Check Point Research RELATÓRIO DE SEGURANÇA DE IA 2026
Descubra como a IA está transformando os ciberataques e conheça os principais riscos, tendências e recomendações de segurança para 2026.
Check Point Research
RELATÓRIO DE SEGURANÇA DE IA 2026
RELATÓRIO DE IA DA CHECK POINT • 2ª EDIÇÃO ANUAL
ÍNDICE
01
INTRODUÇÃO
02 CIBERATAQUES COM TECNOLOGIA DE IA
03 ATAQUES CONTRA A IA: A IA COMO SUPERFÍCIE DE ATAQUE
04 IDENTIDADE DIGITAL SOB ATAQUE
05 VAZAMENTO DE DADOS & EXPOSIÇÃO DE IA CORPORATIVA
06 SEGURANÇA PARA IA. SEGURANÇA POR IA. SEGURANÇA COM IA
07 RECOMENDAÇÕES DO CISO PARA 2026
INTRODUÇÃO
INTRODUÇÃO Quando a IA parou de auxiliar e começou a operar Há um ano, descrevemos a IA como um multiplicador de força para invasores cibernéticos: algo que tornava as técnicas existentes mais rápidas, mais baratas e mais acessíveis. Nos últimos doze meses, as evidências que coletamos revelam algo ainda mais significativo.
A IA passou a fazer parte da cadeia de ataque ativa. Documentamos invasões em que a IA executou fluxos de exploração de forma autônoma, gerando milhares de comandos em dezenas de sessões com mínima orientação humana. Analisamos um malware que um único desenvolvedor produziu em menos de uma semana, com um nível de qualidade que nossos pesquisadores inicialmente atribuíram a uma equipe com várias pessoas trabalhando por meses. Observamos grupos criminosos invadirem órgãos governamentais em escala, usando a IA como um operador principal em vez de um assistente em segundo plano. E, na maioria desses casos, o que revelou o papel da IA no ataque foram os próprios erros operacionais do invasor ou o monitoramento do provedor de IA, e não algo que a organização vítima tivesse detectado ou implementado para identificá-la.
Essa mudança é importante porque altera o que os defensores precisam levar em consideração. A barreira de conhecimento técnico que antes separava invasores experientes do restante vem reduzindo-se constantemente, e os artefatos que agora surgem das operações auxiliadas por IA são a evidência mais clara de quão avançado está esse processo.
A outra metade deste relatório analisa o cenário interno. As organizações que adotam a IA estão gerando uma superfície de exposição que a maioria das equipes de segurança ainda está trabalhando para compreender. Os prompts de GenAI de alto risco dobraram no último ano. As organizações médias comuns executam agora dez aplicativos de IA por mês, muitos operando fora de qualquer processo formal de aprovação. Os modelos e a infraestrutura que estão sendo adotados trazem suas próprias superfícies de ataque, e as práticas de segurança em torno deles não acompanharam o ritmo da adoção.
Os quatro capítulos a seguir baseiam-se em incidentes, telemetria e estudos de caso originais da Check Point Research dos últimos doze meses. O que você lerá é um registro do que já aconteceu, preparando o cenário para o que se espera que venha a seguir.
Lotem Finkelstein Vice-presidente da Check Point Research
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
04 RELATÓRIO DE SEGURANÇA DE IA 2026
CIBERATAQUES COM TECNOLOGIA DE IA
CIBERATAQUES COM TECNOLOGIA DE IA Nos últimos doze meses, relatórios públicos e incidentes reais mostram que a IA desempenha um papel em quase todos os estágios de uma cadeia de ciberataque: engenharia social, desenvolvimento de malware, suporte a invasão em tempo real, criação de ferramentas de ataque e pesquisa de vulnerabilidade. As técnicas de ataque em si são, em sua maioria, familiares. O que mudou é que a IA agora faz em minutos o que costumava levar horas ou dias para um invasor experiente, e a uma fração do custo e da especialização exigidos anteriormente.
A análise da Anthropic sobre uso indevido sustenta esse padrão: os invasores estão usando menos a IA para acesso inicial e mais para realizar o próprio trabalho depois de já terem invadido, aumentando a atividade pós-comprometimento. Os invasores que representam o maior risco não são os que têm as ferramentas mais sofisticadas; são os que descobriram como orquestrar a IA para encadear várias camadas sem precisar intervir diretamente.
Para alcançar qualquer um desses objetivos, os atacantes precisam primeiro obter capacidade de IA utilizável e remover seus controles de segurança.
Como os invasores acessam capacidades de IA Os atacantes obtêm capacidades de IA através de três rotas, e todas as três amadureceram ao longo do ano, embora não igualmente:
Abusar de modelos comerciais, acessados legitimamente ou por meio de credenciais roubadas, continua sendo a rota mais comum na prática.
A implantação de modelos de código aberto auto-hospedados evita a moderação e o registro do provedor, mas permanece mais no papel do que na prática.
A compra de acesso a serviços maliciosos criados para esse fim atingiu o seu pico e depois diminuiu à medida que o submundo se tornou cético quanto à sua qualidade.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
06
https://www.anthropic.com/news/AI-enabled-cyber-threats-mitre-attack
Abuso de modelos comerciais A rota mais simples também é a mais popular: usar uma ferramenta cotidiana como o ChatGPT, Gemini ou Claude e contornar suas regras de segurança. Os atacantes dividem uma solicitação maliciosa em etapas menores e aparentemente inofensivas, primeiro pedindo que a IA explique uma técnica em termos gerais e, em seguida, solicitando o código real, gravitando em direção à ferramenta convencional que tiver as regras de segurança mais fracas. Muito do que sabemos vem das próprias empresas de IA: o Threat Intelligence Group do Google documentou o uso abusivo do Gemini por parte de atores estatais e criminosos para conduzir reconhecimento, desenvolvimento de iscas e criação de ferramentas, assim como a Anthropic e a OpenAI relataram abuso semelhante de suas próprias IAs.
O acesso também pode ser simplesmente roubado. Credenciais de acesso a ferramentas de IA tornaram-se alvos explícitos de roubo, frequentemente extraídas em massa de arquivos de configuração .env de desenvolvedores expostos acidentalmente na web. Uma campanha, chamada Bissa Scanner, roubou logins de ferramentas de IA da Anthropic, OpenAI, Google e de vários outros provedores em mais de 30 mil desses arquivos expostos, fazendo das contas de IA o tipo mais comum de credencial roubada. O mesmo grupo também usou a própria IA para auxiliar na execução da operação (veja “A IA como um operador de ataque em tempo real”). Os logins roubados alimentam um mercado de revenda conhecido como “LLMjacking”, no qual criminosos compram acesso à conta de IA de terceiros, tanto para economizar dinheiro quanto para atribuir a atividade ao titular legítimo da conta, e não a eles mesmos.
Modelos de código aberto auto-hospedados A segunda rota é auto-hospedar modelos de IA de código aberto disponíveis gratuitamente (Qwen, Kimi e outros) e executá-los na própria infraestrutura do atacante, em vez de rotear as solicitações por meio de um provedor comercial. Isso evita quaisquer verificações de segurança, banimentos de conta ou registros de atividades que a empresa de IA poderia aplicar. A discussão sobre essa abordagem tem crescido constantemente em fóruns criminosos.
Na prática, a realidade não correspondeu à discussão. Os atacantes que a experimentaram relatam que esses modelos de execução própria apresentam um desempenho inferior, cometem mais erros e necessitam de hardware caro e de ajuste fino para atingir um padrão utilizável. Como resultado, a maioria dos operadores retornou às ferramentas comerciais convencionais, mais capazes e acessíveis, independentemente dos riscos associados ao seu uso.
A ascensão e queda de serviços maliciosos do “DarkGPT” A terceira rota é comprar acesso a uma ferramenta de IA criada especificamente para o crime, sem quaisquer restrições, como o WormGPT ou suas inúmeras imitações. Esse mercado cresceu e depois caiu ao longo do último ano: relatos de usuários do submundo do crime cibernético constataram que essas ferramentas “dark LLM”, destinadas exclusivamente a criminosos, são tecnicamente fracas e usadas principalmente por criminosos com pouca habilidade, em vez de operadores sérios. A reputação atingiu o fundo do poço quando o próprio WormGPT foi violado, expondo informações de pagamento de mais de 19 mil de seus próprios clientes pagantes. Novas versões baratas continuam surgindo, como o DIG AI hospedado na Tor, mas a maior parte da atividade séria voltou a se concentrar nas duas primeiras rotas.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
07
https://cloud.google.com/blog/topics/threat-intelligence/adversarial-misuse-generative-ai https://www.anthropic.com/news/detecting-countering-misuse-aug-2025 https://cdn.openai.com/threat-intelligence-reports/5f73af09-a3a3-4a55-992e-069237681620/disrupting-malicious-uses-of-ai-june-2025.pdf https://thedfirreport.com/2026/04/22/bissa-scanner-exposed-ai-assisted-mass-exploitation-and-credential-harvesting/ https://socradar.io/blog/wormgpt-the-blueprint-for-malicious-ai/ https://socradar.io/blog/wormgpt-the-blueprint-for-malicious-ai/
Estudo de caso: “The Gentlemen” – um grupo, toda a questão de acesso
O The Gentlemen é uma operação de ransomware-as-a-service com fins lucrativos com mais de 330 vítimas publicadas até maio de 2026. A análise da Check Point Research sobre as comunicações do grupo demonstra, nas próprias palavras do grupo, como os invasores abordam a IA:
Qual ferramenta de IA usar: eles preferem ferramentas comerciais chinesas menos restritivas (DeepSeek, Kimi, Emi, Qwen). Um membro recomendou uma configuração rodando o “Qwen 3.5 com todas as barreiras removidas… Zero recusas. Absolutamente nenhuma restrição.” A questão principal não era se deveriam usar uma ferramenta comercial ou local, mas simplesmente qual ferramenta comercial tinha os mecanismos de segurança mais fracos.
A auto-hospedagem de sua própria IA permaneceu teórica: O grupo discutiu a execução de um modelo local nos dados roubados, mas admitiu que não sabia como fazê-lo.
A IA cria ferramentas, mas a habilidade a orienta: o administrador do grupo criou sua ferramenta de gerenciamento “Glocker” para a operação deles em três dias com a ajuda da IA, ao mesmo tempo em que alertava os demais membros: “ainda é preciso entender o que se está fazendo.”
O que torna este caso útil é exatamente o quão comum ele é: um grupo criminoso comum, de nível médio, usando as mesmas ferramentas de IA convencionais que qualquer pessoa pode acessar, obtendo resultados reais apesar de não ter nenhuma alternativa local disponível.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
08
https://research.checkpoint.com/2026/thus-spoke-the-gentlemen/
Jailbreaking: de um prompt inteligente a um bypass que nunca expira
Independentemente da rota que forneça o modelo, suas regras de segurança ainda precisam ser removidas antes que ele faça o que um invasor deseja, um processo conhecido como jailbreak. A abordagem clássica é um prompt formulado de maneira inteligente que engana a IA, fazendo-a ignorar suas próprias regras. Uma técnica popular, apelidada de “Echo Chamber”, funciona direcionando o modelo para uma saída proibida por meio de uma série de perguntas pequenas e aparentemente inofensivas, em vez de solicitá-la diretamente, e é eficaz em mais de 90% das vezes contra várias ferramentas líderes de IA. No entanto, esses jailbreaks de prompt único estão se tornando cada vez mais frágeis: as empresas de IA continuam corrigindo-os e banindo contas abusivas quase imediatamente.
A mudança maior e mais duradoura é estrutural: os invasores não se preocupam mais com prompts inteligentes. Agentes de codificação de IA, como Claude Code e Cursor, leem automaticamente certos arquivos, como o CLAUDE.md, no início de cada sessão e tratam o que está escrito neles como instruções autoritativas, carregando-as automaticamente no início de cada sessão sem qualquer verificação. Isso significa que um invasor pode inserir um jailbreak em um desses arquivos uma única vez, e cada sessão futura desse agente de IA herda o bypass automaticamente, sem a necessidade de um novo prompt. No caso do governo do México, a violação descrita mais adiante neste capítulo, o invasor fez exatamente isso: colou instruções de hacking no CLAUDE.md uma vez, e todas as sessões subsequentes seguiram esse comportamento malicioso sem um novo jailbreak. Isso agora é vendido como kits prontos de jailbreak para CLAUDE. md em fóruns criminosos.
