Por Alexander Procaci, gerente de Segurança da Informação do IRB(Re)*
A cibersegurança atingiu um ponto de inflexão histórica. Não estamos mais apenas protegendo dados de usuários humanos, estamos entrando em um campo de batalha onde a IA agêntica é o novo protagonista e a velocidade é medida em segundos, não mais em horas ou dias. As discussões promovidas pela RSA Conference 2026 demonstraram este fato claramente.
Dito isso, entendo que é possível perceber quatro pilares fundamentais que todo líder de tecnologia e segurança da informação precisa compreender para navegar neste novo cenário:
1º pilar: da IA generativa para a IA agêntica
O grande tema do evento foi a distinção entre a IA generativa tradicional e a IA agêntica. Enquanto a primeira funciona como um “copiloto” que responde a comandos, a IA agêntica atua como o próprio “piloto”: ela recebe um objetivo, toma decisões autônomas e executa ações em sistemas sem supervisão humana direta.
Os dados da conferência não mentem: 51% das empresas já utilizam essa tecnologia e 82% planejam sua integração profunda nos próximos três anos. O desafio agora é gerenciar o “raciocínio opaco” (citado por 68% dos líderes) e garantir que esses agentes poderosos não se tornem “funcionários invisíveis” soltos na rede sem controle.
2º pilar: a guerra na velocidade da máquina
A estatística apresentada na RSA que mais me impactou diz respeito ao chamado breakout time (o tempo que um invasor leva para se mover na rede após o acesso inicial).
Em 2019, os defensores tinham 9 dias para reagir. Em 2025, esse recorde caiu para 51 segundos. Enquanto o ataque ocorre em segundos via IA maliciosa, a resposta humana média ainda é de 4 horas. Nesse intervalo, um agente malicioso poderia invadir o sistema mais de 280 vezes, tornando a defesa manual matematicamente impossível.
A conclusão é direta: defensores precisam operar na velocidade da máquina, utilizando IA defensiva para triagem e resposta automatizada.
3º pilar: identidade e governança
A governança dessas entidades autônomas é fundamental e foi muito debatida na conferência. A recomendação clara é tratar agentes de IA como “Identidades Gerenciadas”, exigindo o mesmo (ou maior) nível de verificação que um funcionário humano.
Para evitar o caos, as organizações devem considerar as seguintes implementações:
• Mecanismos de Interrupção: O chamado “disjuntor” ou kill switch para paradas de emergência.
• Privilégio Mínimo (PAM): Garantir que o agente tenha apenas o acesso estritamente necessário para sua missão.
• Rastreabilidade: Auditoria contínua de cada decisão tomada pelo agente.
4º pilar: a fundação de dados e a conformidade legal
A segurança da IA não começa no algoritmo, mas nos dados. Algumas organizações ainda lutam com a proveniência dos dados e a proteção de informações sensíveis. Além disso, o cenário regulatório está se estabelecendo com o EU AI Act (agosto de 2026) e o Cyber Resilience Act.
A conformidade deixará de ser opcional para se tornar um requisito de licenciamento e operação global.
A cibersegurança não é mais um problema somente da TI, mas um pilar da estratégia de negócio. Como bem disse Melissa Pint (CDO da Frontier): “Não existe uma estratégia de tecnologia. Existe apenas uma estratégia de negócios que a tecnologia apoia”.
*As opiniões expressas neste artigo são de responsabilidade do autor e não expressam, direta ou indiretamente, as opiniões do IRB(Re).
