Resumo:
A ameaça dos hackers de IA não está apenas a levar as empresas a aumentar significativamente os seus orçamentos globais de cibersegurança, mas também a mudar a direção do investimento de fundos. Os executivos de segurança dizem que os grandes compradores empresariais aumentaram significativamente os seus orçamentos para a implantação de sistemas para monitorar o uso de ferramentas de IA pelos funcionários, empregando modelos de IA para encontrar vulnerabilidades antes que os hackers o fizessem e usando ferramentas de IA para acelerar a correção de vulnerabilidades.
Mas nem todos os produtos de segurança cibernética são beneficiados. Vários executivos disseram que as empresas também estão cortando gastos com software tradicional de gerenciamento de vulnerabilidades, ferramentas de coleta de logs e serviços de testes de penetração para economizar custos. Os testes de penetração envolvem a contratação de “hackers de chapéu branco” para procurar ativamente falhas de segurança do sistema. Isto colocará pressão sobre os negócios de software tradicionais da Cisco, SentinelOne, Rapid7 e outros fornecedores, que demitiram funcionários este ano e transferiram recursos para uma nova geração de produtos de segurança de IA.
Bret Wentworth, vice-presidente e vice-diretor de segurança da Lumen Technologies, disse que a empresa de telecomunicações aumentará seu orçamento de segurança cibernética em cerca de 30% no próximo ano. Novos investimentos incluem novos modelos de IA para verificação de vulnerabilidades, como o Anthropic Claude Mythos, ferramentas de verificação de IA de fornecedores estabelecidos como Palo Alto Networks e startups como Zafran Security, e sistemas de segurança para monitorar e proteger aplicativos de IA usados pelos funcionários.
Ele disse que os executivos da empresa perceberam a urgência de lidar com as ameaças à segurança da IA.
“Estou no setor de segurança há muitos anos e passei por ciclos de expansão e queda no setor”, disse Wentworth. “No passado, sempre estivemos sob pressão para cortar custos... mas agora a direção do vento mudou drasticamente.”
Quando a Anthropic lançou o modelo Mythos em abril, muitos gerentes de negócios perceberam que o pensamento de segurança precisava ser reformulado. As autoridades alertaram na altura que este modelo de IA de ponta poderia até invadir autonomamente intranets corporativas complexas. Posteriormente, foi revelado que agentes fora de controle da OpenAI lançaram ataques coordenados aos próprios sistemas e plataformas corporativas da OpenAI, como o Hugging Face, e as preocupações relacionadas continuaram a aumentar.
O próprio Head AI Lab também está se tornando um concorrente no segmento de soluções de segurança. Quando a OpenAI lançou o GPT‑6 Astra esta semana, concentrou-se em promover a capacidade do modelo de ajudar os defensores a descobrir e corrigir falhas de segurança de rede. A empresa também contratou recentemente novos executivos para fortalecer as capacidades de segurança de rede e substituir o diretor de receitas original.
Wentworth disse que após o lançamento do Mythos, a Lumen destacou vários funcionários de segurança de rede para formar uma nova equipe dedicada ao uso de grandes modelos de ponta para verificar vulnerabilidades. Ao mesmo tempo, o programa de recompensas de bugs da empresa recebe um grande número de vulnerabilidades enviadas por pesquisadores externos, muitos dos quais usam IA para explorá-las.
Wentworth disse que o Mythos e outros modelos de ponta "estão realmente mudando o cenário de onde os orçamentos de segurança são gastos".
Essa preocupação com a segurança abriu espaço de mercado para startups emergentes de segurança cibernética, que se concentram em produtos especializados para lidar com novas ameaças cibernéticas que não existiam há apenas alguns anos.
Jeremiah Kong, diretor de segurança da informação da empresa de tecnologia de publicidade móvel AppLovin, disse que a empresa negociou descontos na compra de ferramentas de segurança de IA com diversas startups de segurança em estágio inicial. Isso ajudou a controlar os aumentos no orçamento anual de software de segurança de quase um milhão de dólares, que aumentou cerca de 10% este ano.
