Mais de 100 empresas pedem reação global a ataques cibernéticos com IA

Mais de 100 empresas publicaram em 27 de agosto de 2026 uma carta aberta que pede uma reação global e coordenada a ataques cibernéticos ampliados por inteligência artificial. OpenAI, Anthropic, Google e Microsoft estão entre os signatários que, segundo a cobertura da TechCrunch, incluem ainda companhias de segurança, instituições financeiras e operadoras de infraestrutura digital.

Na carta de 27 de agosto, a coalizão alerta para riscos a hospitais, sistemas de tratamento de água e à infraestrutura que sustenta a internet. A resposta proposta não se concentra em uma tecnologia ou em uma nova lei: ela distribui tarefas entre organizações usuárias, fornecedores de segurança e tecnologia, governos e empresas que desenvolvem modelos avançados de IA.

Quem assinou e quais riscos foram apontados

A lista atravessa setores que ocupam posições diferentes na cadeia de risco. Ela reúne provedores de nuvem, como AWS; empresas de IA, como Anthropic e OpenAI; grupos de tecnologia, como Google, IBM e Microsoft; companhias de segurança, como CrowdStrike, Fortinet, Okta e Palo Alto Networks; e instituições financeiras como Citi, Mastercard, U.S. Bank e Visa.

A amplitude da coalizão reflete a natureza distribuída do problema. Sistemas podem permanecer expostos por falhas antigas, permissões excessivas, configurações incorretas, autenticação fraca, software sem correção e dívida técnica em equipamentos legados. Em infraestruturas críticas, uma vulnerabilidade pode estar no operador do serviço, em um produto adquirido ou em outro integrante da cadeia de fornecedores.

O alerta é prospectivo. Os signatários sustentam que, nos próximos meses, ataques habilitados por IA se tornarão mais disseminados e sofisticados à medida que os modelos ganharem capacidade. Ao mesmo tempo, afirmam que a IA pode tornar tarefas defensivas mais rápidas e baratas; a carta não apresenta uma projeção numérica de incidentes nem atribui à tecnologia todos os ataques atuais.

O plano distribui a resposta entre quatro grupos

A carta aberta sobre defesa cibernética coletiva organiza as propostas por responsável. O desenho amplia a cobrança para além das equipes internas de segurança: dirigentes empresariais, fornecedores, autoridades públicas e desenvolvedores de modelos devem atuar sobre partes distintas do risco.

• Organizações: elevar a defesa cibernética à prioridade da liderança, corrigir primeiro as fraquezas de maior risco e verificar os resultados sem interromper serviços essenciais. A carta também recomenda privilégio mínimo, controles fortes de acesso, defesa em profundidade e padrões mais exigentes para software comprado, desenvolvido ou implantado, inclusive código gerado por IA.
• Empresas de segurança e parceiros tecnológicos: testar continuamente as defesas contra capacidades cibernéticas avançadas, incorporar IA às ferramentas existentes e ajudar operadores de infraestrutura crítica a implantar proteções e verificar correções. O bloco inclui compartilhar inteligência sobre ameaças e procedimentos testados.
• Governos: coordenar prevenção, resposta e recuperação nos níveis local, nacional e internacional, fortalecer canais de inteligência e financiar inicialmente serviços essenciais sem pessoal ou orçamento suficiente. Hospitais, serviços de água e governos locais também deveriam receber acesso a IA defensiva, testes autorizados e suporte especializado.
• Empresas de IA avançada: oferecer acesso responsável a modelos, financiamento significativo, treinamento e apoio prático, sobretudo a defensores de infraestrutura crítica com poucos recursos. A carta pede ainda ferramentas de observabilidade, identidades rastreáveis para agentes, testes autorizados, divulgação privada de falhas e compartilhamento de avaliações confiáveis de ameaças.

Quais medidas independem de nova legislação

Uma leitura operacional das propostas mostra que várias ações podem começar por decisão administrativa ou empresarial. Corrigir as vulnerabilidades de maior risco, verificar as correções, aplicar controles compensatórios onde uma atualização interromperia um serviço essencial e reforçar privilégios e acessos não dependem, por si só, de uma nova lei internacional.

Fornecedores também podem testar suas defesas continuamente, oferecer orientação provisória para componentes vulneráveis e compartilhar inteligência e procedimentos de contenção. A própria carta sugere três critérios de resultado: o número de organizações protegidas, a velocidade de contenção dos ataques e a eficácia real das correções.

Laboratórios de IA podem estruturar programas de acesso defensivo, treinamento e suporte, mas precisam definir quem será aceito e sob quais controles. Para governos, o reforço de canais existentes de inteligência, o financiamento de serviços essenciais e a coordenação de resposta podem avançar administrativamente; já a cooperação internacional e a imposição de custos a atacantes dependem de decisões políticas e de coordenação entre jurisdições.

A carta não cria obrigações para os signatários

O limite central é a distância entre recomendar ações e assumir compromissos verificáveis. O levantamento da Axios registra que os signatários não apresentaram compromissos, prazos ou investimentos específicos como parte da carta.

O documento tampouco identifica uma entidade encarregada de acompanhar a execução coletiva ou publicar indicadores comparáveis. Não há uma data comum para corrigir vulnerabilidades críticas, um valor mínimo de financiamento para operadores com poucos recursos ou regras detalhadas para conceder acesso defensivo aos modelos mais capazes.

Também restam questões de governança. O acesso a ferramentas cibernéticas avançadas precisa combinar utilidade defensiva, controle contra abuso, autorização para testes e responsabilização por agentes automatizados. Embora a carta defenda identidades rastreáveis e divulgação privada de falhas, ela não define um padrão técnico comum nem uma autoridade supervisora.

O próximo teste será transformar recomendações em execução

O resultado concreto até agora é uma coalizão empresarial ampla e uma agenda dividida entre quatro grupos de responsáveis. O documento fornece prioridades que podem ser cobradas separadamente, mas continua sendo uma declaração voluntária, sem cronograma coletivo.

Os próximos sinais relevantes serão programas financiados, datas de implementação, critérios de acesso a modelos defensivos e métricas públicas. Esses elementos permitirão verificar se empresas, governos e laboratórios estão reduzindo vulnerabilidades e ampliando a proteção de serviços essenciais antes que a IA também aumente a escala e a sofisticação dos ataques.