À medida que o desenvolvimento de software acelera graças à inteligência artificial, o cenário da segurança cibernética também muda. Modelos avançados de IA, como o Mythos, são capazes de detectar vulnerabilidades com velocidade sem precedentes, enquanto agentes autônomos, código gerado por IA, incerteza geopolítica e a redução das janelas de tempo de ataque forçam as organizações a repensar os métodos de proteção de sistemas críticos.
Estes tópicos foram centrais no painel de discussão 'Resiliência Cibernética na Era Mythos: Movimento em Velocidade Máquina em um Mundo Digital Incerto', organizado pela Rubrik e pela YourStory Media em Bengaluru em 10 de julho de 2026.
Vários especialistas de diversos setores participaram da discussão, incluindo fintech, comércio eletrônico, logística, software corporativo e educação. Entre eles estavam Ananth Nag, vice-presidente APAC da Rubrik; Aditya Chandra, vice-presidente de engenharia de plataforma da MoEngage; Anshul Sharma, diretor de engenharia da Scaler; Apoorva Gaurav, vice-presidente sênior de engenharia da Clear; Arghya Mukherjee, chefe de IA e dados da Algonomy; Chidambaran Subramanian, diretor de tecnologia da InCred Financial; Gaurav Kapatia, chefe de engenharia da Newton School e Newton School of Technology; Karthikeyan Ramasamy, diretor sênior de engenharia da Freshworks; Mohan Devarapalli, chefe de engenharia da PayU; Navin Kumar, vice-presidente de engenharia da LeadSquared; Niraj Kumar, diretor de engenharia da Shadowfax; Prabod Goel, líder global de engenharia da Postman; Rishabh Chhajer, vice-presidente de TI e cibersegurança da Allen; Utkarsh Tiwari, chefe de engenharia de segurança (tecnologias em nuvem) da Meesho; e Vikas Roy, diretor de engenharia da Vahan.ai.
Os participantes discutiram os desafios enfrentados pelas empresas à medida que a IA é integrada aos produtos e operações. Embora as preocupações abrangessem a proteção de informações de identificação pessoal (PII), a segurança do código gerado por IA, o gerenciamento de agentes de IA e a minimização de riscos na cadeia de suprimentos, uma mensagem se destacou: a prevenção sozinha não é mais suficiente.
Como as organizações usam a IA para criar e lançar software mais rapidamente, elas simultaneamente geram novas ameaças de segurança. Os participantes apontaram ataques de 'prompt injection', código gerado por IA, identificadores não humanos, dependências de terceiros e ações de agentes de IA em nome de usuários como alguns dos problemas mais sérios que as empresas devem resolver.
Mukherjee enfatizou os riscos do uso de dados de clientes no treinamento de grandes modelos de linguagem (LLMs) e a necessidade de proteger sistemas de IA agentes. Kumar falou sobre a proteção de informações confidenciais de clientes e a prevenção de vazamento de dados entre inquilinos no LeadSquared, enquanto Ramasamy destacou o problema emergente do gerenciamento de identidades de IA não humanas. Outros discutiram a crescente necessidade de limites de IA mais robustos, observabilidade e governança, à medida que a IA se torna parte das atividades diárias dos negócios.
A própria velocidade de desenvolvimento de software cria um nível adicional de complexidade. Como afirmou Sharma, 'A IA expande a superfície de ataque mais rápido do que podemos protegê-la'. Embora os participantes concordassem que a IA acelerou o desenvolvimento e os experimentos, eles também notaram que essa mesma velocidade aumenta a probabilidade de surgirem vulnerabilidades que as organizações podem não notar ou entender imediatamente.
Vários participantes sugeriram usar a IA também como parte da estratégia defensiva. Roy explicou como a Vahan.ai aplica agentes de defesa e mecanismos de detecção baseados em IA, afirmando: 'Usamos IA para combater IA'. Ele reconheceu, no entanto, que a abordagem ainda está em desenvolvimento, pois os agentes de IA são frequentemente não determinísticos, o que dificulta seu teste e proteção pelos métodos tradicionais.
A Meesho concentrou-se na segurança do código gerado por IA desde o início. Tiwari observou: 'Começamos instalando limites no próprio agente codificador para que o código que ele escreve seja seguro por padrão'. Nag pediu enfaticamente ao grupo que fosse além da prevenção e considerasse o que acontece após uma violação. Ele citou incidentes recentes com Jaguar Land Rover e Marks & Spencer, observando que mesmo grandes organizações com programas de segurança desenvolvidos podem enfrentar interrupções prolongadas. Ele argumentou que as empresas tradicionalmente investiam pesadamente em prevenção, detecção e remediação, enquanto a resiliência — a capacidade de restaurar as operações de negócios — muitas vezes recebia menos atenção.
Os participantes concordaram que a conversa está mudando, pois os ataques cibernéticos são cada vez mais vistos como um fenômeno inevitável. Em vez da pergunta 'Podemos parar qualquer ataque?', as organizações estão começando a perguntar: 'Quão rápido podemos restaurar os sistemas se o ataque for bem-sucedido?'
