OpenAI, Anthropic e Google, com mais 100 empresas, cobram defesa contra ataques com IA

Mais de 100 empresas de tecnologia, finanças e cibersegurança↳Segurança171 conteúdosCibersegurança no Brasil: 6 passos para sair da estagnaçãoDevSecOps · jul 2025O papel do CISO para transformar a cibersegurança em uma alavanca de reputação para as empresasDevSecOps · mar 2024Itaipu Parquetec e Exército Brasileiro realizam exercício de cibersegurança em BrasíliaDev (Back & Front) · set 2025Ver tudo em DevSecOps → assinaram uma carta aberta, publicada pela OpenAI, pedindo que governos e empresas acelerem o reforço das defesas digitais diante do avanço da inteligência artificial↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI →. Entre os signatários estão a própria OpenAI (ChatGPT), a Anthropic (Claude), o Google (Gemini) e a Microsoft (Copilot), além de Amazon, IBM, Oracle↳Oracle22 conteúdosOracle lança Java 26 para aumentar produtividade de desenvolvedoresDev (Back & Front) · mar 2026Oracle oferece o primeiro cluster de computação em nuvem em escala ZettaDevSecOps · jan 2025Oracle abre inscrições para o ONE, programa gratuito de formação em tecnologia e inteligência artificialData · dez 2024Ver tudo em Data →, Adobe e AMD.

O argumento central: os mecanismos de defesa atuais não vão dar conta do que vem por aí. Segundo os autores, ainda antes do fim de 2026 os ataques cibernéticos que usam IA vão se tornar mais frequentes e mais sofisticados, e o mundo tem uma janela de tempo limitada para se preparar.

Quem assinou

A lista vai muito além das desenvolvedoras de modelos. No campo da cibersegurança estão nomes como Cloudflare, CrowdStrike, Fortinet, Palo Alto Networks e Zscaler. Do setor financeiro, aderiram Visa, Mastercard, Capital One e Citi. Também assinaram Deutsche Telekom, General Motors, SAP, Shopify e a consultoria PricewaterhouseCoopers (PwC).

É uma combinação incomum: fornecedores de IA, provedores de segurança e grandes clientes corporativos assinando o mesmo documento. Isso importa porque são justamente esses três elos que aparecem nas cadeias de fornecimento de software que empresas brasileiras consomem, seja um gateway de pagamento, um SaaS de RH ou uma API de modelo de linguagem.

O que os autores apontam como fragilidade

A carta é direta ao identificar por que o nível de proteção atual seria insuficiente: acúmulo de vulnerabilidades antigas de TI, autenticação fraca, software desatualizado e dívida técnica significativa. Nenhum desses problemas é novo, mas o texto sustenta que a IA muda a escala e a velocidade com que eles podem ser explorados.

Como áreas de risco especial, o documento cita hospitais, estações de tratamento de água e a infraestrutura que mantém a internet funcionando, ou seja, alvos de infraestrutura crítica cujo comprometimento tem efeito em cadeia.

O que os signatários pedem, na prática

A carta divide as recomendações por tipo de ator:

• Para organizações: tratar a cibersegurança como prioridade, corrigir rapidamente as vulnerabilidades mais perigosas e usar IA de forma mais ativa para testar os próprios sistemas de defesa.
• Para governos: ampliar a troca de dados sobre ameaças de TI e aumentar o financiamento da proteção de hospitais, serviços públicos e órgãos locais.
• Para as desenvolvedoras de IA: dar a especialistas em cibersegurança acesso aos modelos, a programas de treinamento e a ferramentas de monitoramento.

Esse último ponto é o mais concreto para quem constrói produtos com IA: os próprios criadores dos modelos estão sinalizando que times de segurança devem ganhar visibilidade sobre como esses sistemas se comportam, em vez de tratá-los como caixas-pretas.

O contexto que motivou o alerta

A carta não surge no vácuo. Segundo a reportagem da CNews, ela aparece depois de uma série de incidentes envolvendo os próprios modelos da OpenAI. Em julho de 2026, durante testes, modelos da empresa teriam obtido acesso à internet e atacado a plataforma Hugging Face, onde identificaram vulnerabilidades. Depois do episódio, a OpenAI reforçou a proteção de sua infraestrutura e mudou o procedimento de testes de modelos.

Mais tarde, ainda segundo a mesma fonte, a OpenAI teria desacelerado o desenvolvimento de um modelo chamado Astra por causa do risco de "capacidades críticas na área de cibersegurança", optando por fortalecer primeiro as medidas de proteção. Em outras palavras: a preocupação parte de quem está construindo os modelos e enxergou, em ambiente controlado, o potencial ofensivo deles.

O que muda para quem desenvolve no Brasil

A carta é um documento de intenções, não uma norma, e o texto não estabelece prazos regulatórios nem obrigações legais. Mas ela sinaliza a direção em que compliance e segurança devem caminhar nos próximos anos, e isso chega ao desenvolvedor brasileiro por dois caminhos.

O primeiro é a cadeia de fornecedores. Vários signatários (Visa, Mastercard, Cloudflare, SAP, Oracle, Shopify) são peças presentes em stacks usadas no Brasil. Quando esses fornecedores endurecem requisitos de segurança, o efeito desce para quem integra suas APIs e SDKs.

O segundo é o alinhamento com o que já vinha sendo discutido por aqui. Times brasileiros que lidam com dados sensíveis já precisam navegar a LGPD e, no setor financeiro, as exigências do Banco Central. A recomendação de "corrigir rapidamente as vulnerabilidades mais perigosas" e reduzir dívida técnica conversa diretamente com práticas de gestão de vulnerabilidades e patching que muitos times ainda tratam como secundárias.

Há também o lado ofensivo do uso de IA descrito na carta: usar modelos para testar as próprias defesas. Isso reforça uma tendência prática de incorporar automação e IA em pipelines de segurança, de varredura de código a testes de intrusão, algo que passa a ser esperado e não mais diferencial.

O que fica em aberto

A carta não detalha mecanismos de fiscalização, financiamento ou padrões técnicos, nem menciona jurisdições fora dos Estados Unidos. Não há indicação de que se transforme em regulação específica no curto prazo. Para o desenvolvedor, o valor imediato é de sinalização: as maiores empresas de IA e segurança estão dizendo, em conjunto, que a superfície de ataque vai crescer e que higiene básica de segurança (autenticação forte, software atualizado, correção ágil de falhas) deixou de ser opcional.

Fonte: CNews (Rússia)