A superfície de ataque da IA está se expandindo à medida que os modelos obtêm acesso a ferramentas, credenciais, código e sistemas de produção. Entre as pesquisas da F5 Labs publicadas de abril a julho de 2026, a conclusão mais evidente é que o risco da IA empresarial não é definido apenas pela possibilidade de manipulação de um modelo, mas também pelo que o sistema ao seu redor permite que ele acesse e faça quando ocorrem manipulações ou erros.
A pesquisa da F5 revela que modelos com capacidades semelhantes podem apresentar perfis de segurança radicalmente diferentes, que esses perfis podem mudar após a implantação, que recursos úteis podem criar novos vetores de ataque e que permissões excessivas podem transformar uma vulnerabilidade no nível do modelo em um incidente de negócios. Esse risco já não é apenas teórico. Em incidentes analisados pela F5 Labs, invasores manipularam um processo de recuperação de conta com suporte de IA para alterar dados de acesso, enquanto um agente de programação excluiu um banco de dados de produção e seus backups.
Para os CISOs, o valor da pesquisa não está em uma recapitulação do ranking, mas nas lições práticas que ela oferece para a seleção de modelos, a aquisição, a garantia contínua e o controle sobre o que os sistemas de IA têm permissão para acessar e fazer.
A F5 Labs usa duas métricas complementares para avaliar esses riscos. O Índice Abrangente de Segurança de IA da F5 (F5 CASI) mede a resistência a ataques de injeção de prompt e jailbreak, enquanto a Pontuação de Resistência Agêntica da F5 (F5 ARS) mede a resistência a ataques prolongados e em várias etapas em cenários agênticos. Ambas variam de 0 a 100, sendo que pontuações mais altas indicam maior resistência.
“A pesquisa da F5 revela que modelos com capacidades semelhantes podem apresentar perfis de segurança radicalmente diferentes, que esses perfis podem mudar após a implantação, que recursos úteis podem criar novos vetores de ataque e que permissões excessivas podem transformar uma vulnerabilidade no nível do modelo em um incidente de negócios.”
A autoridade transforma o risco do modelo em impacto nos negócios
Uma vulnerabilidade no nível do modelo se transforma em um incidente de negócios quando o sistema ao redor permite ações com consequências significativas. Um modelo que produz uma resposta insegura gera riscos. Um modelo conectado a código, credenciais, fluxos de recuperação de contas ou dados de produção pode causar um incidente.
Em um dos casos analisados pela F5 Labs, um agente de programação excluiu um banco de dados de produção e seus backups. Em outro, invasores manipularam um processo de recuperação de conta com suporte de IA para alterar os dados de acesso de contas de destaque em redes sociais. A falha crítica não foi apenas o fato de a IA ter chegado à conclusão errada. O sistema ao redor permitiu que essa conclusão desencadeasse uma ação de alto impacto.
A operação de ransomware JadePuffer reforçou esse ponto sob a perspectiva do invasor. Um ser humano selecionou a vítima, forneceu credenciais e estabeleceu a infraestrutura, mas o agente automatizou partes significativas do reconhecimento, da exploração, da movimentação lateral e da criptografia. A autonomia total era desnecessária; a automação parcial já reduzia o tempo, a habilidade e o esforço necessários.
Para os CISOs, o risco imediato não está apenas na autonomia, mas também na autoridade. Os agentes de IA devem ser gerenciados como identidades privilegiadas, com credenciais de escopo estritamente limitado, acesso restrito a ferramentas, monitoramento contínuo e aprovação independente para ações de alto impacto. A próxima questão é como os invasores exploram os comportamentos que tornam esses sistemas úteis em primeiro lugar.
Recursos úteis criam vetores de ataque
Uma pesquisa da F5 Labs constatou que invasores exploraram repetidamente comportamentos que as empresas desejam ativamente nos sistemas de IA. Ataque de função de desenvolvedor teve como alvo a forma como os modelos interpretam instruções privilegiadas. BiasJailbreak usou enquadramentos demográficos para expor inconsistências no comportamento de recusa, enquanto Topic Bridge usou a continuidade da conversa para conduzir gradualmente os modelos de assuntos legítimos a solicitações prejudiciais.