IA no desenvolvimento de malware
O papel da IA no desenvolvimento de malware passou de experimental para operacional. Existem duas maneiras distintas de utilizá-la. No primeiro e muito mais comum padrão, a IA cria o malware durante o desenvolvimento, escrevendo e refinando o código, mas o programa final não contém IA e se comporta como qualquer outro malware durante a execução, portanto, o envolvimento da IA é invisível após o fato. No segundo e mais raro padrão, o malware comunica-se com um modelo de IA enquanto está em execução na máquina da vítima, utilizando-o para gerar novos comandos ou reescrever seu próprio código em tempo real.
O malware criado por IA amadureceu rapidamente. No final de 2024, a Check Point Research descobriu que um grupo de ransomware-as-a-service chamado FunkSec provavelmente usou IA para ajudar a criar sua ferramenta de criptografia, permitindo que um desenvolvedor relativamente inexperiente produzisse um trabalho acima do seu nível de habilidade. Em meados de 2025, a OpenAI removeu o “ScopeCreep”, um agente de língua russa que usou o ChatGPT para escrever e depurar repetidamente um malware para Windows. No início de 2026, o malware criado por IA amadureceu significativamente: o exemplo mais claro é o VoidLink, uma estrutura de ataque de nível profissional criada por um único desenvolvedor usando um ambiente de desenvolvimento de IA comercial. Esse padrão agora aparece tanto entre grupos criminosos quanto entre agentes de Estados-nações.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
09
https://neuraltrust.ai/blog/echo-chamber-context-poisoning-jailbreak https://gambit.security/blog-posts/a-single-operator-two-ai-platforms-nine-government-agencies-the-full-technical-report https://research.checkpoint.com/2025/funksec-alleged-top-ransomware-group-powered-by-ai/ https://cdn.openai.com/threat-intelligence-reports/5f73af09-a3a3-4a55-992e-069237681620/disrupting-malicious-uses-of-ai-june-2025.pdf https://research.checkpoint.com/2026/voidlink-early-ai-generated-malware-framework/
88 mil linhas de malware funcional
de comando e controle, criadas
por um único desenvolvedor em menos de uma semana.
Estes são apenas alguns exemplos entre muitos. O grupo vinculado ao Paquistão, Transparent Tribe (APT36), produziu em massa malwares descartáveis em uma “linha de montagem” de IA visando sistemas do governo indiano. Um grupo vinculado à Rússia, rastreado como GREYVIBE, criou um malware personalizado com o ChatGPT e o Gemini para operações contra a Ucrânia, e a Check Point Research documentou o grupo “KONNI” da Coreia do Norte, usando IA para gerar um backdoor PowerShell para Windows.
O padrão mais raro e avançado, o de malwares que chamam um LLM enquanto estão em execução ativa no computador da vítima, agora também já foi visto em ambiente real. O primeiro exemplo conhecido, relatado em meados de 2025, foi o malware LAMEHUG, com vínculos russos, relatado em julho de 2025 pelo CERT-UA da Ucrânia. O LAMEHUG consultou o modelo de IA “Qwen” por meio da API do Hugging Face para gerar seu código sob demanda. O PromptLock, conhecido como o primeiro “ransomware com tecnologia de IA”, funcionou da mesma maneira, embora ambos permaneçam mais como uma prova de conceito do que algo usado em larga escala.
A IA também cria ferramentas de ataque que não são malware em si, trazendo recursos como scripts e utilitários que dão suporte a um ataque. Esse envolvimento geralmente é invisível no produto final, portanto, os analistas devem agora presumir, por padrão, que a IA esteve envolvida em algum lugar, em vez de esperar para encontrar provas disso. A IA torna um invasor qualificado mais rápido, mas não substitui o julgamento que um humano ainda precisa ter para usar a ferramenta de forma eficaz.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
10
https://businessinsights.bitdefender.com/apt36-nightmare-vibeware https://www.withsecure.com/en/resources-hub/w-labs/greyvibe/ https://research.checkpoint.com/2026/konni-targets-developers-with-ai-malware/ https://cert.gov.ua/article/6284730
Estudo de caso: VoidLink - malware criado por IA cruza o limite
Em janeiro de 2026, a Check Point Research divulgou o VoidLink, um sofisticado framework modular de comando e controle (C2) para Linux, com alta capacidade de ocultação e persistência, além de mais de 30 plugins de pós-exploração para uso após a invasão. Inicialmente, sua qualidade sugeria que ele havia sido desenvolvido ao longo de vários meses por uma equipe de múltiplos integrantes. Porém, um erro do desenvolvedor, que acabou expondo seu próprio processo de trabalho, revelou uma história diferente: o código foi escrito por uma única pessoa usando o TRAE SOLO, uma ferramenta comercial de codificação baseada em IA, seguindo um processo disciplinado de elaboração de especificações detalhadas e deixando a IA implementar, testar e refinar o código. O resultado foram cerca de 88 mil linhas de código funcional em menos de uma semana.
O VoidLink deixa dois aspectos claros. Primeiro, o desenvolvimento auxiliado por IA agora pode produzir malwares prontos para o uso no mundo real, não apenas uma mera prova de conceito rudimentar. Em segundo lugar, e mais importante, não havia nada no código finalizado que indicasse o envolvimento da IA; isso só veio à tona por causa de um erro não relacionado de segurança operacional cometido pelo desenvolvedor.
A IA como operadora de ataques em tempo real
A IA passou da preparação de ataques para a execução deles. Em novembro de 2025, a Anthropic divulgou a GTG-1002, uma campanha de espionagem ligada à China na qual seu próprio Claude Code teria realizado 80–90% do trabalho tático (reconhecimento, exploração, coleta de credenciais, movimentação lateral e triagem de dados) em cerca de 30 organizações-alvo. A divulgação não incluiu indicadores de comprometimento, o que limitou a verificação independente.
Na invasão ao governo mexicano relatada em abril de 2026, um operador motivado financeiramente executou a mesma arquitetura em larga escala (veja os detalhes abaixo). Na operação Bissa Scanner, a IA permaneceu a um passo atrás da exploração: o Claude Code e o assistente de código aberto OpenClaw serviram como o ambiente de trabalho do operador para ler a base de código do scanner, refinar o pipeline de coleta e priorizar o acesso de alto valor em uma campanha de exploração em massa (para o lado da coleta de credenciais, veja “Como os invasores acessam capacidades de IA”).
Outra indicação de que a IA agora toma decisões operacionais em tempo real vem de um incidente documentado no qual um agente autônomo realizou atividades de pós-exploração e exfiltrou um banco de dados em menos de uma hora. Além disso, a IA tem sido usada em várias etapas de invasões em larga escala, com invasores usando DeepSeek e Claude juntos para comprometer dispositivos FortiGate em todo o mundo.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
11
https://research.checkpoint.com/2026/voidlink-early-ai-generated-malware-framework/ https://www.anthropic.com/news/disrupting-AI-espionage https://thedfirreport.com/2026/04/22/bissa-scanner-exposed-ai-assisted-mass-exploitation-and-credential-harvesting/ https://www.google.com/search?q=https://www.sysdig.com/blog/ai-agent-at-the-wheel-how-an-attacker-used-llms-to-move-from-a-cve-to-an-internal-database-in-4-pivots%23timeline https://cyberandramen.net/2026/02/21/llms-in-the-kill-chain-inside-a-custom-mcp-targeting-fortigate-devices-across-continents/
Esse padrão de agente de IA como operador também está sendo incorporado em estruturas de código aberto que qualquer pessoa pode baixar e reutilizar. Uma dessas ferramentas, o RAPTOR, lançado no final de 2025 por uma equipe de pesquisadores de segurança renomados, transforma o Claude Code em um agente autônomo ofensivo e defensivo. O RAPTOR é uma ferramenta de pesquisa legítima e gera patches com a mesma facilidade que
Estudo de caso: A violação de dados do governo mexicano
Entre o fim de dezembro de 2025 e meados de fevereiro de 2026, um único operador comprometeu nove agências do governo mexicano, expondo aproximadamente 400 milhões de registros que abrangem dados fiscais, de registro civil, de veículos, de pacientes e eleitorais. Os pesquisadores conseguiram reconstruir exatamente como isso aconteceu a partir dos próprios servidores do invasor: 1.088 instruções digitadas produziram 5.317 comandos executados por IA em 34 sessões separadas.
O invasor usou duas ferramentas de IA em conjunto: Claude Code para invadir ativamente e explorar as redes, e GPT-4.1 para analisar automaticamente os dados roubados, que então alimentaram instruções de volta em mais sessões do Claude. Quando o Claude inicialmente se recusou a ajudar com o ataque, o invasor colou um guia de consulta rápida de teste de penetração no CLAUDE.md, de modo que cada sessão posterior herdou o bypass sem um jailbreak repetido. Assim como nos outros casos deste capítulo, esse envolvimento da IA só veio à tona por causa de um erro do próprio invasor, e não porque alguma vítima o detectou.
exploits, mas empacota o mesmo fluxo de trabalho de agente como operador em código público com licença permissiva, o que já chamou a atenção de comunidades cibercriminosas. Do lado do defensor, ele mostra o mesmo padrão de configuração como controle visto no jailbreaking. O comportamento do agente é definido quase inteiramente por configuração em markdown, não por código compilado.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
12
https://research.checkpoint.com/2026/ai-threat-landscape-digest-january-february-2026/ https://gambit.security/blog-posts/a-single-operator-two-ai-platforms-nine-government-agencies-the-full-technical-report
O mercado de ferramentas criminosas habilitadas por IA
As capacidades descritas acima são cada vez mais empacotadas e vendidas como um produto pronto, de modo que um comprador não precisa mais de qualquer habilidade em IA. O exemplo mais claro é o EvilTokens, uma plataforma comercial de Phishing-as-a-Service que integra um pipeline de LLM diretamente no fluxo de trabalho do ataque. Páginas de phishing de login falsas roubam as credenciais de acesso da vítima, então modelos Llama hospedados no Groq escaneiam automaticamente a conta de e-mail roubada em busca de detalhes financeiros e escrevem um e-mail de scam convincente imitando o estilo de escrita da própria vítima, enquanto o GPT-4o- mini cuida da tradução. O jailbreak é integrado à plataforma: é escrito uma vez por quem a opera, e cada cliente pagante o herda automaticamente. Um módulo complementar insere convites de calendário falsos para fazer com que uma solicitação fraudulenta pareça ter sido esperada com antecedência.
Essa já é uma categoria inteira de produtos criminosos, e não apenas uma ferramenta isolada. O Bluekit é outro kit de phishing com um assistente de IA integrado que cria automaticamente páginas de login falsas para mais de 40 plataformas com suporte a bypass de MFA. No segmento de chamadas telefônicas, uma plataforma chamada ATHR vende agentes de voz de IA totalmente automatizados para roubo de credenciais e senhas de uso único em larga escala, sem a necessidade de um operador humano. O padrão comum é o “jailbreak-as-a-product”: a ferramenta de IA, o bypass de segurança e o método de entrega são todos empacotados e vendidos como um único produto, permitindo que alguém com pouca habilidade execute um golpe sofisticado e em múltiplas etapas.
A IA na pesquisa de vulnerabilidade e a janela de correção comprimida
A IA agora é capaz de raciocinar sobre código de forma tão eficaz que acelera ambos os lados da corrida: encontrar falhas de segurança antes que sejam exploradas e encontrar maneiras de explorá-las antes que sejam corrigidas. A janela entre a descoberta de uma falha e a implementação de uma correção está diminuindo de ambas as direções simultaneamente.
