um inventário abrangente também é importante para implementar controlos de acesso eficazes, necessários para a defesa. O Gartner prevê que, até 2029, mais de metade dos ataques de cibersegurança bem-sucedidos contra agentes de IA explorarão problemas de controlo de acesso através de injeção direta ou indireta.
Foco na Governança: Ao automatizar a aplicação de políticas, você pode garantir que os desenvolvedores assistentes de IA atendam aos padrões de desenvolvimento seguros antes que seu trabalho seja aceito em repositórios críticos.
Uma base segura é a chave para o sucesso
O desenvolvimento assistido por IA veio para ficar porque os benefícios para a produtividade são grandes demais para serem ignorados. Mas o uso irrestrito de agentes de IA multiplicou as vulnerabilidades no código, levando a riscos muito maiores, contra os quais muitos programas de segurança empresarial ainda não estão adequadamente preparados para se defender.
Um programa completo e modernizado baseado na visibilidade, observabilidade, governança e qualificação dos desenvolvedores pode reverter a tendência e levar as organizações ao uso bem-sucedido do desenvolvimento automatizado assistido por IA. O Gartner estima que os CIOs e CISOs que trabalham com líderes empresariais na implementação de programas estruturados de segurança obterão os melhores resultados. Essas parcerias poderão, segundo a Gartner, levar a uma redução de 50% nos incidentes críticos de cibersegurança até 2028, mesmo que o número de iniciativas de IA de alto nível cresça 20% no mesmo período.