Por exemplo, sua equipe se inscreveu para adquirir os produtos Pluto Security e Fig Security: Pluto depende de agentes de IA para monitorar o comportamento de funcionários internos usando IA; A Fig Security usa IA para identificar vulnerabilidades potenciais e fornecer planos de reparo. As duas empresas só encerraram suas operações furtivas este ano. AppLovin também usa software da Endor Labs para escanear códigos escritos por engenheiros em busca de vulnerabilidades potenciais.
“Os vetores de ataque são reconstruídos iterativamente o tempo todo e devemos estar sempre em alerta máximo”, disse Kong.
Kong apresentou que AppLovin usa produtos CrowdStrike e SentinelOne para gerenciar a segurança de endpoint, ou seja, a proteção de segurança de dispositivos e aplicativos usados pelos funcionários. Mas ele está reavaliando esse orçamento à medida que novas tecnologias de IA, como Plutão, podem identificar melhor os funcionários que enviam dados para ferramentas de IA, como chatbots. Ele comentou que o desempenho de produtos de segurança de IA semelhantes da CrowdStrike e SentinelOne “não era ideal”.
Um porta-voz da CrowdStrike respondeu em um comunicado: "A decisão de um cliente de não comprar um determinado módulo sem teste não significa que ele tenha sido substituído por um produto concorrente, especialmente se o cliente continuar a usar a plataforma CrowdStrike. Nos três trimestres após o lançamento da solução de detecção e resposta de IA da CrowdStrike, a escala aumentou mais de 79 vezes, o que é suficiente para provar a forte demanda do cliente e a rápida implementação."
Um porta-voz da SentinelOne disse que a segurança de IA é o segmento de negócios da empresa que mais cresce, e novas receitas vêm de novos clientes e da expansão de grandes plataformas de clientes existentes. O porta-voz mencionou que a empresa divulgou no mês passado que a receita anual recorrente de produtos de segurança de IA triplicou ano a ano no segundo trimestre.
Os fornecedores de segurança de rede dizem que a demanda da indústria explodiu após o lançamento do Mythos. Sanaz Yashar, CEO da start-up israelense Zafran, disse que as negociações contratuais com grandes empresas geralmente levam meses; mas cinco semanas após o lançamento do Mythos, Zafran recebeu novos pedidos de três grandes bancos.
“Nunca vi nada assim e isso muda completamente os hábitos de compra dos clientes.” Yashar disse.
Os fornecedores de segurança tradicionais estão sob impacto
Os executivos de segurança disseram que surgiu um grande número de novas ferramentas de verificação de vulnerabilidades baseadas em grandes modelos de linguagem, representando uma ameaça competitiva aos produtos tradicionais de fornecedores de segurança estabelecidos, como Qualys, Tenable e Rapid7. Esses produtos nasceram antes da popularidade dos modelos grandes.
Jon Raper, ex-CISO da Chevron e Costco que agora é consultor de segurança empresarial, disse: "Os scanners tradicionais nunca encontraram um desafio disruptivo desde seu advento em meados da década de 1990. Eles apenas agregam uma grande quantidade de informações, carecem de contexto e muitas das informações são de baixo valor". Ele prevê que os scanners tradicionais “eventualmente serão substituídos por grandes ferramentas de digitalização orientadas por modelos”.
“Por que eu gastaria US$ 2 milhões em um produto de fornecedor tradicional quando agora posso usar um agente para testes de penetração?”
Doug Kersten, diretor de segurança da informação da empresa de software Appfire, que o Google adquiriu este ano por US$ 32 bilhões, disse que a empresa está usando um novo “agente da equipe vermelha” da Wiz. Wiz depende de grandes modelos do Google, Anthropic e OpenAI para encontrar vulnerabilidades.