No lado defensivo, os ganhos são reais. Como parte de um esforço de pesquisa interna, o Projeto Glasswing, o modelo Claude Mythos não lançado da Anthropic encontrou autonomamente mais de 10 mil vulnerabilidades de dia zero de gravidade alta e crítica em grandes sistemas operacionais e navegadores em seu primeiro mês de operação. No entanto, a mesma capacidade também está disponível para invasores: o Threat Intelligence Group do Google relatou o primeiro exploit de dia zero auxiliado por IA criado para exploração em massa. Outras pesquisas mostraram modelos de fronteira atuais produzindo exploits de dia zero funcionais em larga escala.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
13
https://www.google.com/search?q=https://blog.sekoia.io/new-widespread-eviltokens-kit-device-code-phishing-as-a-service-part-1/ https://hackread.com/calphishing-eviltokens-kit-outlook-invites-m365/ https://hackread.com/bluekit-phishing-kit-targets-platforms-mfa-bypass-attack/ https://hackread.com/calphishing-eviltokens-kit-outlook-invites-m365/ https://www.anthropic.com/glasswing https://www.google.com/search?q=https://cloud.google.com/blog/topics/threat-intelligence/ai-vulnerability-exploitation-in-initial-access https://cybersecuritynews.com/new-study-shows-gpt-5-2-can-reliably/
O efeito prático é a velocidade. Como os invasores agora conseguem transformar a divulgação de uma nova vulnerabilidade em um exploit funcional em poucas horas após ela se tornar pública, o intervalo entre a divulgação e a exploração está diminuindo rapidamente. Em resposta, a CISA, do governo dos EUA, emitiu uma diretriz vinculante exigindo que as agências civis federais remedeiem certas vulnerabilidades de maior risco em até três dias após a divulgação. A autoridade de cibersegurança da Índia, a CERT-In, foi além, recomendando que as organizações contenham e apliquem patches em seus sistemas mais críticos e expostos à internet imediatamente, em até 12 horas após a descoberta. Um prazo que pareceria inviável há um ano.
A descoberta de vulnerabilidades está se tornando barata e quase automática. O verdadeiro gargalo agora é a rapidez com que os humanos conseguem revisar e implementar correções. A qualidade do código agrava o problema: uma parcela substancial do código gerado por IA é entregue com falhas de segurança (veja o Capítulo 5).
Estudo de caso: Claude Mythos / Project Glasswing (A IA versus a janela de aplicação de patches)
O projeto Glasswing da Anthropic utiliza um modelo de fronteira não lançado, Claude Mythos Preview, para encontrar e corrigir vulnerabilidades em softwares críticos. Em seu primeiro mês, identificou autonomamente mais de 10 mil vulnerabilidades de dia zero de gravidade elevada e crítica em todos os principais sistemas operacionais e navegadores, e produziu com sucesso um exploit funcional na primeira tentativa em aproximadamente 83% dos casos.
A Anthropic manteve deliberadamente este modelo fora do lançamento público, preocupada com a possibilidade de uso indevido, mas concedeu acesso a um pequeno número de organizações confiáveis e comprometeu US$ 100 milhões em créditos de uso. Quando encontrar essas falhas se torna tão barato e tão rápido, quem agir mais depressa vence: defensores que conseguem aplicar patches na velocidade da máquina, ou atacantes que obtêm acesso a uma IA igualmente capaz.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
14
https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk https://cybersecuritynews.com/cert-in-asks-patch-vulnerabilities-12-hours/ https://cybersecuritynews.com/cert-in-asks-patch-vulnerabilities-12-hours/
ATAQUES CONTRA A IA: IA COMO SUPERFÍCIE DE ATAQUE
ATAQUES CONTRA A IA: IA COMO SUPERFÍCIE DE ATAQUE O capítulo anterior examinou a IA nas mãos dos invasores. Este capítulo volta-se para os sistemas de IA como alvo. No último ano, as organizações incorporaram a IA em e-mails, documentos, código, navegadores e fluxos de trabalho corporativos essenciais, dando-lhe acesso a dados confidenciais e a capacidade de agir em seu nome. À medida que essa presença cresceu, o próprio software de IA tornou-se uma superfície de ataque, que se expande mais rapidamente do que é protegida. Existem duas causas básicas para ataques à pilha de IA.
01 Exclusivo da IA Um modelo de linguagem lê tanto suas instruções quanto os dados com os quais está trabalhando como um bloco contínuo de texto, sem uma linha divisória clara entre os dois. Isso significa que o conteúdo que deveria ser apenas dados, como o texto de um documento ou de uma página da web, pode acabar sendo lido e obedecido como se fosse um comando. Essa única vulnerabilidade está por trás da maioria dos ataques neste capítulo: enganar uma IA com instruções ocultas (injeção de prompt), abusar de arquivos de configuração confiáveis (abuso de configuração) e corromper lentamente o que uma IA memoriza (envenenamento em tempo de execução).
02 Risco de software comum As ferramentas de IA ainda são apenas softwares e herdam todas as vulnerabilidades usuais que qualquer software possui. Essas velhas vulnerabilidades estão surgindo agora mais rápido do que nunca devido à rápida adoção da IA, e são agravadas por agentes de IA que agem de forma autônoma, possuem mais permissões do que o necessário e instalam e confiam em novos componentes com quase nenhuma verificação humana prévia. Este segundo motivo é o que está por trás dos ataques à infraestrutura de IA e à cadeia de suprimentos de softwares descritos posteriormente neste capítulo.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
16
Injeção de prompt: manipulação do comportamento do modelo
Existem duas variações disso. Na injeção direta, o invasor simplesmente digita instruções projetadas para substituir as próprias regras do modelo; é assim que a maioria dos jailbreaks funciona. Na injeção indireta de prompt, a instrução maliciosa fica oculta em conteúdo externo que a IA lê: um e-mail, uma página da web, um convite de calendário ou um documento. A injeção indireta é geralmente vista como mais perigosa porque tem como alvo agentes que operam com conteúdo externo não confiável e pode exigir menos interações diretas para ter êxito. A quantidade de danos que ela pode causar depende inteiramente de quanto acesso e permissões foram concedidos a esses agentes de IA. A Check Point AI Security caracteriza isso como um problema na forma como os sistemas são configurados, e não como uma falha de um modelo de IA específico.
A Check Point AI Security Research catalogou as técnicas recorrentes:
Atuação de papéis: Fazer com que a IA adote um personagem fictício sem restrições, utilizando interpretação de papéis para contornar totalmente suas regras de segurança
Ofuscação e contrabando de token: Disfarçar instruções maliciosas de maneiras que os filtros de segurança automatizados não reconheçam ou detectem
Manipulação de múltiplos turnos: Construção gradual do ataque por meio de várias mensagens, em vez de realizar a solicitação diretamente, para que nenhum prompt único acione uma recusa
Sequestro de contexto: Reescrever o que a IA se lembra sobre a conversa para gradualmente direcionar seu comportamento em uma direção diferente
Ataques multilíngues: Alternar para idiomas onde o treinamento de segurança da IA é menos abrangente, explorando a cobertura desigual entre diferentes idiomas
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
17
https://www.lakera.ai/blog/the-year-of-the-agent-what-recent-attacks-revealed-in-q4-2025-and-what-it-means-for-2026 https://www.lakera.ai/blog/indirect-prompt-injection https://www.lakera.ai/blog/guide-to-prompt-injection
A Check Point AI Security Research também constatou que, entre os ataques analisados no final de 2025, o objetivo mais comum dos atacantes era extrair o prompt do sistema para revelar as definições de função da IA, as descrições das ferramentas e os limites da política.
Esses ataques passaram de prova de conceito para uso rotineiro ao longo do último ano. Um estudo varreu 1,2 bilhão de URLs e encontrou cerca de 15.300 cargas maliciosas de injeção indireta em páginas web públicas, com cerca de 70% delas embutidas em HTML não renderizado, partes da página que um visitante humano nunca vê de fato, como cabeçalhos, comentários e metadados. Os motivos variam. Alguns são simples sabotagem, fazendo a IA falhar ou gerar conteúdo sem sentido. Outros visam à reputação, direcionando a ferramenta a descrever um produto ou empresa de forma mais favorável.
E nem sempre são hackers por trás disso: profissionais de marketing, editores e proprietários de sites comuns estão deixando instruções discretamente para as ferramentas de IA que agora navegam na web em nome das pessoas. Outras pesquisas confirmaram dez casos verificados em ambiente real voltados para fraude, destruição de dados e roubo de chaves de API. A telemetria da Check Point AI Security conta a mesma história: embora as taxas de detecção de cargas maliciosas curtas tenham permanecido estáveis em linhas gerais, as detecções de cargas maiores aumentaram drasticamente, crescendo cerca de cinco vezes entre março e maio e aproximando-se de 1% de tudo o que foi observado em maio. Como cargas maliciosas grandes são mais típicas de caminhos de ataque baseados em conteúdo e em agentes, esse padrão confirma que a injeção indireta de prompt está se tornando uma ameaça operacional, e não apenas teórica.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
18
https://www.lakera.ai/blog/the-year-of-the-agent-what-recent-attacks-revealed-in-q4-2025-and-what-it-means-for-2026 https://arxiv.org/abs/2604.27202 https://www.forcepoint.com/blog/x-labs/indirect-prompt-injection-payloads
Figura 2.1 — Taxa de detecção de prompts maliciosos por tamanho de carga maliciosa.
TAXA MEDIANA DE DETECÇÃO DE PROMPTS POR MÊS Cargas maliciosas curtas vs. longas
1,0%
0,8%
0,6%
0,4%
0,2%
0%
JAN FEV MAR ABR MAIO
Ta xa
d e
de te
cç ão
m ed
ia na
(% )
Carga maliciosa curta
Carga maliciosa longa
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
19
À medida que os fluxos de trabalho agentivos se tornaram mais comuns, os prompts que eles processam passaram a incluir grandes blocos de conteúdo externo: páginas da web, documentos e saídas de outras ferramentas. A injeção indireta se oculta exatamente nesse tipo de conteúdo, portanto, à medida que mais organizações adotaram esses agentes de IA, elas expandiram diretamente a superfície de ataque.
Navegadores web com IA, uma nova categoria de produtos que atua dentro das sessões já autenticadas do usuário, correm o maior risco. Uma página web ou convite envenenado pode ser acionado utilizando as próprias credenciais de login da pessoa. Em um teste controlado, pesquisadores usaram um único convite de calendário malicioso para enganar o navegador Comet da Perplexity, fazendo com que ele entregasse as senhas salvas de um usuário. Em outro teste, o mesmo tipo de navegador foi induzido a concluir um fluxo completo de phishing em menos de quatro minutos, sem qualquer intervenção humana. Ambos foram testes controlados, mas essa capacidade tecnológica subjacente já está nas mãos dos consumidores.
As detecções de cargas longas
e maliciosas de injeção de prompt
aumentaram cerca de cinco
vezes entre março e maio de 2026.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
20
https://hackread.com/pleasefix-flaw-hackers-1password-vault-comet-ai-browser/
A cadeia de suprimentos agentiva: MCP e abuso de configuração
Os agentes de IA ampliam seu alcance por meio de duas coisas nas quais são projetados para confiar automaticamente: servidores Model Context Protocol (MCP), que conectam um agente a ferramentas e serviços externos, e arquivos de configuração de
Estudo de caso: Arquivos de projeto do Claude Code como uma camada de execução (Check Point Research)
A Check Point Research descobriu que arquivos de configuração nos quais um agente de codificação confia podem ser transformados em uma forma de distribuir malware. Em uma vulnerabilidade (CVE-2025-59536), uma configuração oculta embutida nos arquivos de um projeto (.claude/settings.json) executaria o comando de um atacante no instante em que a IA abrisse o projeto, antes mesmo de o desenvolvedor ver o arquivo, e um caminho relacionado (.mcp.json) poderia iniciar silenciosamente um servidor MCP malicioso sem que nenhum aviso fosse exibido ao usuário. Em uma segunda vulnerabilidade (CVE-2026-21852), os atacantes poderiam redirecionar silenciosamente a sessão de um desenvolvedor através de um servidor controlado por eles, capturando tokens de login e chaves de acesso e comprometendo todo o espaço de trabalho compartilhado de uma equipe antes que alguém visse um único aviso de segurança.
