ByteDance restringe acesso ao Claude e Codex, limitando o uso de ferramentas de IA externas por funcionários

Apesar das crescentes discussões sobre inteligência artificial (IA) no local de trabalho moderno, a maioria das instituições financeiras utiliza essa tecnologia significativamente menos do que as empresas em setores de negócios mais amplos.

De acordo com uma pesquisa realizada pela Kaspersky, uma empresa global de cibersegurança e privacidade digital, apenas 23% das empresas bancárias, financeiras e de seguros (BFSI) aplicam IA para programação de software. Este número está significativamente abaixo da média geral do setor, que é de 34%, representando um atraso de 11 pontos percentuais.

Essa lacuna mostra que, embora grandes provedores de tecnologia promovam ativamente assistentes de codificação generativos, como Cursor e GitHub Copilot, as instituições financeiras demonstram muito mais cautela, e isso tem uma base séria.

Os riscos operacionais no setor financeiro são muito maiores do que muitos fora deste campo podem avaliar. Uma única falha no software implantado em pipelines de transações de alta frequência ou em livros contábeis principais pode desencadear falhas catastróficas do sistema, erros graves no cálculo de capital ou violações críticas de requisitos regulatórios.

As dúvidas técnicas são agravadas por um problema de gestão generalizado: 37% dos executivos de BFSI que participaram da pesquisa indicam que os funcionários usam ferramentas não autorizadas — incluindo modelos públicos como ChatGPT ou DeepSeek — como um risco frequente e persistente. Esta porcentagem excede significativamente o nível médio global do setor, que é de 30%.

Na prática, isso significa que um engenheiro ou analista pode recorrer a uma plataforma de IA externa e não autorizada fora da arquitetura controlada da empresa, criando instantaneamente sérios riscos de privacidade e divulgação de dados financeiros sensíveis ou proprietários dos clientes. Tal uso não autorizado efetivamente contorna barreiras de proteção reforçadas, tornando os controles de perímetro formais e os protocolos de conformidade obsoletos.

Enquanto isso, enquanto o discurso do setor permanece fortemente focado na automação de tarefas de codificação obsoletas e na redução de custos rotineiros, Paul Banting, cofundador da growthguru.ai, alerta que a mera eficiência operacional não é suficiente para ser o principal objetivo da empresa.

Banting explicou: «Cerca de 79% dos executivos esperam que a IA garanta um crescimento significativo da receita até 2030, aumentando de 40% atuais. No entanto, apenas 24% têm uma ideia clara de onde virá esse lucro futuro. O verdadeiro objetivo deve ser implementar a IA para identificar lacunas comerciais urgentes e capturar oportunidades de mercado de alto valor antes que os concorrentes o façam».

Usuários têm relatado que o assistente de inteligência artificial Claude começou a interromper tarefas relacionadas à engenharia reversa de softwares e firmwares. As queixas estão concentradas no Claude Opus 5.5, versão lançada em setembro com melhorias nas capacidades de programação, e abrangem análises de jogos e tentativas de alterar sistemas de smart TVs.

Essas reclamações ganharam destaque após serem postadas no Reddit, indicando que o modelo pode iniciar uma atividade e pará-la no meio da resposta assim que aciona uma verificação de segurança. A Anthropic ainda não confirmou qualquer alteração direcionada a este tipo de uso.

A engenharia reversa consiste na capacidade de inspecionar um programa para compreender seu funcionamento, mesmo sem ter acesso ao código-fonte original. Essa metodologia é empregada em investigações de segurança, testes de compatibilidade e criação de modificações.

Alguns dos relatos envolvem o REA (Reverse Engineer Anything), um projeto de código aberto que integra agentes de IA a ferramentas de análise, automatizando passos que normalmente demandariam conhecimento técnico e esforço manual. O interesse por essa técnica também aumentou devido a projetos que utilizam IA para recompilar jogos para rodarem em diferentes plataformas, inclusive navegadores.

Um exemplo detalhado foi apresentado pelo Decrypt. Um usuário solicitou ao Claude Code que implementasse uma interface alternativa em uma TV LG com sistema operacional webOS. Durante o processo, o usuário encontrou uma barreira de segurança imposta pelo Opus 5.5. O assistente sugeriu mudar para o Opus 4.8, mas este modelo anterior também parou etapas do procedimento.

Este incidente não prova que a engenharia reversa de TVs esteja totalmente bloqueada, mas sim que os filtros de segurança podem interferir em certas tarefas técnicas. A Anthropic já havia fortalecido suas proteções de cibersegurança no lançamento do Claude Opus 5.5. Em seu comunicado oficial, a companhia assegura que atividades de desenvolvimento e correção de código permanecem permitidas, e até o momento, não há provas de que a Anthropic tenha proibido formalmente toda a prática.

A inteligência artificial revela a extrema fragilidade da infraestrutura web. Embora as vulnerabilidades existissem há mais de dez anos, os pesquisadores conseguiram entender como os hackers podem explorá-las com a ajuda da IA.

Uma vulnerabilidade chamada P2PShell afeta o código linguístico que sustenta setenta por cento dos sites mundiais. Essa falha permite que invasores executem código remotamente ou acessem dados armazenados em servidores. Como resultado, os sites foram forçados a atualizar seus sistemas urgentemente, e na semana passada, alguns sites governamentais na Europa ficaram temporariamente fora do ar até que os patches fossem instalados.

Esta descoberta reforça novamente a vulnerabilidade da infraestrutura da internet. Visto que a IA potencializa as capacidades tanto dos pesquisadores quanto dos invasores na detecção de falhas, descobertas semelhantes provavelmente continuarão.