Kesten disse que, impulsionado por essas ferramentas e outros softwares de segurança de IA, o orçamento total de segurança cibernética da empresa aumentará em até 20% no próximo ano, mas reduzirá sua dependência de "ferramentas tradicionais de verificação de código" no futuro.
O co-CEO da Tenable, Steve Wentz, discorda que as ferramentas de IA irão subverter seu próprio software de verificação de vulnerabilidades. A Tenable é membro do programa de acesso antecipado de segurança cibernética da Anthropic e OpenAI e vende software de segurança que recomenda correções com base em ambos os modelos. Depois que o Mythos foi lançado, os períodos dos contratos foram encurtados e a demanda continuou a aumentar, disse Wentz.
"Há muito barulho no mercado de segurança e somente os dados podem dizer a verdade." Ele citou o crescimento estável da receita da empresa nos últimos trimestres e o aumento do preço das ações este ano. "O grande modelo de ponta traz mais riscos, e não menos, o que nos traz enormes benefícios."
Os porta-vozes da Qualys e Rapid7 não responderam aos pedidos de entrevistas. Em agosto, a Qualys divulgou um crescimento de receita de 11% no segundo trimestre e previu uma desaceleração no crescimento neste trimestre. No entanto, também afirmou que face ao novo ambiente de ameaças trazido pela Mythos, os clientes têm uma forte procura por uma nova geração de produtos baseados em IA.
O CEO da Rapid7, Wael Mohammed, relatou um ligeiro declínio na receita ao divulgar os resultados em agosto. A empresa concluiu uma reorganização administrativa para focar em produtos de IA e cortou 12% de sua força de trabalho. Muhammad disse que os clientes estão cortando gastos não por causa da sensibilidade aos preços, mas porque "as empresas devem completar a transformação para o mundo das máquinas inteligentes e da IA. Esta é a prioridade número um para os clientes".
Os gerentes de segurança investem antecipadamente enquanto buscam redução de custos a longo prazo
CISOs de várias empresas geralmente declararam que estão aumentando seu “orçamento de palavras” e comprando grandes modelos da Anthropic, OpenAI e outros fabricantes para verificação de sistema; no entanto, os executivos estão optimistas quanto à possibilidade de controlar os custos a longo prazo.
Por exemplo, Gil Vega, CISO do fornecedor de backup de dados Veeam, conectou-se ao modelo Mythos por meio do projeto Glasswing da Anthropic. Ele disse que os gastos da empresa nessa direção aumentaram, mas a Veeam está protegendo os gastos da Mythos contra outros modelos, reduzindo as compras de testes de penetração de terceiros.
Jeremiah Kong também depende de modelos de IA para verificar os sistemas de TI do AppLovin e sinalizar possíveis vulnerabilidades. Os testes do Mythos eram caros, então o AppLovin mudou para os modelos mais econômicos da Anthropic, como o Claude Opus 4.7. Kong disse que a equipe realiza varreduras semanais usando tokens Antrópicos, que normalmente custam algumas centenas de dólares.
Mesmo os grandes fornecedores de segurança que usam intensamente o Mythos e modelos de ponta acreditam que os custos cairão no futuro. Sam Rubin, vice-presidente sênior da Palo Alto Networks, disse que a empresa consumiu mais de US$ 1 milhão em tokens Mythos durante a fase de testes em maio. Mas no mês passado, Rubin disse que o uso do Mythos deveria se estabilizar no futuro.
“Observamos em nosso ambiente interno que a carga de trabalho inicial do uso de modelos de IA para encontrar e corrigir vulnerabilidades é enorme”, Rubin se recusou a comentar diretamente se Palo Alto espera que os custos da Mythos caiam, mas disse “com o tempo, a carga de trabalho diminuiu constantemente e passou para a fase normal de operação e manutenção”.
“Mas atualmente em nosso ambiente ainda há um grande número de vulnerabilidades que precisam ser corrigidas”, continuou Rubin. “O equilíbrio entre ataque e defesa foi quebrado, os invasores ganharam vantagens assimétricas e toda a indústria precisa se atualizar.”
Comentários