Em ambos os casos, a porta de entrada foi a cadeia de suprimentos de software: um arquivo de configuração envenenado embutido em um pull request, um repositório honeypot preparado como armadilha ou uma base de código comprometida. Ambas as falhas foram corrigidas, mas o padrão de arquitetura subjacente que elas exploraram (um agente que confia e carrega automaticamente arquivos de projeto na máquina de um desenvolvedor) é compartilhado por várias outras IAs de programação populares, como Cursor, Windsurf e GitHub Copilot, gerando um problema mais amplo que persiste além de uma correção isolada. Meses depois, um malware do tipo worm autorreplicável em ambiente real confirmou que o risco não era apenas teórico, alojando-se permanentemente no Claude Code e em outras ferramentas de IA para código à medida que se espalhava entre máquinas (ver “Cadeia de suprimentos de software de IA”).
projeto que o agente lê no momento em que abre um projeto. Anteriormente, mostramos como os invasores usam arquivos confiáveis para remover seu próprio agente das restrições de segurança da IA. Essa mesma confiança automática pode ser transformada em uma arma contra outra pessoa: um arquivo de configuração adulterado inserido em um projeto que a vítima abre pode comprometer o próprio agente de IA da vítima sem que ela perceba.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
21
https://blog.checkpoint.com/research/check-point-researchers-expose-critical-claude-code-flaws/
Este não é um problema limitado a um único fornecedor: o Google corrigiu uma falha de execução remota de código de severidade máxima no Gemini CLI na mesma época, e problemas semelhantes surgiram no Cursor.
O ecossistema MCP agora está atraindo a atenção de agentes de ameaças. Um malware autorreplicável, o GlassWorm, oculta-se em extensões para desenvolvedores usando caracteres Unicode invisíveis que passam facilmente despercebidos em uma revisão, e espalhou-se ao copiar a si mesmo para pacotes MCP em mais de 150 repositórios, chegando a usar uma ferramenta de IA para redigir suas mensagens de commit para se camuflar. Esses worms têm como alvo, cada vez mais, a própria cadeia de ferramentas de IA, injetando servidores MCP e roubando chaves de API à medida que se espalham. Veja o exemplo mais significativo na seção “Cadeia de suprimentos” a seguir.
Os mesmos arquivos confiáveis também podem vazar segredos acidentalmente. A Check Point AI Security Research descobriu que o Claude Code salva os comandos aprovados pelos desenvolvedores em um arquivo de configurações local (.claude/settings.local.json) que o Node Package Manager (NPM) não exclui da publicação por padrão quando um desenvolvedor compartilha seu código publicamente. Às vezes, esses comandos salvos incluem as próprias credenciais de login do desenvolvedor. Analisando aproximadamente 46.500 pacotes de código publicados, eles descobriram que o arquivo de configurações local havia sido publicado acidentalmente em 428 deles, e credenciais ativas
428 / 46.500 Pacotes publicados que vazaram acidentalmente um arquivo de configurações local do Claude Code — cerca de 1 em cada 13 deles continha credenciais ativas.
40% Dos 10 mil servidores MCP analisados pela Check Point AI Security Research apresentavam vulnerabilidades de segurança.
(tokens NPM, chaves do GitHub e Hugging Face) foram incluídas em cerca de uma a cada 13 dessas ocorrências. Além disso, a Check Point AI Security Research identificou vulnerabilidades de segurança em 40% dos 10 mil servidores MCP analisados, destacando o quão exposta essa área ainda está.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
22
https://thehackernews.com/2026/04/google-fixes-cvss-10-gemini-cli-ci-rce.html https://www.koi.ai/blog/glassworm-hits-mcp-5th-wave-with-new-delivery-techniques https://www.lakera.ai/blog/your-ai-coding-assistant-just-shipped-your-api-keys https://www.checkpoint.com/press-releases/check-point-softwares-2026-cyber-security-report-shows-global-attacks-reach-record-levels-as-ai-accelerates-the-threat-landscape/
Ataques à infraestrutura de IA
Esta seção aborda técnicas de ataque comuns e familiares direcionadas especificamente a sistemas de IA, como deixar um serviço exposto à internet, autenticação fraca e software vulnerável com bugs conhecidos. Nenhuma dessas técnicas é nova, mas seu impacto aqui é específico da IA, porque o que elas expõem são os prompts, credenciais, modelos de IA e fluxos de trabalho internos de uma organização.
Grande parte da pilha de IA é infraestrutura comum: servidores de modelo, frameworks de inferência, clusters de orquestração e painéis de controle de agentes. A corrida para modelos auto- hospedados, que descrevemos anteriormente, fez com que partes importantes dessa infraestrutura fossem montadas rapidamente e com segurança relativamente fraca. Como resultado, esses ataques convencionais estão entre os mais ativamente explorados.
Servidores de modelo expostos são o caso mais claro. Uma falha crítica no Ollama, apelidada de “Bleeding Llama”, deixou cerca de 300 mil servidores expostos à internet vazando prompts, chaves e variáveis de ambiente com apenas algumas chamadas de API. A GreyNoise registrou cerca de 91 mil sessões de ataque sondando implantações de LLM em um único trimestre.
A infraestrutura exposta também está sendo reaproveitada como infraestrutura de ataque: a campanha ShadowRay 2.0 sequestrou clusters Ray desprotegidos para minerar criptomoedas. Mais abaixo na pilha, a desserialização insegura continua sendo um problema generalizado, com pesquisadores identificando vulnerabilidades de execução remota de código em frameworks de inferência da Meta, Nvidia e Microsoft. A camada de agentes agora expõe seus próprios
painéis de controle, com milhares de painéis do OpenClaw e do Moltbot acessíveis na internet pública e vulneráveis à tomada de controle. Todos esses ataques exploram a infraestrutura comum no entorno da IA; eles não precisam que o modelo apresente um comportamento anômalo.
Envenenamento da camada de conhecimento
O envenenamento corrompe o que um modelo sabe ou recupera, e não a forma como ele é instruído. Ao contrário da injeção de prompt, que afeta o contexto atual, o envenenamento pode persistir entre sessões. O envenenamento assume duas formas distintas que frequentemente são confundidas entre si, mas diferem em quem pode executá-las e no grau em que avançaram da teoria para a prática.
A primeira forma envenena o conhecimento em escala, semeando a web pública com conteúdo que o modelo absorverá posteriormente por meio de treinamento ou recuperação. Na prática, a esmagadora maioria desse tipo de ataque é realizada por estados-nação. A rede Pravda, também rastreada como Portal Kombat, publicou cerca de 3,6 milhões de artigos em aproximadamente 150 sites em 2024 para infiltrar narrativas pró-Rússia em sistemas de IA; uma auditoria de dez dos principais chatbots constatou que eles repetiram essas narrativas em cerca de um terço das vezes, uma tática que os pesquisadores chamaram de “LLM grooming”.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
23
https://www.cyera.com/research/bleeding-llama-critical-unauthenticated-memory-leak-in-ollama https://www.greynoise.io/blog/threat-actors-actively-targeting-llms https://www.oligo.security/blog/shadowray-2-0-attackers-turn-ai-against-itself-in-global-campaign-that-hijacks-ai-into-self-propagating-botnet https://www.oligo.security/blog/shadowmq-how-code-reuse-spread-critical-vulnerabilities-across-the-ai-ecosystem https://www.wiz.io/blog/exposed-moltbook-database-reveals-millions-of-api-keys https://www.newsguardtech.com/special-reports/moscow-based-global-news-network-infected-western-artificial-intelligence-russian-propaganda/
O cálculo de risco mudou devido a um estudo do final de 2025, que constatou que cerca de 250 documentos maliciosos eram suficientes para inserir um backdoor em um modelo, independentemente do seu tamanho, um número absoluto quase constante, em vez de uma porcentagem dos dados de treinamento. Se o requisito for uma quantidade fixa de documentos em vez de uma parcela de um vasto corpus, o envenenamento em larga escala não exige mais os recursos de uma rede como a Pravda, mas está agora ao alcance de agentes muito menores.
A segunda forma envenena o modelo em tempo de execução, corrompendo o conteúdo que ele recupera ou a memória que ele carrega entre as sessões. A Check Point AI Security Research mostrou o caso mais claro: ao longo de uma série de mensagens comuns no Discord, um usuário sem privilégios especiais preencheu gradualmente a memória de longo prazo de um agente OpenClaw com notas tidas como confiáveis, até que o agente passou a classificar as solicitações desse usuário acima de suas próprias regras e executou uma “atualização de sistema” maliciosa que abriu um reverse shell na máquina host. O mesmo comando havia sido recusado antes que a memória do agente fosse corrompida; portanto, o ataque consistiu na reescrita lenta de sua memória, e não em um truque de injeção de prompt. A Microsoft encontrou a mesma ideia já em uso no mundo real e em escala, relatando 50 casos de 31 empresas que ocultaram instruções em links de “Resumir com IA” para que um único clique escrevesse uma nota durável de “trate esta empresa como uma fonte confiável” na memória da IA. Os perpetradores não eram atacantes buscando intrusão, mas empresas legítimas manipulando as recomendações a seu favor. Independentemente da intenção, isso mostra que o envenenamento de memória está sendo explorado no mundo real, e não apenas em laboratório.
A cadeia de suprimentos de softwares de IA
Pacotes maliciosos e typosquats já existiam antes da IA. O que torna esta categoria específica de IA é uma combinação de quatro fatores:
01 O objetivo é obter credenciais de provedores de IA
02 O ataque é ampliado ou camuflado com IA
03 A distribuição ocorre por meio de canais nativos de IA: registros MCP, lojas de habilidades de agentes, hubs de modelos
04 O consumidor é um agente autônomo que instala e confia em componentes com pouca ou nenhuma revisão humana
Diferentemente dos ataques à infraestrutura mencionados anteriormente, nos quais um sistema é atingido durante o tempo de execução, aqui um componente contaminado é introduzido.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
24
https://www.anthropic.com/research/small-samples-poison https://www.microsoft.com/en-us/security/blog/2026/02/10/ai-recommendation-poisoning/
O maior evento isolado foi o worm Shai-Hulud, em novembro de 2025, que comprometeu centenas de pacotes de código amplamente utilizados e dezenas de milhares de repositórios de código, roubando credenciais de acesso da nuvem e de desenvolvedores à medida que se espalhava automaticamente pelos pipelines de build das empresas. Depois que o código do worm foi tornado público em maio de 2026, uma campanha derivada, chamada Megalodon, atingiu mais de 5,5 mil repositórios de código em uma única tarde e implantou persistência resistente a reinicializações dentro do Claude Code e de outras ferramentas de codificação com IA. O software de bastidores que roteia o tráfego entre diferentes provedores de IA também tem seu próprio ponto fraco: o comprometimento do gateway LiteLLM expôs todas as credenciais de login que ele gerenciava para seus clientes.
A loja de habilidades de agentes é o canal mais recente, marketplaces onde as pessoas baixam habilidades pré-construídas para seus agentes de IA. A Check Point AI Security Research analisou 221 dessas habilidades para o agente OpenClaw e descobriu que 70% solicitavam credenciais em excesso e 43% continham padrões de injeção de comando. Uma campanha, ClawHavoc, inseriu 44 habilidades maliciosas na loja; elas foram baixadas mais de 12,5 mil vezes e instalaram silenciosamente um infostealer de credenciais a cada download. O mesmo padrão apareceu em outros lugares: extensões de codificação de IA trojanizadas coletaram código de cerca de 1,5 milhão de desenvolvedores, um modelo no Hugging Face disfarçado de “filtro de privacidade da OpenAI” foi baixado 244 mil vezes antes que os pesquisadores detectassem que ele instalava malware, e uma falha do Langflow explorada ativamente entrou no catálogo de vulnerabilidades conhecidas e exploradas da CISA.
