À primeira vista, a resposta parece simples. Afinal, proteger uma aplicação sempre significou proteger seu código, suas interfaces e os dados que ela processa. Mas, quando a inteligência artificial passa a fazer parte dessa aplicação, a pergunta deixa de ser tão objetiva.
Isso acontece porque aplicações baseadas em IA não executam apenas regras de negócio. Elas interpretam informações, acessam diferentes fontes de dados, interagem com outros sistemas e passam a influenciar decisões e processos críticos da organização.
Nesse cenário, proteger apenas a aplicação já não responde à dimensão do problema. A partir daí, o desafio central passa a ser como continuar inovando sem aumentar minha exposição?
Veja bem, o objetivo não é proteger apenas o software. É proteger a relação de confiança depositada em toda a cadeia de desenvolvimento da aplicação.
Portanto, isso inclui garantir a inovação, sem comprometer dados, operações e decisões que sustentam o negócio.
Em que momento proteger uma aplicação deixa de significar apenas proteger seu código?
Primeiramente, a aceleração do desenvolvimento de aplicações e softwares impulsionada pela inteligência artificial vem transformando a dinâmica das equipes de tecnologia.
Já estão mais do que claros os ganhos advindos da IA como aumento de produtividade com ciclos de entrega mais curtos, redução do esforço manual e ampliação da capacidade de experimentação.
Porém, esse novo ritmo também altera a escala dos riscos quando práticas maduras de segurança, governança e qualidade de engenharia não acompanham a velocidade da entrega.
Um estudo da Cybernews, por exemplo, mostra que aplicativos de IA para Android estavam expondo credenciais sensíveis, incluindo chaves de API e configurações associadas a serviços do Google Cloud.
Ao todo, mais de 700 TB de dados de usuários foram potencialmente expostos a partir da análise de 1,8 milhão de aplicativos, sinalizando um problema sistêmico de engenharia, e não apenas falhas pontuais.
Segundo os pesquisadores, 72% dos aplicativos avaliados continham ao menos um dado confidencial embutido diretamente no código-fonte.
Além disso, 81% estavam vinculados a projetos armazenados no Google Cloud, ampliando a possibilidade de acesso indevido a ambientes corporativos.
O problema é que, em um contexto de desenvolvimento acelerado por IA, a repetição automatizada de más práticas tende a ocorrer em escala.
Portanto, se o modelo sugere código inseguro e não há revisão adequada, o erro deixa de ser isolado e passa a ser estrutural.
Leia mais: Ataques às aplicações e APIs acelerados por IA
Como inovar sem aumentar a exposição ao risco?
Nos últimos 18 meses, as empresas integraram cada vez mais a IA generativa às suas operações, aproveitando seu potencial para inovar e simplificar processos.
Conforme aponta o relatório recente da IBM, aproximadamente 42% das grandes empresas adotaram a IA, com a tecnologia capaz de automatizar até 30% das atividades de trabalho do conhecimento em vários setores.
No entanto, a mesma tecnologia, embora transformadora, introduz novas vulnerabilidades de segurança. Violações recentes relacionadas a aplicações de IA demonstram esses riscos e seu possível impacto nas empresas.
A questão é que a maioria das organizações incorporam princípios de segurança apenas depois de perceber que deveria ter sido uma prioridade desde o início.
Embora seja difícil prever como essa área se desenvolverá, especialistas do mercado concluem que há problemas acionáveis a serem resolvidos agora.
Além de, existir problemas estratégicos que o setor de tecnologia deve antecipar para garantir a segurança a longo prazo.
Para os líderes de tecnologia, isso significa rever a forma como o desenvolvimento seguro para aplicações de IA é tratado dentro da organização.
Leia mais: Segurança de APIs: proteja sua interface de violações
Por que desenvolver uma aplicação com IA exige uma estratégia de segurança diferente?
Diferentemente das aplicações tradicionais, sistemas baseados em IA dependem de modelos, dados, integrações, serviços em nuvem e componentes externos que ampliam a superfície de risco e exigem controles desde as primeiras etapas do projeto.
Isto é, se apenas um desses sistemas for negligenciado, toda a aplicação pode ser comprometida. A inteligência artificial tanto amplia as capacidades de agentes maliciosos quanto viabiliza defesas mais adaptativas e escaláveis ao longo de todo o ciclo de vida das aplicações.
Para os líderes de segurança, essas duas forças não podem mais ser tratadas como domínios independentes, mas essa convergência exige uma abordagem mais sofisticada, tanto para defesa quanto para mitigação de ameaças.
Segundo a Google, a implantação segura de cargas de trabalho de IA e ML é um requisito essencial, principalmente em ambientes corporativos.
Nesse caso, para atender a esse requisito, é necessário adotar uma abordagem de segurança holística. Você deve estar se perguntando “holística em relação ao quê?”, a resposta é: a todos os componentes que participam do ciclo de vida e da execução da solução de IA.
Veja bem, a abordagem holística não existe porque a IA é mais perigosa. Ela existe porque uma aplicação de IA é composta por muito mais elementos.
Leia mais: Como a proteção de aplicações ajuda a evitar ameaças?
O desenvolvimento seguro para aplicações de IA depende de uma estratégia integrada
À medida que aplicações baseadas em IA se tornam mais complexas, também aumenta a necessidade de distribuir a segurança por todo o seu ciclo de vida.
Não existe uma única tecnologia capaz de responder a todos os riscos envolvidos. O que existe é um conjunto de controles que atuam em diferentes momentos da aplicação e se complementam para reduzir sua superfície de exposição.
Nesse casso, é preciso definir um plano de defesa em profundidade e trabalhar com controles integrados que juntos protegem todo o ciclo de vida da aplicação.
- SAST/DAST/SCA/ASPM reduzem a chance de vulnerabilidades chegarem à produção.
- WAF, a segurança de APIs, a mitigação de bots e a proteção contra DDoS reduzem a exposição quando a aplicação já está em operação.
- Gestão de chaves e o Database Firewall protegem os ativos mais sensíveis caso um ataque ultrapasse as camadas anteriores.
- APM e o DEM ajudam a perceber rapidamente comportamentos anormais e impactos para usuários.
- CNAPP/CSPM/CWPP fortalecem a infraestrutura que sustenta a aplicação.
Agora, repare no padrão nesse modelo onde cada camada assume que a anterior pode falhar. Em outras palavras, proteger aplicações de IA não significa concentrar a segurança em um único controle.
Significa distribuir capacidades de proteção ao longo de todo o ciclo de vida da aplicação, para que inovação e segurança evoluam na mesma velocidade.
O que podemos concluir ao longo desse artigo é: nenhuma tecnologia, sozinha, consegue proteger uma aplicação baseada em IA.
Na prática, proteger aplicações de IA não significa escolher a melhor tecnologia, mas definir a estratégia capaz de integrar diferentes capacidades de segurança em torno de um mesmo objetivo: permitir que a inovação avance sem ampliar a exposição ao risco.
É essa visão que orienta a atuação da 3STRUCTURE na construção de estratégias de cibersegurança alinhadas aos desafios de cada organização.
