Na era da IA, resiliência não pode ser privilégio de poucos
Por Marcos Ferreira Gomes | •
:quality(85)/96230cc1-c253-4911-b12d-7cff7fd09af7.png)
Modelos de IA de fronteira, como Mythos e GPT-5.5 Cyber, estão hoje na vanguarda da tecnologia de segurança. Suas capacidades chamaram tanta atenção que o governo dos Estados Unidos chegou a restringir temporariamente o acesso estrangeiro a alguns desses modelos por razões de segurança nacional.
O impacto potencial dessas tecnologias é significativo. Elas podem acelerar a descoberta de vulnerabilidades e reduzir ainda mais o já curto intervalo que as organizações têm para corrigir uma falha antes que ela seja explorada. Ao mesmo tempo, a IA também pode fortalecer a defesa ao ajudar as equipes de segurança a identificar riscos mais cedo.
À medida que o desenvolvimento desses modelos avança, porém, o acesso às tecnologias mais sofisticadas tende a permanecer concentrado entre organizações com maior capacidade de investimento. Isso cria uma questão importante: ficar de fora dessa evolução pode ampliar a diferença de resiliência entre grandes empresas e organizações com menos recursos?
O desafio não está apenas em ter ou não acesso à tecnologia. Também está em entender como processos de segurança, governança e recuperação se comportam diante de ataques capazes de explorar vulnerabilidades em velocidade e escala inéditas.
Um incidente recentemente relatado envolvendo a Hugging Face ilustra esse ponto. Mesmo em um ambiente projetado para funcionar de forma isolada, modelos de IA teriam identificado e explorado uma rota não intencional para escapar desse ambiente. O episódio reforça que controles cuidadosamente planejados podem apresentar falhas inesperadas.
Por isso, as organizações precisam se preparar para um cenário em que a evolução da IA seja mais rápida do que as premissas tradicionais de segurança. Nesse contexto, resiliência significa mais do que prevenir ataques: é preciso ser capaz de detectar, conter e recuperar a operação quando os controles falharem.
O papel do ResOps
Para a maioria das organizações, melhorar a resiliência não depende necessariamente de ter acesso às tecnologias mais avançadas de IA. Há medidas práticas que podem ser adotadas agora para reduzir o impacto de um incidente e acelerar a recuperação.
Muitas empresas ainda associam resiliência principalmente a backup e recuperação. Essas tecnologias são fundamentais, mas tê-las disponíveis não significa, por si só, estar preparado para recuperar a operação durante um ataque real.
A recuperação depende também de planejamento, testes contínuos e conhecimento sobre as dependências entre os serviços críticos do negócio. É nesse contexto que surge o conceito de Resilience Operations, ou ResOps, voltado à validação contínua da capacidade de recuperação.
Imagine duas organizações atingidas pelo mesmo ataque de ransomware. Ambas possuem backups, mas apenas uma sabe quais sistemas precisam ser restaurados primeiro e já testou seus procedimentos de investigação, limpeza e recuperação. A outra ainda precisa identificar dependências e tomar decisões enquanto o negócio está parado.
A diferença entre elas não está necessariamente na tecnologia disponível, mas no preparo construído antes do ataque.
Definindo a Minimum Viable Company
Preparar-se para a evolução da IA exige, portanto, uma mudança na forma como as organizações encaram recuperação. Não basta perguntar se existem backups. É preciso saber se os sistemas críticos podem ser restaurados de forma segura e em que ordem isso deve acontecer.
Ambientes de recuperação isolados e imutáveis devem fazer parte dessa estratégia, funcionando como uma alternativa confiável quando a remediação não consegue acompanhar a velocidade de um ataque.
Um dos primeiros passos é definir a Minimum Viable Company (MVC), ou Empresa Mínima Viável. O conceito representa o conjunto mínimo de sistemas e serviços necessários para manter a organização funcionando depois de um incidente.
Definir a MVC significa identificar os serviços essenciais, estabelecer quanto tempo a empresa consegue operar com cada um deles indisponível e mapear as dependências entre os sistemas antes de uma crise. Entre os componentes podem estar serviços de identidade, bancos de dados, plataformas de comunicação, sistemas financeiros e aplicações essenciais ao negócio.
À medida que a inteligência artificial passa a fazer parte das operações, também será necessário avaliar se componentes como pipelines de dados e fluxos de trabalho baseados em agentes se tornaram críticos para a continuidade dos negócios.
A MVC não deve ser uma definição estática. Ela precisa acompanhar a evolução da empresa. Organizações que identificam e validam previamente suas prioridades de recuperação conseguem retomar as operações essenciais com mais rapidez e tomar decisões melhores sob pressão.
Em um cenário no qual a IA pode acelerar tanto a descoberta de vulnerabilidades quanto a sofisticação dos ataques, essa preparação deixa de ser uma vantagem e passa a ser uma necessidade. A resiliência não deve depender de quem tem acesso à tecnologia mais avançada, mas da capacidade de cada organização de saber o que precisa proteger, como recuperar e quanto tempo levará para voltar a operar.