Prevemos que dois novos desdobramentos tornarão o próximo ano ainda mais desafiador. As duas categorias mais arriscadas deste capítulo, a cadeia de suprimentos agentiva e a infraestrutura de IA, também são aquelas sobre as quais as organizações atualmente têm menos visibilidade. E toda essa superfície de ataque está prestes a se tornar o padrão, à medida que os agentes de IA deixam de ser um aplicativo que alguém escolhe instalar para se tornarem uma parte integrada do sistema operacional e do próprio hardware. No Build 2026, a Microsoft anunciou planos de incorporar agentes de IA diretamente ao Windows, em conjunto com o OpenClaw, com implementação completa prevista para o fim de 2026. Na mesma época, a Nvidia revelou o superchip RTX Spark para agentes no dispositivo, integrado a laptops e desktops Windows da Dell, HP, Lenovo, Asus, MSI e Microsoft a partir do outono de 2026. O mesmo ecossistema OpenClaw que já foi explorado indevidamente por meio de habilidades maliciosas e painéis de controle expostos está prestes a ser lançado em uma enorme parcela dos computadores do mundo, portanto, cada fraqueza descrita aqui está prestes a afetar muito mais pessoas.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
25
https://www.wiz.io/blog/shai-hulud-2-0-ongoing-supply-chain-attack https://labs.cloudsecurityalliance.org/research/csa-research-note-shai-hulud-megalodon-supply-chain-cascade/ https://www.trendmicro.com/en_us/research/26/c/inside-litellm-supply-chain-compromise.html https://www.lakera.ai/blog/the-agent-skill-ecosystem-when-ai-extensions-become-a-malware-delivery-channel https://www.hiddenlayer.com/research/malware-found-in-trending-hugging-face-repository-open-oss-privacy-filter https://www.cisa.gov/news-events/alerts/2026/03/25/cisa-adds-one-known-exploited-vulnerability-catalog https://blogs.windows.com/windowsdeveloper/2026/06/02/windows-platform-security-for-ai-agents/ https://nvidianews.nvidia.com/news/nvidia-microsoft-windows-pcs-agents-rtx-spark
IDENTIDADE DIGITAL SOB ATAQUE
O Relatório de AI Security de 2025 mapeou ameaças de identidade generativa em dois planos: o tipo de mídia (texto, áudio, vídeo) utilizado e como sua geração amadureceu de offline (pré-gravada) para tempo real e totalmente autônoma. Descobrimos que quase todas as combinações não eram mais apenas teóricas, já que cada uma delas já havia aparecido em um incidente real ou era vendida como uma ferramenta em mercados criminosos. A única exceção que ainda não foi vista é o vídeo interativo totalmente autônomo.
IDENTIDADE DIGITAL SOB ATAQUE Nos capítulos anteriores, discutimos a IA tanto como uma arma quanto como um alvo. Este capítulo se volta para o que a IA faz com a confiança entre as pessoas devido à sua capacidade de forjar uma identidade humana convincente em escala. Historicamente, uma voz familiar, um rosto em uma chamada de vídeo, um documento de identificação governamental ou uma conversa ao vivo serviam como prova razoável de que uma pessoa era quem alegava ser. A IA generativa elimina essa suposição. Voz, rosto, documentos e interação em tempo real agora podem ser sintetizados de forma barata e convincente. Ao longo do último ano, as falsificações por IA evoluíram a ponto de serem rotineiramente incluídas em atividades criminosas. A conclusão é incontornável: os sinais usados para reconhecer uma pessoa à distância (uma voz, um rosto, um documento, um vídeo ao vivo) não podem mais ser considerados confiáveis como prova de identidade.
Os sinais usados para reconhecer uma pessoa à distância, uma voz, um rosto, um documento ou um vídeo ao vivo, não podem mais ser considerados confiáveis como prova de identidade.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
27
https://www.google.com/search?q=https://research.checkpoint.com/2025/state-of-ai-in-cyber-security/
TIPO DE MÍDIA GERAÇÃO OFFLINE GERAÇÃO EM
TEMPO REAL TOTALMENTE AUTÔNOMO
TEXTO Scripts ou e-mails pré-renderizados
Respostas em tempo real geradas pelo site
Conversas geradas por IA, totalmente interativas
ÁUDIO Imitações pré-gravadas
Manipulação de voz em tempo real
Áudio conversacional totalmente orientado por IA
VÍDEO Vídeos deepfake pré-criados
Troca de rosto em tempo real ou modificação de vídeo
Vídeo interativo totalmente automatizado, gerado por IA
Figura 3.1 — Ameaças de identidade generativa por tipo de mídia e maturidade (Check Point Research, 2025).
Nos últimos 12 meses, várias dessas capacidades passaram de “disponíveis” para “generalizadas”. Os casos abaixo, todos provenientes de relatórios públicos, mostram como cada tipo de mídia é usado atualmente para falsificar identidades.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
28
Voz A voz foi o primeiro canal de identidade a ser comoditizado. Clonar a voz de um alvo a partir de uma amostra curta é agora algo que qualquer pessoa pode fazer, sem necessidade de especialização, e, no último ano, vem sendo usado contra alvos específicos. Em um sinal claro de maturidade, a fraude por voz é agora vendida como um serviço pronto para uso. Pesquisadores documentaram a ATHR, uma plataforma cujos agentes de voz de IA conduzem um usuário-alvo por meio de uma chamada roteirizada de recuperação de conta para extrair seu código de uso único, permitindo que um único operador execute múltiplas conversas de roubo de credenciais simultaneamente. A ATHR executa essas campanhas contra clientes de grandes marcas como Google, Microsoft e Coinbase, sem qualquer envolvimento de um chamador humano.
Vídeo Os deepfakes pré-gravados foram uma grande preocupação em 2025. O ano passado viu a troca de rosto em tempo real em chamadas de vídeo ao vivo, usada tanto por atores estatais quanto por operações de fraude industrializadas. Um grupo ligado à Coreia do Norte, o UNC1069, supostamente usou chamadas de vídeo deepfake geradas por IA e contas do Telegram sequestradas para realizar engenharia social contra alvos de criptomoedas, levando-os a entregar suas credenciais.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
29
https://abnormal.ai/blog/athr-ai-voice-phishing-toad-attacks https://cloud.google.com/blog/topics/threat-intelligence/unc1069-targets-cryptocurrency-ai-social-engineering
A mesma técnica agora se espalhou ainda mais pela cadeia de suprimentos criminosa, chegando a centros de golpes no Sudeste Asiático que contratam “modelos de IA” para operar software de troca de rosto em tempo real durante chamadas de golpes de romance e investimento, combinando um rosto gerado por IA com um operador humano real por trás dele. A escala é grande o suficiente para mobilizar ações coordenadas das autoridades: a polícia europeia desmantelou uma rede que usava vídeos deepfake de celebridades e veículos de imprensa para atrair vítimas para esquemas de investimento falsos nas redes sociais e lavou mais de € 700 milhões. Além dos rostos, o restante do golpe agora também é automatizado: pesquisadores rastrearam mais de 23 mil domínios que direcionavam vítimas para grupos de chat onde chatbots de IA se passam por consultores financeiros e sustentam um prolongado golpe de investimento com o mínimo de intervenção humana.
Identidade sintética e desvio de KYC Quando a forma como um banco ou aplicativo verifica a identidade de alguém se baseia em uma foto, em um documento digitalizado ou em um vídeo rápido de selfie para comprovar que uma pessoa real está presente, falsificações geradas por IA agora podem contornar isso com facilidade. As verificações de identidade das quais bancos e corretoras de criptomoedas dependem estão sendo rotineiramente burladas. O serviço OnlyFake reforçou esse ponto quando seu operador se declarou culpado por vender mais de 10 mil documentos de identidade falsos gerados por IA nos EUA e em aproximadamente outros 56 países, o que permitiu que clientes em todo o mundo passassem pelas verificações de KYC em bancos e exchanges de criptomoedas. O Cybercrime Atlas do Fórum Econômico Mundial catalogou ferramentas desenvolvidas especificamente para burlar essas verificações remotas de identidade, substituindo o rosto por um rosto falso ou alimentando
a câmera de verificação diretamente com uma transmissão de vídeo falsa; um malware especificamente coletou a biometria facial das vítimas para usá-la para enganar sistemas bancários de verificação facial; e contas bancárias, de fintechs e de cripto que já passaram pela verificação usando uma identidade falsa gerada por IA agora são vendidas abertamente no Telegram.
Personas sintéticas para acesso A ameaça de identidade mais importante do ano não é uma única falsificação, mas sim uma operação inteira de fraude em contratações. A Coreia do Norte ampliou uma operação que utiliza identidades, currículos e personas fabricados por IA para conseguir que seus próprios agentes sejam contratados em empresas ocidentais como trabalhadores remotos de TI, transformando uma identidade falsificada em acesso real e legítimo dentro da empresa.
Um grupo ligado à Coreia do Norte, rastreado como Jasper Sleet, usa IA generativa para analisar anúncios de emprego, trocar rostos em documentos de identidade roubados e personalizar personas falsas convincentes o suficiente para passar pela triagem de RH e alcançar ambientes em nuvem e sistemas internos. A escala e o apoio governamental neste caso são agora formalmente reconhecidos: em 2024, o Departamento do Tesouro dos EUA sancionou seis indivíduos e duas entidades por trás de uma rede de profissionais de TI da RPDC que usava personas fabricadas para obter contratação em empresas dos EUA, gerando cerca de US$ 800 milhões para os programas de armamentos do regime. O rastro do dinheiro veio à tona por acaso, quando um dos operadores infectou acidentalmente sua própria máquina com um malware do tipo infostealer, vazando registros de um esquema que mostrava aproximadamente US$ 1 milhão por mês fluindo de volta para o regime.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
30
https://www.malwarebytes.com/blog/news/2026/03/scam-compounds-hiring-ai-models-to-seal-deal-in-deepfake-video-calls https://www.europol.europa.eu/media-press/newsroom/news/international-takedown-of-cryptocurrency-fraud-network-laundering-over-eur-700-million https://www.europol.europa.eu/media-press/newsroom/news/international-takedown-of-cryptocurrency-fraud-network-laundering-over-eur-700-million https://www.justice.gov/usao-sdny/pr/creator-onlyfake-charged-and-pleads-guilty-selling-more-10000-digital-fake https://reports.weforum.org/docs/WEF_Unmasking_Cybercrime_Strengthening_Digital_Identity_Verification_against_Deepfakes_2026.pdf https://www.google.com/search?q=https://specopssoft.com/blog/top-password-credential-stealing-malware https://www.microsoft.com/en-us/security/blog/2025/06/30/jasper-sleet-north-korean-remote-it-workers-evolving-tactics-to-infiltrate-organizations/ https://home.treasury.gov/news/press-releases/sb0230 https://cybernews.com/security/north-korean-hacker-detonates-malware-on-own-pc-exposing-1m-a-month-it-worker-scam/
Super- reconhecedores
treinados sinalizaram corretamente apenas
41% dos rostos gerados por IA como falsos. Espectadores comuns identificaram
apenas 30%.
Identidade como uma âncora de confiança quebrada Comprovar a identidade de alguém remotamente tornou-se mais difícil. Uma voz, um rosto, um documento, até mesmo uma interação ao vivo podem agora ser falsificados de forma convincente, portanto, nenhum deles pode ser considerado prova isoladamente. Em um estudo controlado, mesmo pessoas treinadas para identificar rostos falsos identificaram corretamente apenas cerca de 41% dos rostos gerados por IA como sendo gerados por IA. Observadores comuns detectaram apenas cerca de 30%. Na prática, isso significa que a verificação de identidade precisa migrar para áreas que são mais difíceis de serem falsificadas pela IA: confirmação por meio de um canal separado e confiável, credenciais digitais seguras e verificações ao vivo mais rigorosas que sejam mais difíceis de serem fraudadas.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
31
https://bpspsychub.onlinelibrary.wiley.com/doi/10.1111/bjop.70063
Estudo de caso: o golpe “O Show de Truman”, uma realidade gerada por IA
A Check Point Research documentou uma operação de golpe de investimento (rastreada como OPCOPRO) que não apenas se passa por uma pessoa, mas fabrica um mundo falso inteiro ao redor da vítima. Os alvos são atraídos via SMS e anúncios para grupos de WhatsApp ou Telegram com cerca de 90 membros, quase todos falsos: personas geradas por IA que se passam por “especialistas” financeiros e outros investidores, usando fotos de perfil sem histórico online e mensagens cujo timing e redação deixam claro que foram geradas por máquina. Os grupos exibem “operações lucrativas” diárias e falsas com gráficos fabricados, enquanto os aplicativos móveis associados — disponíveis no Google Play e na App Store na época — são meras fachadas sem nenhuma função real de negociação. Um servidor remoto forja cada saldo e resultado, o que significa que nada do que a vítima vê é real.