Narrativas Adversariais ampliou o mesmo padrão ao incorporar procedimentos nocivos em narrativas fictícias e pedir aos modelos que analisassem a história, em vez de responder a uma solicitação explicitamente maliciosa. Em 26 modelos de ponta de nove fornecedores, a técnica alcançou uma taxa média de sucesso de ataque de 71,3%.
Esses ataques tiveram como alvo a capacidade de seguir instruções, o raciocínio contextual, a percepção de papéis e a análise de conteúdo — recursos que sustentam casos de uso empresariais legítimos. Eles mostram como funcionalidades úteis podem ampliar a superfície de ataque da IA. Filtros estáticos e bibliotecas de jailbreaks conhecidos terão dificuldade para lidar com ataques nos quais a intenção maliciosa é preservada, mas a forma como ela é apresentada é alterada.
Comportamentos úteis podem, portanto, abrir caminho para a manipulação, enquanto a autoridade e o acesso determinam o possível impacto nos negócios. A probabilidade de manipulação também depende da resiliência intrínseca do modelo, e sua capacidade não é um bom indicador dessa resiliência.
A capacidade não prevê a resiliência
Os testes da F5 Labs constataram que modelos com capacidades semelhantes podem ocupar posições opostas nos rankings de segurança, enquanto modelos da mesma família podem se comportar de maneiras muito diferentes.
O exemplo mais claro veio do Qwen3.5. Seu modelo de 2 bilhões de parâmetros obteve uma pontuação de 1,28 no F5 CASI, enquanto a versão de 4 bilhões de parâmetros alcançou 80 — uma diferença de quase 79 pontos entre dois modelos da mesma família.
Os testes mais recentes reforçaram esse padrão. Modelos de ponta com capacidades relativamente semelhantes registraram pontuações entre 93,08 e 16,25 no F5 CASI. Os dados do F5 ARS acrescentaram outra dimensão: o Qwen3.5-4B obteve 91,04 no F5 ARS, mas 58 no F5 CASI, com desempenho médio de 16%. Esse contraste mostra por que o F5 CASI, o F5 ARS e o desempenho devem ser interpretados como indicadores distintos e complementares.
Para os CISOs, os benchmarks de capacidade indicam se um modelo consegue concluir uma tarefa, mas não se consegue fazê-lo com segurança. Cada modelo e versão deve ser avaliado de forma independente durante a aquisição e ao longo de toda a implantação. No entanto, a seleção do modelo é apenas a primeira decisão; as equipes de segurança também devem considerar como a resiliência muda ao longo do tempo.
A postura de segurança da IA pode mudar após a implantação
A resiliência dos modelos não é fixa. A F5 Labs observou que um modelo caiu mais de 29 pontos no F5 CASI em um mês, enquanto outro variou mais de 55 pontos ao longo do período analisado. Outras versões permaneceram relativamente estáveis, fazendo da própria consistência um dos aspectos do cenário de risco.
Os provedores podem atualizar prompts de sistema, classificadores e controles de segurança sem alterar o nome do modelo exibido ao cliente. Portanto, um modelo pode parecer inalterado, embora sua postura de segurança tenha mudado significativamente.
Esse não é um problema tradicional de aplicação de patches. Uma aprovação pontual é insuficiente quando a postura de segurança de um modelo pode mudar sem que haja um novo nome de modelo ou um evento de implantação visível. As equipes de segurança devem reavaliar os modelos após atualizações do provedor, alterações de configuração e mudanças significativas no aplicativo, além de verificar continuamente se os controles ao redor permanecem eficazes.
Essa volatilidade torna a garantia contínua essencial, mas apenas a avaliação não é suficiente. Os CISOs também precisam controlar o que os sistemas de IA têm permissão para acessar e fazer.
O que os CISOs devem fazer agora
A conclusão mais clara da pesquisa é que o nível de autoridade determina o impacto. Os CISOs devem gerenciar os sistemas de IA de acordo com o que eles têm permissão para acessar e fazer, avaliando continuamente os modelos, controles e sistemas ao seu redor.
- Trate os agentes de IA como identidades privilegiadas. Faça o inventário e restrinja o acesso a credenciais, ferramentas, dados e sistemas de produção; exija aprovação independente para ações de alto impacto; e registre cada etapa relevante.
