ue, 26 May 2026
← VoltarO CERT-In exige a correção de vulnerabilidades críticas dentro de 12 horas para combater ataques automatizados conduzidos por IA.
A Equipe Indiana de Resposta a Emergências de Computadores (CERT-In) emitiu novas diretrizes exigindo que as organizações corrijam vulnerabilidades críticas de segurança em sistemas expostos à Internet dentro de 12 horas após serem sinalizadas quando "viáveis" para se protegerem contra ameaças potenciais decorrentes do abuso de ferramentas de inteligência artificial (IA) e modelos de linguagem grande (LLMs) por parte dos agentes de ameaças para automatizar a descoberta e exploração de vulnerabilidades e aumentar a escala e a velocidade dos ataques cibernéticos. “A exploração cibernética assistida por IA reduz o tempo necessário para os adversários identificarem, armarem e explorarem vulnerabilidades, serviços expostos, identidades fracas, APIs inseguras e sistemas mal configurados”, disse o CERT-In em um plano de 38 páginas publicado na segunda-feira. “À medida que as organizações se tornam cada vez mais dependentes de infraestruturas digitais interconectadas, ecossistemas de nuvem, cadeias de fornecimento de software, tecnologias operacionais e plataformas habilitadas para IA, o impacto potencial das ameaças cibernéticas habilitadas para IA continua a aumentar em todos os setores.” Com os agentes de ameaças começando a confiar cada vez mais na IA para uma ampla gama de tarefas, incluindo descoberta de superfícies de ataque, análise de exploração, conteúdo convincente de phishing e até mesmo geração de malware, eles podem reduzir significativamente os prazos de preparação de ataques e contornar os controles de segurança tradicionais. Além disso, os próprios sistemas habilitados para IA podem tornar-se alvos de ataques maliciosos através de injeções imediatas, vulnerabilidades de vazamento de dados, técnicas de jailbreak, manipulação de modelos, envenenamento de dados de treinamento, roubo de modelos e comprometimento do pipeline de orquestração, minando efetivamente sua confidencialidade e integridade.
O CERT-In alertou que as organizações devem esperar que os prazos de exploração entrem em colapso significativo e que os ataques se tornem autónomos, necessitando da adoção de medidas reforçadas de segurança cibernética que envolvam avaliação contínua de ameaças, redução proativa da exposição e preparação operacional. Alguns dos princípios defensivos delineados pela agência de segurança cibernética para reduzir a exposição e responder melhor às ameaças cibernéticas assistidas por IA estão listados abaixo - "As organizações devem implementar controles técnicos em camadas, baseados em riscos e continuamente validados para reduzir a exposição a ameaças cibernéticas assistidas por IA", disse CERT-In. “Os controles devem priorizar a proteção de sistemas voltados para a Internet, aplicativos críticos de negócios, identidades, ambientes de nuvem, APIs, dados confidenciais, sistemas habilitados para IA e infraestrutura operacional”. A agência também está incentivando as organizações a adotarem “práticas contínuas de gerenciamento de vulnerabilidades e patches baseadas em riscos” para reduzir a exposição decorrente de falhas de segurança, configurações incorretas, APIs inseguras, serviços acessíveis ao público e identidades fracas.
Para esse fim, as vulnerabilidades exploradas conhecidas que afetam os sistemas críticos e voltados para a Internet devem ser corrigidas no prazo de 12 horas, quando aplicável. Outros tempos de remediação baseados em risco são os seguintes - Em cenários onde não há patches disponíveis imediatamente, é aconselhável implementar mitigações temporárias, como isolamento, restrição de acesso, proteção WAF/API, monitoramento aprimorado ou desativação de recursos até que a correção seja lançada. “Dada a natureza em rápida evolução das ameaças cibernéticas assistidas por IA, as organizações devem reavaliar continuamente a exposição, validar os controlos de segurança, reforçar as capacidades de resiliência e melhorar a preparação operacional através de auditorias contínuas, monitorização, testes e governação coordenada da segurança cibernética”, afirmou o CERT-In. O projeto chega um mês depois que o CERT-In divulgou um alerta sobre as crescentes capacidades cibernéticas dos modelos de IA de fronteira da Anthropic e OpenAI, afirmando como sua "natureza de uso duplo" poderia "reduzir a barreira de entrada para atores cibernéticos maliciosos e ser aproveitada para acelerar a execução de ataques, automatizar fluxos de trabalho de exploração e dimensionar campanhas cibernéticas".
“Acompanhar o ritmo dos desenvolvimentos cibernéticos de ponta impulsionados pela IA é fundamental para manter a resiliência cibernética”, acrescentou. “Os controles básicos de segurança cibernética permanecem críticos e mostram devem ser rigorosamente aplicados." Aprenda estratégias práticas para detectar e se defender contra ameaças cibernéticas além das vulnerabilidades de dia zero. Aprenda como validar resultados de pentesting automatizados para tomar decisões de segurança precisas. Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.