Ramasamy rebateu que, embora a IA traga novos riscos, as organizações devem continuar a se apoiar nos princípios de segurança estabelecidos, incluindo arquitetura em camadas, acesso baseado em identidade, privilégios mínimos e limites robustos. Ele salientou que os agentes de IA devem ter acesso apenas a ferramentas e dados autorizados em nome de usuários verificados, limitando assim o potencial dano de uma violação.
Para Chandra, a resiliência também está ligada à cultura organizacional. Ele argumentou que muitas empresas ainda veem a cibersegurança como um exercício de conformidade, e não como uma disciplina de engenharia construída sobre monitoramento contínuo, detecção comportamental de ameaças e prontidão operacional. Ele acrescentou: 'As organizações indianas culturalmente não estão prontas. Muitas empresas fazem isso apenas para aparência, para cumprir formalidades, para marcar em uma auditoria de segurança. Não percebemos a profundidade do problema.'
A discussão voltou repetidamente a uma conclusão: em um mundo governado por IA, a prevenção de ataques continua sendo fundamental, mas a resiliência adquire igual importância. À medida que o desenvolvimento de software acelera e os ciclos de ataque continuam a diminuir, as organizações precisarão se preparar não apenas para proteger seus sistemas, mas também para se recuperar rapidamente em caso de falha dessas proteções.
Um tema constante da discussão foi a diferença entre recuperação de desastres e recuperação cibernética. A resolução de interrupções operacionais é relativamente simples, pois as organizações sabem que seus sistemas de backup permanecem intactos. Os participantes observaram que os ataques cibernéticos são fundamentalmente diferentes: os invasores podem comprometer tanto os sistemas de produção quanto os backups, deixando as organizações incertas sobre quais cópias de dados podem confiar.
Explicando essa diferença, Nag disse: 'Quando somos invadidos, não é recuperação operacional. Recuperação operacional é minha cópia que eu simplesmente preciso restaurar. Recuperação cibernética é eu ter uma cópia, mas eu não sei se essa cópia está infectada. Se estiver infectada, o que precisamos para nos recuperarmos?' Ele enfatizou que a verdadeira resiliência cibernética depende não apenas da manutenção de infraestrutura duplicada. As organizações precisam de ambientes de recuperação limpos e isolados e backups verificados que possam ser restaurados com confiança após um ataque.
Um participante compartilhou um caso em que um administrador de banco de dados insatisfeito excluiu intencionalmente bancos de dados críticos. A recuperação só foi possível porque a organização manteve várias cópias isoladas de seus dados. Essa experiência, observaram os participantes, reforçou o valor de backups constantes e protegidos e estratégias de recuperação claramente definidas, capazes de resistir a ataques externos e ameaças internas.
À medida que as empresas implantam mais agentes de IA, os participantes concordaram que as organizações devem começar a tratá-los como qualquer outro identificador digital — com permissões, monitoramento e responsabilidade definidos. Ataques de 'prompt injection', agentes errantes e gerenciamento de identidade para usuários não humanos tornaram-se alguns dos maiores problemas à medida que os sistemas de IA se tornam mais autônomos. Os palestrantes discutiram a importância de limites políticos, testes adversariais, sandboxes, gerenciamento de identidade e monitoramento contínuo para garantir o funcionamento seguro dos sistemas de IA. Embora nenhum sistema de segurança possa eliminar todos os riscos, os participantes concordaram que múltiplas camadas de proteção reduzem significativamente a probabilidade de comportamento inesperado da IA.
A discussão também abordou como o código gerado por IA está mudando o próprio desenvolvimento de software. Como as equipes de engenharia lançam código mais rapidamente, os desenvolvedores estão cada vez mais implementando software que podem não entender completamente, tornando o gerenciamento, a visibilidade e a verificação contínua mais importantes do que nunca.
Ao final da discussão, os participantes concordaram que a resiliência cibernética vai muito além da tecnologia. Muitas organizações ainda veem a cibersegurança como um requisito de conformidade, e não como uma oportunidade de negócio principal. Construir resiliência exige simulações regulares de incidentes, exercícios de recuperação e simulações de mesa para garantir que as equipes possam restaurar rapidamente as operações em caso de incidente. Os participantes também enfatizaram que a resiliência deve se tornar uma prioridade no nível do conselho de administração, e não permanecer exclusivamente responsabilidade das equipes de tecnologia e segurança. Eles argumentaram que o planejamento de recuperação deve ser visto como um investimento na continuidade dos negócios, e não apenas como outra iniciativa de segurança.
Ao longo de todo o painel de discussão, uma ideia persistiu: a IA acelera o desenvolvimento de software, mas também aumenta a velocidade e a complexidade das ameaças cibernéticas. À medida que as organizações integram a IA em produtos, engenharia e operações, elas também expandem o número de sistemas, identificadores e fluxos de trabalho que precisam ser protegidos. Para muitos presentes, isso muda a própria natureza da segurança cibernética. O objetivo não é mais supor que cada ataque pode ser prevenido. Em vez disso, as organizações devem estar preparadas para detectar ataques rapidamente, restaurar dados confiáveis, restaurar as operações de negócios e minimizar interrupções quando ocorrem violações. Em um cenário de ameaças impulsionado por IA, a resiliência deixa de ser um plano B; ela se torna uma parte integrante da estratégia de segurança cibernética.