A União Europeia está a levar estas ameaças muito a sério e reagiu com várias regulamentações.
A 1 de agosto de 2024, foi introduzido o Regulamento Europeu da Inteligência Artificial (AI Act). Este diploma visa promover o desenvolvimento responsável da IA na UE e aborda riscos potenciais para a saúde, segurança e direitos fundamentais dos cidadãos.
A 10 de outubro de 2024, a UE adotou o Cyber Resilience Act, relativo à proteção de produtos com elementos digitais (incluindo câmaras domésticas, eletrodomésticos, televisores e brinquedos), garantindo que são seguros contra ciberataques antes de chegarem ao mercado.
Além disso, a diretiva NIS2 entrou em vigor a 16 de janeiro de 2023, aplicando-se a setores com infraestruturas críticas. A sua relevância foi sublinhada por vários ciberataques espetaculares contra redes elétricas, sistemas de abastecimento de água e transportes.
O acesso a sistemas de IA por parte de fornecedores de segurança e cibercriminosos cria uma “corrida ao armamento” contínua.
A revista Forbes discutiu recentemente como os ataques potenciados por IA são mais perigosos do que os ciberataques tradicionais em vários aspetos fundamentais. A IA permite a automatização de processos de ataque complexos, possibilitando aos cibercriminosos iniciar e gerir ataques numa escala sem precedentes. Os sistemas de IA também podem aprender com tentativas anteriores, melhorando continuamente a sua eficiência e capacidade de evitar a deteção. Ao mesmo tempo, a IA avançada pode processar grandes volumes de dados para detetar vulnerabilidades e padrões nos sistemas-alvo de forma mais eficaz do que atacantes humanos, e o uso do Processamento de Linguagem Natural permite aos cibercriminosos lançar ataques de phishing e de engenharia social mais convincentes, mais difíceis de identificar pelas vítimas. Os hackers continuarão a desenvolver técnicas ainda mais sofisticadas e automatizadas, capazes de analisar software e organizações para identificar os pontos de entrada mais vulneráveis. Um estudo recente da Forrester concluiu que 88% dos especialistas em segurança esperam que os ataques impulsionados por IA se tornem comuns — é apenas uma questão de tempo.
Isto significa que os analistas de cibersegurança e os especialistas de TI só conseguirão derrotar os atacantes compreendendo como a IA será transformada em arma, podendo assim confrontar diretamente os cibercriminosos e desenvolver e implementar medidas de segurança adequadas.
Olhando mais adiante, a UE também está focada em encriptação resistente à computação quântica, para salvaguardar contra riscos futuros da computação quântica. A Comissão Europeia publicou recentemente uma Recomendação sobre Criptografia Pós-Quântica para encorajar os Estados-Membros a desenvolver e implementar uma abordagem harmonizada, à medida que a UE transita para a criptografia pós-quântica. Isto foi concebido para ajudar a garantir que as infraestruturas e serviços digitais da UE se mantenham seguros na próxima era digital.
Different security measures must be taken to defend against attacks depending on which targets – technologies or humans – the AI-based attacks are aimed at.
Conventional cyber security measures are often inadequate when it comes to detecting and defending against AI attacks. They rely heavily on signature-based detection and rule-based systems that are not equipped for the dynamic and evolving nature of AI cyberattacks.
It therefore makes sense to beat the enemy with its own weapons: AI can serve as a powerful ally in protecting IT assets. Advanced detection mechanisms that utilize machine learning (ML) and AI should be used to detect nuanced anomalies and patterns that may be missed by traditional methods. Tools like Natural Language Processing (NLP) and image recognition detect threats in various languages and formats.
Sugestões para reforçar defesas e aumentar a segurança da TI com IA:
- Implementar sistemas de defesa potenciados por IA – Incluindo deteção avançada de ameaças, gestão automatizada de patches e monitorização de rede em tempo real.
- Realizar auditorias de segurança e testes de penetração regulares – Incluindo testes potenciados por IA para encontrar vulnerabilidades que métodos tradicionais não detetam.
- Atualizações contínuas – Para dificultar ataques de evasão, adaptando algoritmos de IA a novas técnicas.
- Treino adversarial – Expor sistemas de defesa a exemplos de ataque para aumentar a resiliência.
- Tecnologias de engano (deception) – Criar sistemas e dados falsos para confundir e identificar atacantes.
- Plano específico de resposta a incidentes com IA – Incluir protocolos automáticos e equipas especializadas em forense digital com IA.
- Implementar um modelo de segurança Zero Trust – “Nunca confiar, verificar sempre”, validando todos os utilizadores, dispositivos e ligações.
- Utilizar autenticação multifator – Obrigar a confirmação de identidade de duas formas distintas.
- Partilha colaborativa de inteligência sobre ameaças – Integrar redes de partilha de informação para antecipar ataques emergentes.
Independentemente do nível tecnológico, o maior risco de segurança continua a ser o fator humano. Onde há manipulação emocional e engano para ganhar confiança e obter dados sensíveis, mesmo as tecnologias mais avançadas têm limites.
Por isso, é essencial que os colaboradores conheçam as formas de ataque e recebam formação regular para reconhecer e reportar potenciais ameaças. Devem verificar cuidadosamente todos os contactos (e-mail, SMS, chamadas), confirmar a identidade do remetente e questionar o contexto — especialmente em transações financeiras, onde o contacto presencial ou uma chamada direta ajudam a confirmar a autenticidade.
Medidas adicionais incluem:
- Adaptar filtros de e-mail e URL;
Solicitar remoção de sites fraudulentos e hosts maliciosos;
Comunicar números de telefone usados em ataques às operadoras;
Reportar dados bancários de criminosos, contas intermediárias ou e-mails legítimos comprometidos às entidades competentes.