- Avalie continuamente todo o sistema de IA. Avalie cada modelo e versão de forma independente durante a aquisição e ao longo de toda a implantação, reavalie após mudanças de provedor ou de configuração e teste gateways, pacotes, plugins, fluxos de trabalho, identidades e integrações — não apenas o modelo.
Como a F5 Labs mede a resiliência da IA
O F5 CASI e o F5 ARS são métricas comparativas, e não certificações permanentes de segurança. Os resultados devem ser interpretados considerando a versão exata do modelo, a data da avaliação, o uso pretendido e os controles associados.
Em conjunto, as pesquisas revelam uma cadeia interligada de riscos: a capacidade não é um indicador de resiliência, a resiliência pode mudar após a implantação, recursos úteis podem ampliar a superfície de ataque da IA e o excesso de autoridade pode transformar uma vulnerabilidade do modelo em um incidente empresarial.
A questão para os CISOs já não é apenas se um modelo de IA pode ser manipulado, mas o que o sistema ao seu redor permitirá que esse modelo faça quando a manipulação for bem-sucedida.
Saiba mais
- Explore os mais recentes rankings de segurança de IA do F5 CASI e do F5 ARS para comparar a resiliência dos modelos e acompanhar como a postura de segurança de IA muda ao longo do tempo.
- Veja como a F5 AI Red Team ajuda as organizações a testar modelos, aplicações e agentes contra ataques reais.
- Conheça a F5 AI Security Platform para obter visibilidade, governança e proteção contínuas em aplicações, modelos e agentes de IA empresariais.
Sobre os autores
Malcolm Heath é o Pesquisador Principal de Ameaças da F5 Labs. Sua carreira inclui resposta a incidentes, gerenciamento de programas, testes de invasão, auditoria de código, pesquisa de vulnerabilidades e desenvolvimento de exploits em empresas de todos os portes. Antes de ingressar na F5 Labs, ele foi Engenheiro Sênior de Segurança no F5 SIRT.
Mais publicações de Malcolm HeathLouise Scully é gerente sênior de Marketing de Produtos para Segurança de IA e Inteligência de Ameaças na F5. Sua carreira abrange marketing de produtos, gestão de produtos, estratégia de entrada no mercado, comunicação, liderança de pensamento e desenvolvimento de categorias nas áreas de segurança de IA e tecnologia empresarial. Antes de ingressar na F5, Louise liderou o marketing na CalypsoAI e na Artomatix, ajudando a levar tecnologias e pesquisas de IA ao mercado.
Mais publicações de Louise ScullyPublicações relacionadas no blog
IA agêntica em cibersegurança: promessas e riscos
Saiba por que o uso de IA agêntica na cibersegurança é essencial para combater ameaças impulsionadas por IA e por que os agentes também criam novos riscos para as empresas.
Como os clientes da F5 no setor financeiro lidam com a soberania digital sem desacelerar a inovação
Como é a soberania digital na prática? Dois projetos recentes da F5 com clientes mostram como diferentes empresas estão enfrentando esses desafios.
Soberania operacional: construindo resiliência em um mundo imprevisível
Para muitas organizações, a questão já não se resume apenas a controlar os dados. Trata-se de manter a capacidade de operar, adaptar-se e se recuperar à medida que as leis e as condições evoluem.
Segurança de IA com evidências: o que levaremos ao Gartner SRM
Antes de sua sessão no Gartner SRM, o vice-presidente sênior de Marketing de Produtos da F5 explica como a F5 ajuda as organizações a proteger a IA em três etapas práticas.
Gestão de riscos de IA: como as proteções podem ajudar a mitigá-los
O risco da IA é impulsionado por comportamentos probabilísticos e pela explicabilidade limitada, não apenas por falhas de segurança. Uma gestão eficaz exige controle operacional contínuo.
Lei de IA do Colorado (SB 205): o que as empresas precisam saber antes de 2026
A SB 205 do Colorado, a lei pioneira do estado sobre inteligência artificial, foi sancionada pelo governador Jared Polis em 17 de maio de 2024. O projeto de lei estabelece requisitos para que as empresas que utilizam IA implementem controles destinados a proteger os cidadãos do Colorado.