Um relatório do setor mostra que o uso de sistemas generativos nas empresas abriu uma nova frente de risco digital. As organizações avançam com agentes autônomos, serviços em nuvem e pacotes de software especializados, mas a segurança não cresce no mesmo compasso, e a exposição aumenta. O número que mais chama atenção no estudo é direto: 99,9% das vulnerabilidades corrigíveis nesses ambientes seguem sem patch. É uma falha séria de higiene de segurança em plataformas que já estão em produção e, em muitos casos, conectadas a dados sensíveis e processos críticos.
O chamado “gap de patch” também está se alargando. Em média, de acordo com o relatório, esses sistemas conseguem identificar cerca de 25 vulnerabilidades confirmadas por dia, mas os times de desenvolvimento corrigem só 1,5 no mesmo intervalo. E, mesmo quando a correção já existe, aplicar o patch por completo ainda pode levar de 3 a 5 meses. Esse desencaixe ajuda a entender por que a adoção acelerada virou um problema de segurança operacional. A infraestrutura avança, sobretudo na nuvem; as integrações com agentes se multiplicam; novos apps internos entram em cena. A capacidade das empresas de manter visibilidade, priorização e resposta, não.
Mais da metade das organizações já colocou agentes autônomos em operação. Uma parcela parecida também usa esses agentes para desenvolver aplicações sob medida, ainda segundo o relatório do setor.
A questão é que muitos desses projetos continuam nascendo com erros básicos: falta de criptografia, permissões abertas demais e controles de acesso mal definidos. O próprio relatório aponta isso.
No fundo, a ameaça maior não parece ser um tipo inteiramente novo de ataque. O que se vê é a amplificação de fraquezas antigas. Configurações ruins, inventário incompleto, atraso nas atualizações e privilégios em excesso seguem como a porta de entrada mais comum, só que agora em outra escala e numa velocidade muito maior. Do outro lado, grupos maliciosos já recorrem a ferramentas automatizadas para acelerar campanhas de phishing, criar malwares adaptáveis e explorar falhas mais depressa. Uma projeção do setor fala em 28 milhões de incidentes cibernéticos impulsionados por esse tipo de tecnologia em 2025, um salto de 72% sobre o ano anterior. Isso pesa ainda mais sobre empresas que não consolidaram visibilidade sobre os próprios ativos nem automatizaram prevenção e resposta. Sem esse básico, o tempo entre a descoberta da falha e a exploração tende a ficar cada vez menor.
A reação começou a tomar forma. Anthropic, Amazon Web Services (AWS), IBM e Microsoft, por exemplo, se juntaram na coalizão Akrites para identificar e corrigir falhas em software de código aberto. Ao mesmo tempo, órgãos dos Estados Unidos, como o Departamento do Tesouro e a Cybersecurity and Infrastructure Security Agency (CISA), vêm publicando orientações de segurança para esse cenário novo.
Mesmo assim, a visão global do risco ainda está longe de completa. Regiões como África, América Latina e Sudeste Asiático podem estar subnotificadas, diz o relatório, apesar da adoção acelerada e de defesas mais frágeis. O mesmo vale para setores críticos, como energia, água e transporte, além de pequenas e médias empresas, onde a exposição pode ser alta, mas aparece menos. No fim das contas, o recado para o mercado é simples e duro: adotar a nova tecnologia, por si só, não resolve nada. Sem correção rápida, privilégios mínimos, criptografia e monitoramento contínuo, a inovação vira só mais uma porta aberta para ataques.