Patrick Fussell, líder global de simulação de adversários na IBM, observou que uma parte significativa da internet e da infraestrutura global de TI opera com tecnologias bastante antigas ou baseada em hardware de computador muito antigo, que provavelmente possui vulnerabilidades semelhantes.

Na presença de uma vulnerabilidade como a P2PShell, os usuários têm recursos limitados de autodefesa. A responsabilidade pela atualização dos serviços com os últimos patches de segurança recai sobre as organizações, empresas e governos.

No entanto, isso enfatiza a necessidade de uma abordagem sensata aos hábitos digitais. O antigo conselho de proteger senhas e estar atento a e-mails suspeitos torna-se ainda mais importante, pois os hackers estão obtendo ferramentas cada vez mais sofisticadas e usando a IA para encontrar fraquezas na internet.

Não se deve ignorar notificações de software em notebooks ou telefones, pois muitas atualizações contêm correções de segurança críticas, e sua instalação o mais rápido possível reduz o tempo que os hackers podem usar para explorar erros.

Gang Wang, professor assistente de ciência da computação na Universidade de Illinois, afirmou que os usuários ainda precisam fazer a sua parte, instalando atualizações e mantendo uma boa higiene de segurança para estarem em uma posição ligeiramente melhor.

A maioria dos smartphones modernos suporta atualizações de software por cerca de sete anos após o lançamento. Se você tem um telefone antigo, deve verificar sua compatibilidade com as novas versões do software. As informações de compatibilidade podem ser encontradas nos sites da Apple, Google e Samsung.

É importante prestar atenção aos endereços URL dos sites visitados e dos links clicados, especialmente se o link foi recebido por e-mail ou mensagem, supostamente de seu banco ou instituição de crédito. Nunca forneça dados pessoais, endereços de e-mail, senhas, informações bancárias ou números de cartão de crédito se não tiver certeza da legitimidade do site.

A IA permitiu que os invasores criassem ataques de phishing complexos, mais difíceis de detectar e que podem não apresentar sinais óbvios de fraude. Anteriormente, Jude Dressler, chefe do centro de riscos operacionais na empresa de seguros cibernéticos Resilience, disse à CNN que a maneira tradicional de identificar um ataque de phishing era que 'algo parecia errado. Ele usava linguagem incorreta. Havia erros de ortografia, erros gramaticais'. No entanto, segundo ele, 'a IA fará tudo isso'.

Dressler acrescentou que a IA também pode ajudar os atacantes a realizar pesquisas mais profundas de potenciais alvos para criar mensagens mais personalizadas e convincentes. A melhor maneira de evitar golpes de phishing é acessar sua conta ou ligar para a empresa ou pessoa de quem você recebeu a mensagem suspeita, em vez de clicar nos links.

Também se deve lembrar que pequenas empresas podem atualizar seus sistemas mais lentamente do que grandes corporações, no caso de um ataque ou vazamento de dados.

Nunca reutilize senhas. Em vez disso, tente usar um gerenciador de senhas que gere senhas longas e exclusivas para todas as suas contas online. Simplificando, os computadores são melhores que os humanos na criação de senhas difíceis de adivinhar.

Rachel Toback, CEO da SocialProof Security, empresa de cibersegurança e treinamento, relatou em um podcast da CNN Terms of Service com Claire Duffy em 2024: 'Sabemos que as pessoas, ao tomar decisões, tendem a tomar as mesmas decisões que outras pessoas. Então, você sabe, elas criam uma senha para o trabalho delas. Ela tem o nome do trabalho. Na primeira posição há uma letra maiúscula para satisfazer o requisito de letra maiúscula.'

Toback recomendou gerenciadores de senhas como Bitwarden, 1Password e Dashlane. O mais importante a ser observado é a presença de criptografia no gerenciador de senhas, que mantém suas senhas em um formato seguro e ilegível para hackers.

Use chaves de acesso em vez de senhas: Chaves de acesso são credenciais digitais que permitem acessar serviços online usando impressão digital, reconhecimento facial ou PIN em vez de uma senha digitada. Considera-se que as chaves de acesso são geralmente mais seguras do que as senhas, pois estão vinculadas a dados biométricos armazenados em seu dispositivo, que não podem ser facilmente roubados ou falsificados. Os sistemas operacionais Apple, Google e Microsoft suportam chaves de acesso.

Use autenticação de dois fatores: Ative a verificação em duas etapas em qualquer serviço que a ofereça. A autenticação de dois fatores envia um código de login por mensagem de texto, e-mail ou chamada telefônica como um nível adicional de proteção além da senha. Alguns especialistas preferem geradores de códigos baseados em aplicativos, como Google Authenticator, porque mensagens de texto podem ser vulneráveis a hackers.

Monitore todas as suas contas importantes: Fique atento a todas as contas importantes em busca de alterações suspeitas. Muitas delas oferecem alertas automáticos por e-mail ou mensagem de texto.

Congele seu relatório de crédito: Congelar seu arquivo de crédito nas três principais agências — Experian, Transunion e Equifax — é uma maneira simples de prevenir tentativas de invasores de abrir novas contas em seu nome.

Crie uma palavra-passe familiar: Se você receber uma ligação ou mensagem suspeita de alguém que soa como um ente querido e pede informações, ligue para essa pessoa ou para pessoas próximas a ela se você não conseguir contatá-la. Uma palavra-passe conhecida por você e seus entes queridos pode confirmar sua identidade.

Embora a IA facilite até mesmo para hackers iniciantes a realização de campanhas mais avançadas, no final das contas, os invasores ainda tentam explorar o fator humano. Dressler observou: 'Este ainda é um método de ataque conhecido. Apenas a IA é usada para torná-lo mais crível e eficaz.'