A operação mantinha pelo menos cinco sites com marcas próprias, registrados entre agosto e dezembro de 2025, e atuava fluentemente em vários idiomas. O que torna este golpe significativo é que ele não utiliza malware convencional: os aplicativos se comportam como softwares legítimos, e o ataque depende inteiramente de uma confiança fabricada, em vez de um comprometimento técnico. À medida que o custo de criação de identidades, conteúdo e software convincentes continua a cair, esses golpes se assemelham cada vez mais a empresas digitais legítimas.
A engenharia social tornou-se multicanal Esses ataques de identidade não ocorrem isoladamente, mas alimentam uma mudança mais ampla na engenharia social. O Relatório de Cibersegurança de 2026 da Check Point aponta a engenharia social como o vetor de ataque dominante de 2025, expandindo-se além do e-mail para campanhas coordenadas que abrangem chamadas telefônicas, aplicativos de mensagens, ferramentas de trabalho como Microsoft Teams e Slack, sites falsos e personificação ao vivo. Antes considerada uma técnica de nicho, a engenharia social multicanal é agora uma prática padrão e foi central para algumas das violações de segurança mais prejudiciais
do ano, incluindo os ataques do Scattered Spider à Marks & Spencer e à Jaguar Land Rover, e a campanha por telefone do ShinyHunters tendo como alvo clientes da Salesforce. O FBI atribui mais de US$ 250 milhões em perdas apenas a fraudes baseadas em voz. A IA generativa torna esses ataques muito mais eficazes ao remover as barreiras de qualidade, idioma e escala. Uma voz clonada, um vídeo deepfake, um documento falsificado e uma identidade fabricada podem agora ser combinados em um ataque integrado que conquista a confiança da vítima desde a primeira interação.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
32
https://blog.checkpoint.com/mobile/the-truman-show-scam-trapped-in-an-ai-generated-reality/ https://research.checkpoint.com/2026/cyber-security-report-2026/
VAZAMENTO DE DADOS & EXPOSIÇÃO DE IA CORPORATIVA
VAZAMENTO DE DADOS & EXPOSIÇÃO DE IA CORPORATIVA Capítulos anteriores abordaram a IA como arma, alvo e ferramenta para falsificação de identidade. Este capítulo volta-se para dentro, para os dados que as empresas inserem em ferramentas de IA todos os dias e o que isso lhes custa em exposição.
Os números: adoção e exposição Entre outubro de 2025 e maio de 2026, o uso corporativo de IA generativa mostrou sinais claros de maturidade. Os funcionários incorporaram de forma consistente várias ferramentas de IA generativa em seus fluxos de trabalho diários, com as organizações utilizando uma média de dez aplicativos de IA diferentes a cada mês. Dados da Check Point revelam que, em nível individual, o número médio de prompts por usuário cresceu de 56 em dezembro de 2025 para 70 em maio de 2026, o que representa um aumento de 25% nesse período. A IA generativa evoluiu de uma tecnologia emergente inovadora para uma parte integrante da produtividade organizacional, incorporada em múltiplas funções de negócios.
Do ponto de vista da segurança, os efeitos desse crescimento são significativos e contínuos. Entre 87% e 93% das organizações tiveram pelo menos uma interação de alto risco com IA generativa a cada mês, o que significa que o risco de vazamento de dados sensíveis não se limita a um pequeno número de organizações. Tornou-se uma parte quase universal do uso de IA no trabalho.
87–93% Das organizações experimentaram pelo menos uma interação de alto risco com IA generativa a cada mês.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
34
A parcela de prompts de alto risco, ou seja, aqueles que incluem dados sensíveis corporativos, pessoais ou regulamentados compartilhados com serviços externos de IA, subiu de 2% no início do período para 4% ao final, efetivamente dobrando o risco base de vazamento de informações sensíveis por meio do uso cotidiano de IA generativa. Em termos simples, isso representa uma mudança de aproximadamente um prompt de alto risco a cada 50 interações para um a cada 25. A taxa se estabilizou nos últimos meses, mas os dados sugerem que as organizações atingiram um novo patamar, mais alto, de risco de vazamento de dados relacionado à IA.
Os prompts de IA generativa de alto risco dobraram de 2% para 4% em um
ano, enquanto as organizações agora utilizam uma média de dez aplicativos de
IA diferentes por mês.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
35
A análise regional revela diferenças significativas na exposição das empresas ao risco de IA generativa. A Europa e a América Latina registraram taxas de prompts de IA generativa de alto risco acima da média global de 3,45%, sugerindo que as organizações nessas regiões enfrentam uma probabilidade maior de dados sensíveis serem compartilhados com serviços de IA:
Europa: 3,95% dos prompts, aproximadamente uma em cada 25 interações, classificados como de alto risco, o maior índice de qualquer região.
América Latina: 3,76%, ou um em cada 27 prompts.
América do Norte: 3,33%, ou um em cada 30 prompts, menor, mas ainda significativo.
PROMPTS DE ALTO RISCO POR REGIÃO (JAN-MAI DE 2026) (1 em cada N prompts apresentava alto risco)
Europa 3,95% [1 em 25]
América Latina 3,76% [1 em 27]
América do Norte 3,33% [1 em 30]
APAC 2,88% [1 em 35]
Figura 5.1 — Prompts de alto risco por região (jan-mai de 2026).
A diferença entre as regiões é relativamente modesta, o que, na verdade, reforça o ponto principal: a exposição de dados relacionada à IA é um problema global, não algo restrito a alguns mercados. O fato de que todas as regiões apresentam taxas elevadas sugere que o comportamento arriscado relacionado à IA surge onde quer que as ferramentas de GenAI sejam incorporadas ao trabalho cotidiano, independentemente do país. À medida que as empresas passam a depender mais da IA para produtividade, os funcionários
em todos os lugares continuam enfrentando a mesma tensão básica: fornecer à IA contexto suficiente para obter uma resposta genuinamente útil ou se conter para proteger informações confidenciais da empresa. A posição da Europa no topo do ranking é particularmente notável, dado o foco historicamente forte da região na proteção de dados e na regulamentação de privacidade. Isso sugere que os marcos regulatórios por si só são insuficientes para evitar interações
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
36
PROMPTS DE ALTO RISCO NA REGIÃO DA AMÉRICA LATINA POR MÊS - 2026 (1 em cada N prompts apresentava alto risco)
4,2%
4.0%
3,8%
3,6%
3,4%
3,2%
3,0%
JAN FEV MAR ABR MAIO
Figura 5.2 — Tendência de Alta de Prompts de Alto Risco na América Latina.
de risco com IA em escala e reforça a importância de controles técnicos, conscientização do usuário e monitoramento contínuo. De forma mais ampla, isso indica às organizações em todos os lugares que devem esperar que o risco de vazamento de dados relacionado à IA ande de mãos dadas com a adoção da IA, e que
planejem sua governança de acordo, em vez de tratá-la como algo secundário. A América Latina também merece atenção: sua participação em prompts arriscados aumentou de 3,68% em janeiro para 4,15% em maio, um aumento de 13% em apenas cinco meses.
3,68% (1 em 27) 3,6% (1 em 28)
3,7% (1 em 27)
4,15% (1 em 24)
3,47% (1 em 29)
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
37
Analisar isso por setor, em vez de por região, mostra que o risco está distribuído de forma ainda menos uniforme. Entre janeiro e maio de 2026, serviços empresariais, atacado e distribuição, telecomunicações e software ficaram todos acima da taxa média global de risco de 3,45%, o que significa que as empresas desses setores têm maior probabilidade do que a maioria de ter informações sensíveis compartilhadas com um serviço externo de IA.
Os serviços empresariais tiveram a maior taxa entre todos os setores: quase uma em cada 17 interações de IA apresentava um risco real de exposição de dados sensíveis:
Serviços empresariais: 5,91%, ou aproximadamente um em cada 17 prompts, o maior percentual entre todos os setores.
Atacado e Distribuição: 5,47%, ou um em cada 18 prompts.
Telecomunicações: 4,06%, ou um em cada 25 prompts.
Entre todos os setores, o de serviços empresariais merece atenção especial não apenas por ter registrado a maior taxa geral de prompts de alto risco, mas porque essa taxa continuou subindo durante todo o período: de 5,50% em janeiro para 6,98% em maio, um aumento de 27% em apenas cinco meses. Em maio, quase um em cada 14 prompts enviados por pessoas neste setor representava um alto risco de vazamento de dados sensíveis.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
38
PROMPTS DE ALTO RISCO POR SETOR (JAN-MAI 2026) (1 em cada N prompts apresentava alto risco)
Serviços empresariais 5,91% [1 em 17]
Atacado & Distribuição 5,47% [1 em 18]
Telecomunicações 4,06% [1 em 25]
Software 3,52% [1 em 28]
Industrial/Fabricação 3,07% [1 em 33]
Governo 3,01% [1 em 33]
Serviços financeiros 2,72% [1 em 37]
Bens de consumo e Serviços 2,26% [1 em 44]
Energia e Serviços Públicos 1,91% [1 em 52]
Tecnologia da Informação 0,65% [1 em 153]
Figura 5.3 — Prompts de alto risco por setor (jan-mai de 2026).
A tendência sugere que as organizações de serviços empresariais estão indo além da experimentação e incorporando a IA mais profundamente às operações principais, fazendo com que os funcionários recorram a ela para analisar documentos, redigir comunicações e lidar com interações com clientes, o que significa compartilhar mais contexto de negócios e informações sensíveis
para obter respostas úteis. Esse uso mais profundo gera ganhos reais de produtividade, mas também aumenta as chances de que informações confidenciais de clientes, contratos ou conteúdo regulamentado acabem em uma plataforma externa de IA, especialmente em setores que se concentram no tratamento de informações e no relacionamento com clientes.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
39
Panorama geral: a adoção da IA está superando a governança criada para gerenciá-la. A familiaridade com essas ferramentas não se traduziu em mais cautela, e o comportamento de compartilhamento arriscado não diminuiu, mesmo à medida que o uso amadurece. Isso faz com que as organizações enfrentem tanto um risco de base mais elevado quanto um volume maior de exposição, um problema que provavelmente persistirá em vez de se resolver por si só.
O que e como vaza Os números acima medem quantos dados sensíveis chegam à IA. Como esses dados realmente chegam lá é igualmente importante, e o ponto principal é que os maiores vazamentos não são de forma alguma obra de atacantes, mas sim um efeito colateral do uso diário completamente normal e aprovado:
Acesso excessivo concedido por padrão: pesquisadores demonstraram que uma conexão legítima e aprovada pela empresa entre o ChatGPT e o Google Drive poderia extrair mais de 400 arquivos internos confidenciais em menos de um segundo a partir de uma única pergunta comum, muito mais do que a pessoa que fez a pergunta jamais teria encontrado por conta própria.
Funcionários usando suas próprias contas pessoais de IA para o trabalho em vez das ferramentas aprovadas pela empresa, prática também conhecida como Shadow AI: um estudo constatou que cerca de uma em cada cinco organizações teve dados corporativos expostos dessa maneira, independentemente de qualquer vazamento por meio de ferramentas de IA oficialmente autorizadas. Ações simples como copiar e colar, preencher um campo de formulário ou fazer upload de um arquivo diretamente no navegador passam direto pelas ferramentas de segurança que as empresas normalmente usam para detectar a saída de dados da rede.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
40
https://research.checkpoint.com/2026/cyber-security-report-2026/ https://www.google.com/search?q=https://research.eye.security/blocking-shadow-ai-how-to-prevent-data-leakage-from-chatgpt-and-other-llms/
Exposição do provedor e do aplicativo Mesmo uma organização com regras rígidas sobre como seus próprios funcionários usam a IA ainda depende de provedores e aplicativos de IA externos, e esses provedores também podem ser uma porta de entrada para invasores. No momento em que os dados de uma empresa são compartilhados com uma ferramenta de IA externa, a segurança desses dados depende inteiramente de quão segura é essa empresa externa, e não de qualquer ação da empresa original. O padrão se repetiu em toda a pilha ao longo do último ano:
01 Um aplicativo de chat com IA para consumidores chamado “Chat & Ask AI” expôs cerca de 300 milhões de mensagens de mais de 25 milhões de usuários.
