O Brasil registrou 753,8 bilhões de tentativas de ataque digital em 2025 — crescimento de 535% em malware apenas. Enquanto isso, o tempo médio para um invasor se mover lateralmente dentro de uma rede caiu para 29 minutos. No caso mais rápido registrado pelo CrowdStrike 2026 Global Threat Report, foram apenas 27 segundos. A inteligência artificial chegou à guerra cibernética — e os atacantes chegaram antes da defesa.
O Brasil é o alvo mais valioso da América Latina
O país concentra 84% dos ataques cibernéticos registrados em toda a América Latina, segundo a Fortinet. As empresas brasileiras sofrem em média 3.520 ataques por semana, avanço de 38% em relação ao ano anterior, segundo dados compilados pelo TI Inside. Ransomware, phishing sofisticado e roubo de credenciais dominam o cenário — e a IA turbinou todos os três.
O IBM 2026 X-Force Threat Index aponta que 40% dos incidentes do ano anterior tiveram exploração de vulnerabilidades como causa principal, com aumento de 44% em ataques a aplicações públicas. Mais de 300.000 credenciais de contas corporativas do ChatGPT foram expostas por infostealers — o sinal de que os próprios dados de treinamento e uso de IA viram vetor de ataque.
A IA do lado errado da trincheira
Ataques potencializados por IA cresceram 89% em volume no último ano. Grupos criminosos automatizam reconhecimento, geram credenciais falsas com precisão cirúrgica e escapam de defesas tradicionais: 82% das detecções do CrowdStrike foram classificadas como malware-free, usando credenciais válidas comprometidas. Phishing gerado por IA cresceu 1.265% — não é erro de digitação.
O dado que mais impacta times de segurança: uma vulnerabilidade que levava cerca de dois anos para ser explorada passou a ser atacada, em média, em 44 dias em 2024 e em apenas 5 dias em 2025, segundo levantamento da ViperX reportado pelo Canaltech. Isso elimina completamente o modelo tradicional de patch management baseado em ciclos mensais. Para ver como agentes de IA encurtam cada etapa do ataque, leia Como agentes de IA reduziram o tempo de ataque de dias para minutos.
Crise de talentos: o Brasil precisa de 750 mil especialistas e forma 53 mil por ano
O paradoxo é cruel: a IA amplificou a superfície de ataque e ao mesmo tempo criou uma demanda por profissionais que o mercado educacional brasileiro não consegue suprir. A Fortinet estima um déficit de 750 mil especialistas no Brasil. A Brasscom aponta que o país forma aproximadamente 53 mil profissionais de segurança por ano — frente a uma demanda de 159 mil. Vagas abertas no setor cresceram 11% só no Q1 2026.
O resultado direto: consultorias de segurança recusam clientes por falta de mão de obra. Salários de executivos de segurança em grandes corporações chegam a US$7-8 milhões anuais. E empresas sem budget para contratar talentos ficam expostas — exatamente o perfil das PMEs que compõem 99% do tecido empresarial brasileiro.
Há, porém, uma nuance. O estudo mais recente da (ISC)², com recorde de 16.029 respondentes em dezembro de 2025, pela primeira vez não divulgou um número fechado de lacuna global de profissionais. O motivo: 88% das organizações já sofreram pelo menos uma consequência de segurança significativa por falta de competências específicas, não necessariamente por falta de gente. Governança de IA, gestão de identidades de máquina e resposta a ataques agênticos são habilidades que faltam mesmo em times já contratados.
A IA defensiva como resposta — e seus limites
Equipes que adotaram IA defensiva economizaram cerca de US$1,9 milhão por incidente, segundo o levantamento da Vantico. O modelo CTEM (Continuous Threat Exposure Management) — que usa IA para simular ataques continuamente em vez de realizar pentests pontuais — está sendo adotado por empresas que precisam cobrir a escassez de analistas com automação. Red teaming com IA complementa a abordagem.
A IA defensiva também já produz resultados concretos. Pesquisadores da empresa de segurança Calif usaram o Claude Mythos, modelo da Anthropic voltado a cibersegurança, para encontrar em 5 dias uma cadeia de duas falhas no macOS capaz de contornar o Memory Integrity Enforcement dos chips Apple mais recentes, segundo o MacMagazine. Ainda assim, o diretor da empresa foi direto: a IA “auxiliou, mas não substituiu” o conhecimento humano especializado. A Anthropic restringiu o acesso ao Mythos a um grupo pequeno de parceiras, como Apple, Amazon, Microsoft e Cisco, no programa “Project Glasswing”, para dar vantagem inicial aos times de defesa, também segundo o MacMagazine.
Mas 63% das empresas ainda não possuem políticas de governança para o uso de IA internamente — o que cria um risco paradoxal: a ferramenta usada para defender pode se tornar vetor de ataque se mal gerida. A Estratégia Nacional de Cibersegurança (E-Ciber), sancionada recentemente no Brasil, é um passo na direção certa, mas a regulação nunca acompanha o ritmo da exploração.
O que times de engenharia precisam fazer agora
- Revisar o ciclo de patch management: janelas mensais não existem mais. O SLA de mitigação precisa cair para 24-72 horas em vulnerabilidades críticas.
- Implementar MFA resistente a phishing: credenciais válidas comprometidas são a principal porta de entrada — autenticação baseada em token físico ou passkey elimina 82% desse vetor.
- Adotar monitoramento comportamental com IA: detecção baseada em assinatura falha contra malware-free. Ferramentas de análise comportamental (EDR/XDR com IA) são o novo baseline.
- Mapear o risco de IA no próprio stack: se sua empresa usa LLMs internamente, as credenciais de API e os dados de contexto viraram superfície de ataque.
- Aplicar Zero Trust também a identidades de máquina e agentes de IA: a CyberArk estima que já existem até 82 identidades de máquina para cada identidade humana nas empresas, segundo coluna publicada no Canaltech.
- Dar a cada agente de IA só o escopo mínimo de que ele precisa (princípio de “least agency”): o risco número um do OWASP Top 10 para Aplicações Agênticas é o “Agent Goal Hijacking”, o sequestro do objetivo de um agente.
Conclusão
A IA não tornou a cibersegurança mais complicada — ela tornou o custo de errar muito mais alto. Um breakout de 29 minutos não deixa margem para processos lentos, ferramentas desatualizadas ou equipes subdimensionadas. Para empresas de tecnologia que desenvolvem software para terceiros, o risco reputacional de uma violação causada por negligência na segurança da cadeia de suprimentos é existencial. A pergunta não é mais “se” sua infraestrutura será atacada com IA — é se sua defesa usa IA na mesma velocidade que o ataque.