João Miguel Mesquita
A inteligência artificial já não está apenas a chegar aos centros de operações de segurança para ajudar a resumir alertas ou acelerar pesquisas. Está a aproximar-se de uma função mais delicada: decidir quais os riscos que são realmente exploráveis, investigar possíveis caminhos de ataque e ajudar a determinar que proteção deve ser aplicada.
É esta a mudança mais relevante na integração dos modelos Daybreak da OpenAI na plataforma de segurança da Check Point. Os modelos passam a trabalhar em conjunto com inteligência de ameaças, contexto operacional e mecanismos de aplicação de políticas para transformar grandes quantidades de informação numa avaliação mais concreta do risco.
Para uma equipa de segurança, o problema raramente é a falta de dados. É precisamente o contrário. Alertas, vulnerabilidades, eventos de correio eletrónico, endpoints, dispositivos móveis e navegadores geram informação suficiente para tornar difícil perceber rapidamente o que exige intervenção. A promessa desta abordagem está em utilizar modelos capazes de raciocinar sobre esse contexto para reduzir o ruído e concentrar a atenção no que apresenta uma possibilidade real de exploração.
Essa diferença entre uma vulnerabilidade teoricamente possível e um caminho de ataque efetivamente utilizável pode tornar-se particularmente importante. A Check Point está a testar os modelos da OpenAI num sistema constituído por vários agentes para validar exposições, reconstruir possíveis caminhos de ataque e dar prioridade aos riscos considerados comprovados.
A mesma lógica surge na gestão das redes. Em vez de obrigar as equipas a configurar manualmente cada política, a abordagem Keystone procura permitir que seja definido o resultado de segurança pretendido, deixando ao sistema a análise do ambiente, das vulnerabilidades e dos controlos que deverão ser adaptados. É uma passagem gradual da administração manual para uma segurança orientada por objetivos, na qual a IA começa a participar na forma como esses objetivos são concretizados.
No posto de trabalho, o raciocínio dos modelos é aplicado à correlação de telemetria proveniente de diferentes fontes. O objetivo é transformar filas extensas de alertas num número mais reduzido de incidentes já investigados, acrescentando análise sobre malware, técnicas de ataque, utilização abusiva de credenciais, gravidade e possíveis medidas de correção.
Também na investigação de vulnerabilidades existe uma mudança relevante. A tecnologia NexPloit procura utilizar informação sobre código vulnerável e respetivas correções para identificar caminhos realistas de exploração e produzir resultados verificados, sem depender exclusivamente da existência pública de código de ataque. A utilização dos modelos da OpenAI pretende acelerar esse processo e aproximar a criação de proteção do momento em que uma nova vulnerabilidade é divulgada.
Mais autonomia exige mais controlo
A dimensão mais interessante desta evolução talvez não esteja, contudo, na velocidade. Está no equilíbrio entre autonomia e controlo.
Os sistemas de inteligência artificial começam a deixar de ser ferramentas que apenas recomendam uma decisão para se aproximarem de sistemas capazes de executar partes do processo operacional. Isso altera a natureza do risco. Quanto maior for a capacidade de um modelo para investigar, escolher ou agir, maior será a necessidade de definir antecipadamente os seus limites.
A abordagem descrita pela Check Point procura responder precisamente a esse problema. A informação acessível ao modelo é delimitada, as ações que pode executar são restringidas e os resultados são testados antes de a IA receber novas responsabilidades dentro dos processos de segurança. Não se trata, portanto, de entregar autonomamente a infraestrutura a um modelo, mas de alargar progressivamente o seu campo de intervenção.
Essa prudência é particularmente relevante porque nem todas as capacidades anunciadas se encontram no mesmo grau de maturidade. Algumas estão já em produção, enquanto outras continuam em desenvolvimento ou em testes com parceiros. A integração deverá, por isso, avançar por fases à medida que os resultados forem sendo verificados.
A colaboração entre as duas empresas acaba por revelar duas faces do mesmo problema. Por um lado, utilizar modelos de inteligência artificial mais avançados para defender organizações. Por outro, criar mecanismos que permitam utilizar a própria inteligência artificial de forma controlada.
É nesta intersecção que começa a surgir uma transformação mais profunda para CIOs e responsáveis de cibersegurança. Se a IA passar progressivamente de analisar informação para escrever código, operar agentes empresariais e executar ações, a segurança terá de evoluir ao mesmo ritmo. A questão deixa então de ser apenas saber se a inteligência artificial consegue melhorar a defesa. Passa a ser determinar até onde pode participar nela sem que as organizações percam a capacidade de compreender, validar e controlar as decisões que estão a ser tomadas.