02 Um chatbot de suporte ao cliente com IA usado pela Sears Home Services deixou 3,7 milhões de registros expostos, incluindo gravações de chamadas telefônicas e transcrições contendo informações pessoais.
03 Os próprios fornecedores de IA também foram atingidos: a Anthropic sofreu um vazamento de seu próprio código-fonte, e a empresa de recrutamento de IA Mercor foi comprometida por meio de uma falha no gateway LiteLLM (a mesma vulnerabilidade na cadeia de suprimentos de agentes descrita anteriormente), expondo uma grande quantidade de dados internos.
04 Uma falha de autorização no criador de aplicativos de IA Lovable permitiu que qualquer usuário do nível gratuito lesse o código-fonte e as credenciais armazenadas de milhares de projetos de outros clientes.
Credenciais de login roubadas elevam ainda mais o risco: uma única chave de API do Google Gemini roubada gerou cerca de US$ 82.000 em cobranças em apenas dois dias e foi usada para acessar dados de conta armazenados antes que alguém a detectasse, permitindo que um invasor operasse livremente dentro da conta legítima de IA de outra pessoa, o mesmo padrão descrito anteriormente neste relatório.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
41
https://www.404media.co/massive-ai-chat-app-leaked-millions-of-users-private-conversations/ https://cybernews.com/ai-news/ai-chatbot-data-leak-sears/ https://www.axios.com/2026/03/31/anthropic-leaked-source-code-ai https://docs.litellm.ai/blog/security-update-march-2026 https://lovable.dev/blog/our-response-to-the-april-2026-incident https://cybersecuritynews.com/stolen-gemini-api-key-turned-180-bill-to-82000/
Depois que os dados de uma organização são compartilhados com um modelo de IA externo, ela não pode controlar totalmente onde eles vão parar. À medida que os assistentes de IA estão cada vez mais envolvidos em ambientes de execução reais, cada novo recurso adiciona outro caminho pelo qual os dados podem sair e que precisa ser protegido, incluindo partes do sistema que um usuário comum nunca chega a ver.
Implicações de governança A exposição de dados relacionada à IA deve ser tratada como um risco contínuo que acompanha o uso de IA, e não como um obstáculo pontual a ser superado durante a adoção. Gerenciá-la bem exige monitorar constantemente como a IA está realmente sendo usada, aplicar políticas claras, treinar os funcionários e usar controles em tempo real que possam detectar e impedir informações sensíveis antes que elas cheguem a um serviço externo de IA.
As empresas que mais tirarem proveito da IA serão aquelas que mantiverem sua supervisão evoluindo lado a lado com o uso da tecnologia, em vez de tratar a segurança como algo a ser revisado apenas uma vez por ano. Esse equilíbrio é o que protege a propriedade intelectual, as informações comerciais confidenciais e os dados regulamentados de uma empresa, permitindo que ela ainda se beneficie de tudo o que a IA pode fazer.
Estudo de caso: Vazamento de dados do ChatGPT por meio de um canal de saída oculto
A Check Point Research demonstrou que a própria plataforma de IA pode se tornar o vetor do vazamento, e não apenas os aplicativos conectados a ela. O sandbox de execução segura de código do ChatGPT bloqueia o acesso normal de saída à internet como medida de segurança, mas ainda permite consultas de DNS, um descuido que a maioria das pessoas jamais pensaria em verificar. Ao codificar dados em consultas a subdomínios DNS, uma instrução maliciosa inserida anteriormente em uma conversa poderia enviar silenciosamente as mensagens e o conteúdo dos arquivos do usuário para o servidor de um invasor, sem exibir nenhum dos alertas usuais que o usuário veria antes de um aplicativo compartilhar seus dados. Uma prova de conceito com um assistente de IA no papel de “médico pessoal” usou essa técnica para exfiltrar dados de pacientes e avaliações médicas a partir de exames laboratoriais enviados. O problema foi relatado à OpenAI e corrigido em 20 de fevereiro de 2026, sem evidências de exploração em ambiente real.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
42
https://research.checkpoint.com/2026/chatgpt-data-leakage-via-a-hidden-outbound-channel-in-the-code-execution-runtime/
SEGURANÇA PARA IA. SEGURANÇA POR IA SEGURANÇA COM IA.
Segurança para IA
Agentes e aplicativos de IA são alvos tanto quanto são ferramentas. Eles podem ser manipulados por instruções ocultas no conteúdo que processam, comprometidos pelas ferramentas às quais se conectam e virados contra a organização por meio de arquivos de configuração em que confiam automaticamente. Para organizações que constroem sua própria infraestrutura de IA, sejam ambientes dedicados de LLM, fábricas de IA ou implementações de hardware baseadas na NVIDIA, a superfície de ataque se estende ainda mais, abrangendo infraestrutura, hardware, cargas de trabalho, contêineres, APIs de inferência e endpoints de LLM.
A parte mais arriscada da superfície de ataque da IA costuma ser aquela que as organizações não conseguem ver. Servidores de modelos expostos, painéis de controle de agentes acessíveis e endpoints de inferência desprotegidos estão sendo ativamente sondados, e a maioria das equipes de segurança não tem visibilidade deles. Você não pode proteger o que não sabe que está exposto à internet.
Check Point AI Agent Security
Governa como os agentes de IA corporativos interagem com prompts, ferramentas, dados e ações em tempo real.
• Governe o comportamento de agentes de IA em todas as interações com prompts, ferramentas e dados
• Previna a manipulação por meio de injeção de prompt, configurações envenenadas e uso inseguro de ferramentas
Check Point AI Red Teaming
Testa se aplicativos e agentes de IA podem ser induzidos a expor dados sensíveis, contornar políticas ou gerar saídas inseguras, antes que atacantes tenham essa oportunidade.
• Teste quanto a jailbreaks, riscos de vazamento de dados e permissões excessivas antes da implantação
• Valide a segurança após cada alteração significativa em modelos, prompts, ferramentas ou permissões
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
44
https://www.checkpoint.com/ai-security/ai-agent-security/ https://www.checkpoint.com/ai-security/ai-red-teaming/
Check Point WAF
Impulsionado por um motor de ML de dupla camada, bloqueia injeções de prompt e conteúdos inseguros no perímetro, sem exigir assinaturas nem causar indisponibilidade.
• Bloqueie injeções de prompt e conteúdo inseguro antes que atinjam usuários ou sistemas
• Intercepte ataques em tempo real sem a sobrecarga de patching exigida pelas abordagens tradicionais
Check Point Exposure Management
O Check Point Exposure Management, por meio do gerenciamento de superfície de ataque externa, do gerenciamento de superfície de ataque de ativos cibernéticos e do Supply Chain Intelligence, torna toda a superfície de ataque de IA visível antes que atacantes a mapeiem.
• Descubra todos os ativos expostos à internet, incluindo servidores de modelos, endpoints de inferência e painéis de controle de agentes • Detecte infraestrutura de IA recém-exposta assim que ela aparecer, usando detecção de tecnologia e listas de monitoramento • Monitore continuamente os provedores de IA de terceiros, para que a exposição deles se torne visível antes que se transforme em
um incidente para você
Segurança de Fábrica de IA da Check Point
Fornece um modelo de segurança completo de ponta a ponta para organizações que constroem e operam sua própria infraestrutura de IA, adotando uma abordagem em camadas de defesa em profundidade que abrange a segurança de aplicações, a segurança de infraestrutura e o uso seguro de IA em todo o stack.
• Proteja a infraestrutura de IA de ponta a ponta: hardware, cargas de trabalho, contêineres, APIs de inferência, endpoints de LLM e perímetros
A parte mais arriscada da superfície de ataque de IA é aquela que não se pode ver. Proteger a IA significa governar como ela se comporta, blindar a infraestrutura onde ela é executada e tornar toda a superfície de ataque visível antes que um atacante a mapeie.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
45
https://www.checkpoint.com/cloudguard/waf/ https://engage.checkpoint.com/ai-data-center-ai-factory-security-blueprint/
Segurança por IA
A mudança mais significativa que este relatório documenta não é uma nova técnica. É o ritmo. Uma vulnerabilidade agora se torna um exploit funcional poucas horas após a divulgação. As campanhas de phishing são executadas com uma qualidade e um volume que nenhuma equipe humana conseguiria igualar. As intrusões abrangem dezenas de alvos simultaneamente, com a IA executando o trabalho operacional entre os check-ins. As equipes de segurança trabalhando na velocidade humana não conseguem acompanhar esse ritmo. A proteção contra ataques impulsionados por IA exige um mecanismo de prevenção de ameaça alimentado por modelos de IA de fronteira.
Check Point ThreatCloud IA
É o cérebro por trás da prevenção de ameaça da Check Point, utilizando as mais recentes tecnologias de IA e os principais pesquisadores de cibersegurança do setor para prevenir ataques de dia zero. Conectado a todos os ambientes de TI por meio das linhas de produtos Hybrid Mesh Network Security, Workspace Security, Exposure Management e AI Security da Check Point, o ThreatCloud AI abrange redes, e-mail, endpoints, dispositivos móveis e nuvem.
• Previna ataques de dia zero com as mais recentes tecnologias de IA e pesquisas líderes em cibersegurança
• Cubra redes, e-mail, endpoints, dispositivos móveis e nuvem por meio de uma única camada de inteligência conectada
• Opera em duas velocidades simultâneas: geração contínua de inteligência em segundo plano e resposta a consultas em tempo real para os sensores da Check Point em todo o mundo.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
46
https://www.checkpoint.com/ai/threatcloud/
Programa de Prontidão para Modelos de IA de Fronteira da Check Point
Incluindo o BLAST, uma tecnologia proprietária e agnóstica a modelos, o programa descobre proativamente vulnerabilidades em modelos de IA de fronteira e as resolve antes que possam ser transformadas em armas.
• Descubra e resolva proativamente vulnerabilidades em modelos de IA de fronteira antes que os atacantes as alcancem. • Mantenha-se à frente dos agentes de ameaças testando e fortalecendo continuamente os modelos de IA que impulsionam as
defesas da Check Point
Os atacantes estão utilizando a IA como um operador. O ThreatCloud AI opera na mesma velocidade do outro lado, detectando e bloqueando sem esperar por intervenção humana.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
47
https://blog.checkpoint.com/security/check-point-frontier-ai-models-readiness-program-security-update/
Segurança com IA
Cada ataque direcionado neste relatório tornou-se mais preciso devido a informações que o atacante já possuía. Grande parte dessas informações deixou a organização por meio das ferramentas de IA que os funcionários usam todos os dias. Os prompts de GenAI de alto risco dobraram no último ano. A organização média executa dez aplicativos de IA por mês, muitos sem aprovação formal, e a maioria das equipes de segurança tem visibilidade limitada sobre o que está sendo compartilhado, com quais ferramentas e se deveria ser.
Usar bem a IA significa governá-la em toda a força de trabalho, no ponto de interação e em toda a superfície externa, onde credenciais e dados já estão vazando.
Check Point Workforce AI Security
Oferece às equipes de segurança visibilidade sobre como os funcionários estão usando a IA em toda a organização, proporcionando descoberta de aplicativos, governança e proteção de dados em tempo real. Ele protege as próprias interações, gerenciando prompts de GenAI em tempo real, avaliando o risco no momento em que ocorrem e prevenindo a perda de dados antes que cheguem a um serviço externo.
• Descubra aplicativos de IA autorizados e não autorizados em uso em toda a força de trabalho
• Impeça que credenciais, código-fonte, PII, dados de clientes e documentos confidenciais sejam expostos por meio de interações com IA
• Aplique a prevenção contra perda de dados em tempo real aos prompts de GenAI antes que eles deixem seu ambiente
• Atenda aos requisitos regulamentares com visibilidade e monitoramento de nível empresarial
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
48
https://www.checkpoint.com/ai-security/ai-workforce-security/
Check Point Exposure Management
Oferece às equipes a capacidade de encontrar e agir sobre o que importa antes que um atacante o faça, classificando as exposições por risco real, validando quais são genuinamente alcançáveis e exploráveis e permitindo a correção sem esperar por uma solução do fornecedor. Por meio de suas camadas de Proteção de Marca e Inteligência de Ameaça, ela também cobre a superfície externa onde credenciais, sites falsos e infraestrutura de falsificação já estão sendo usados contra sua organização.
• Classifique as exposições pelo que é realmente explorável, não pela quantidade de vulnerabilidades que um scanner retorna • Valide a explorabilidade continuamente antes que um invasor teste o mesmo caminho • Neutralize exposições críticas por meio de correção virtual quando uma correção do fornecedor ainda não estiver disponível • Encontre arquivos de configuração, segredos e chaves de API expostos em sua superfície voltada para a internet antes que um
invasor o faça • Detecte páginas de phishing, domínios de typosquatting e sites clonados e remova-os antes que as vítimas os acessem • Monitore a deep web e a dark web em busca de credenciais roubadas e revendidas, incluindo logins de serviços de IA • Identifique dados corporativos vazados e sinais de fraude que alimentam campanhas de falsificação direcionadas
Antes que um atacante possa usar a IA contra você com precisão, ele precisa dos seus dados e precisa que a sua exposição permaneça invisível. O Workforce AI Security, o GenAI Protect, o Infinity AI Copilot e o Exposure Management fecham ambas as lacunas.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 RECOMENDAÇÕES DO CISO
RELATÓRIO DE SEGURANÇA DE IA 2026
49
https://www.checkpoint.com/exposure-management/
2026 CISO RECOMENDAÇÕES
CISO 2026 RECOMENDAÇÕES Por Fred Streefland,
Diretor Global de Segurança da Informação de Campo,
Check Point Software Technologies
A pergunta que este capítulo se propõe a responder é simples: “Então, o que tudo isso significa para os CISOs e o que os CISOs podem aprender com este relatório?
Espera-se que os CISOs gerenciem os riscos (cibernéticos) para o negócio, para que a empresa possa realizar ‘seus negócios’?” No entanto, no mundo atual orientado por IA, a função do CISO não se resume apenas a prevenir violações ou garantir a conformidade, embora estes permaneçam críticos. A função do CISO está mais relacionada a viabilizar a adoção responsável da IA, que equilibra inovação com gestão de riscos, vantagem competitiva com responsabilidade ética e capacidade tecnológica com controle organizacional.
Esta parte do relatório abordará o que os quatro capítulos anteriores significam para os CISOs de hoje. Cada capítulo será resumido com uma conclusão (“por que isso importa”), seguida por algumas recomendações.
01 O primeiro capítulo descreve os Ciberataques com Base em IA e mostra como os atacantes podem acessar recursos de IA. Eles podem abusar de modelos comerciais, implementar modelos de código aberto auto-hospedados ou comprar acesso a serviços maliciosos criados para esse fim. Este capítulo também descreve que o papel da IA no desenvolvimento de malware passou de experimental para operacional e que a IA agora pode ser vista como um operador de ataque ativo. O elemento mais importante deste capítulo é a IA na pesquisa de vulnerabilidades, o que resultou em uma janela de correção reduzida. A IA agora é capaz de encontrar falhas de segurança antes que sejam exploradas e encontrar maneiras de explorá-las antes que sejam corrigidas.
Por que isso importa.
Os invasores agora são capazes de aproveitar a IA em seu benefício a uma velocidade incrível. Os CISOs precisam estar cientes desse desenvolvimento e devem encarar a IA como um invasor ativo. Isso significa que os CISOs precisam revalidar seus controles de cibersegurança e verificar se sua postura de segurança atual é capaz de lidar com esses ciberataques com tecnologia de IA. Os CISOs também devem avaliar seus processos atuais de gerenciamento de vulnerabilidades, porque a maior velocidade dos modelos de IA para encontrar e explorar vulnerabilidades diminuiu significativamente o tempo para remediação.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 GUIA DO CISO 2026
RELATÓRIO DE SEGURANÇA DE IA 2026
51
02 O segundo capítulo examina ataques contra a IA, tratando a IA como uma superfície de ataque. Ele identifica duas causas principais. A primeira é exclusiva da IA: modelos de linguagem podem ser manipulados por meio de instruções ocultas (injeção de prompt direta e indireta), arquivos de configuração confiáveis (abuso de configuração) e memória corrompida (envenenamento em tempo de execução). A segunda é mais familiar: ferramentas de IA ainda são softwares e herdam as vulnerabilidades de aplicativos tradicionais. Essas fraquezas estão se espalhando mais rapidamente devido à rápida adoção da IA e são amplificadas por agentes de IA autônomos que possuem privilégios excessivos e instalam componentes confiáveis com pouca ou nenhuma revisão humana. É isso que impulsiona os ataques à infraestrutura de IA e à cadeia de suprimentos de software de IA.
Por que isso importa.
Um dos princípios fundamentais da função do CISO é a visibilidade em toda a infraestrutura de TI/TO, nos espaços de trabalho, nos ambientes em nuvem, na cadeia de suprimentos e na IA. A visibilidade é essencial porque os CISOs não podem proteger o que não podem ver. À medida que a IA se torna uma nova superfície de ataque, as estratégias de segurança devem evoluir para abordá-la. Isso exige compreender ataques específicos de IA, como a injeção de prompt direta e indireta, ao mesmo tempo em que se obtém visibilidade sobre o ecossistema de IA, a cadeia de suprimentos agêntica e a infraestrutura de IA.
03 O terceiro capítulo descreve os efeitos da IA na confiança digital e nas identidades. Nos capítulos anteriores, discutimos a IA tanto como uma arma quanto como um alvo. Este capítulo aborda o que a IA faz com a confiança entre as pessoas devido à sua capacidade de forjar uma identidade humana convincente em escala. Este capítulo mostra que atacantes/criminosos agora são capazes de usar a IA para gerar identidades falsas em texto, áudio e vídeo. Eles podem gerar essas identidades falsas offline, online e, em sua maioria, de forma totalmente autônoma.
Por que isso importa.
A confiança desempenha um papel essencial na cibersegurança, a qual desempenha um papel essencial para os CISOs. Essas evoluções nas técnicas de personificação, conforme descritas neste capítulo, podem fazer com que a identidade se torne uma âncora de confiança comprometida. Comprovar a identidade de alguém remotamente tornou-se mais difícil do que nunca e, em combinação com o fato de que a engenharia social tornou-se multicanal, exige que os CISOs se adaptem e parem de considerar a identidade como algo garantido.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 GUIA DO CISO 2026
RELATÓRIO DE SEGURANÇA DE IA 2026
52
04 O quarto capítulo descreve o vazamento de dados e a exposição da IA corporativa. Embora os capítulos anteriores tenham abordado a IA como uma arma, um alvo e uma ferramenta para falsificação, este capítulo demonstrou os riscos da adoção de IA pelas empresas. A Check Point Research registrou um crescimento significativo na adoção de GenAI corporativa. A GenAI evoluiu de uma tecnologia emergente inovadora para uma parte integrante da produtividade organizacional, incorporada em múltiplas funções de negócios. Aproximadamente 90% das organizações tiveram pelo menos uma interação de alto risco com GenAI a cada mês. Mesmo que as organizações tenham regras rígidas sobre como seus funcionários utilizam a IA, elas ainda dependem de provedores e aplicativos de IA externos, que também podem servir como um ponto de entrada para agentes de ameaças. A Check Point Research demonstrou que a própria plataforma de IA, como o ChatGPT, pode se tornar o caminho de vazamento, não apenas os aplicativos conectados a ela. Uma vez que os dados de uma organização são compartilhados com um modelo de IA externo, a organização não consegue controlar totalmente onde eles acabarão.
Por que isso importa.
Como a adoção da IA está superando a governança criada para gerenciá-la, os CISOs de hoje enfrentam um desafio significativo. Eles devem tratar a exposição de dados relacionada à IA como uma parte contínua e permanente de operar com IA; não como um obstáculo pontual a ser superado durante a adoção. Os CISOs precisam gerenciá-la bem, o que exige monitorar constantemente como a IA está realmente sendo usada, aplicar políticas claras, treinar os funcionários e usar controles em tempo real que possam detectar e impedir informações sensíveis antes que elas cheguem a um serviço externo de IA. As empresas que mais tirarem proveito da IA serão aquelas que mantiverem sua supervisão evoluindo lado a lado com o uso da tecnologia, em vez de tratar a segurança como algo a ser revisado apenas uma vez por ano.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 GUIA DO CISO 2026
RELATÓRIO DE SEGURANÇA DE IA 2026
53
RECOMENDAÇÕES DO CISO A IA está mudando significativamente o mundo em um ritmo que nunca experimentamos antes, e o mesmo se aplica à AI Security. Precisamos nos adaptar mais rápido do que os “bandidos” e, como diz o ditado: “não é a espécie mais forte nem a mais inteligente que sobrevive. É aquela que melhor se adapta às mudanças.”
Este relatório fornece as informações de que você — como CISO — precisa para obter a adaptabilidade necessária ao ambiente em rápida mudança. Com os insights deste relatório e os produtos sugeridos da Check Point, você pode se tornar um CISO bem- sucedido na proteção da sua organização e na viabilização dos negócios.
No último ano, a IA mudou significativamente o mundo (da segurança) e trouxe mais desafios para um CISO do que nunca, mas o básico permaneceu o mesmo. Um CISO ainda precisa gerenciar os riscos para que a empresa possa conduzir “seus negócios”, o que significa que uma avaliação de riscos ainda forma a base para uma estratégia e um roadmap de segurança. O fato de o CISO também dever aplicar essa avaliação de risco ao ecossistema de IA da sua organização torna a tarefa talvez mais desafiadora, mas não impossível.
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 GUIA DO CISO 2026
RELATÓRIO DE SEGURANÇA DE IA 2026
54
Sobre a Check Point Software Technologies Ltd. Check Point Software Technologies Ltd. (www.checkpoint.com) é uma líder na proteção da confiança digital, utilizando soluções de cibersegurança alimentadas por IA para proteger mais de 100.000 organizações globalmente. Através de sua plataforma Infinity e de um ecossistema de jardim aberto, a abordagem de prevenção em primeiro lugar da Check Point oferece eficácia de segurança líder do setor enquanto reduz o risco. Empregando uma arquitetura de rede de malha híbrida com SASE em seu núcleo, a plataforma Infinity unifica o gerenciamento de ambientes locais, em nuvem e de espaço de trabalho para oferecer flexibilidade, simplicidade e escala para empresas e provedores de serviços.
Entre em contato conosco
SEDE GLOBAL
5 Shlomo Kaplan Street,
Tel Aviv 6789159, Israel
Telefone: 972-3-753-4599
E-mail: info@checkpoint.com
SEDE NOS ESTADOS UNIDOS
100 Oracle Parkway, Suite 800,
Redwood City, CA 94065
Telefone: 800-429-4391
ESTÁ SENDO ATACADO?
Entre em contato com nossa Equipe
de Resposta a Incidentes:
emergency-response@checkpoint.com
Check Point Research
Para obter nossas pesquisas mais recentes
e outros conteúdos exclusivos, visite-nos em
www.research.checkpoint.com
www.checkpoint.com
01 INTRODUÇÃO
02 CIBERATAQUES DE IA
03 �SUPERFÍCIE DE ATAQUE DE IA
04 IDENTIDADE DIGITAL
05 �EXPOSIÇÃO DE DADOS DE IA
06 �ESTRUTURA DE SEGURANÇA DE IA
07 GUIA DO CISO 2026
RELATÓRIO DE SEGURANÇA DE IA 2026
55
http://www.checkpoint.com mailto:info%40checkpoint.com?subject= mailto:emergency-response@checkpoint.com http://www.research.checkpoint.com http://www.checkpoint.com
© 2026 Check Point Software Technologies Ltd. Todos os direitos reservados.