A IA está reduzindo significativamente o intervalo entre a descoberta e a exploração de vulnerabilidades de segurança. Para entender o que isso significa na prática para os líderes de segurança, conversamos recentemente com Michael Montoya, diretor de Operações de Tecnologia da F5, responsável pela estratégia de segurança e resiliência da empresa como um todo. Continue lendo para conhecer a perspectiva de Montoya sobre o cenário de ameaças pós-Mythos e o que as organizações precisam fazer para sobreviver.
P: Há muitas notícias sobre o Mythos. Como líder de segurança, como é, na prática, o cenário de ameaças pós-Mythos?
Montoya: Sinceramente, parece mais rápido. Essa é a principal conclusão. O que estamos vendo é a IA acelerando a descoberta de vulnerabilidades e reduzindo o intervalo entre a divulgação e a exploração. Esse intervalo costumava ser medido em semanas ou meses. As equipes de segurança estruturaram todo o seu ritmo operacional com base nessa premissa — uma vulnerabilidade era divulgada, passava por triagem, uma correção era agendada e seguia pelo processo de controle de mudanças. Esse ritmo não funciona mais.
E quero deixar claro qual é o verdadeiro desafio aqui. Não se trata simplesmente de haver mais ameaças. É a velocidade e a escala com que elas surgem. Essa rapidez é um problema completamente diferente, porque as organizações já não têm semanas ou meses para responder.
Então, o que isso significa para os líderes de segurança? É importante que eles deixem de priorizar a aplicação de patches e passem a priorizar a proteção. A aplicação de patches continua sendo extremamente importante, mas não pode ser sua única linha de defesa quando o tempo é tão curto. Em segundo lugar, eles precisam responder na velocidade da IA. Isso significa recorrer à proteção em tempo de execução e à aplicação de patches virtuais para reduzir a exposição enquanto as correções permanentes estão sendo implementadas. E, em um mundo no qual aplicações, APIs e cargas de trabalho de IA estão distribuídas entre nuvens, data centers e a borda, isso significa adotar uma abordagem baseada em plataforma que permita aplicar a segurança de forma consistente em todo o ambiente.
P: Qual é o maior risco que, na sua opinião, as organizações estão subestimando neste momento?
Montoya: Sem dúvida, é a complexidade. Acredito que muitas organizações ainda não compreenderam plenamente que a própria complexidade se tornou um dos riscos de segurança mais significativos que enfrentam.
Pense em onde uma empresa típica realmente opera hoje: ambientes híbridos, várias nuvens, a borda e, agora, um conjunto crescente de ambientes de IA sobrepostos a tudo isso. Cada um desses ambientes pode resultar em ferramentas, políticas e fluxos de trabalho desconectados — e criar a possibilidade de uma lacuna ou um ponto cego. Ninguém planeja construir dessa forma. Ainda assim, isso acaba acontecendo com o tempo.
O trabalho aqui não é glamouroso, mas tem grande impacto. Reduza a complexidade operacional sempre que possível. Deixe de lado soluções pontuais e isoladas em favor de uma estratégia de plataforma unificada. E estabeleça visibilidade, aplicação de políticas e proteção consistentes em todos os ambientes em que você opera. Se você não consegue responder à pergunta “O que está protegendo este aplicativo e com base em qual política?” da mesma forma, independentemente de onde o aplicativo esteja hospedado, esse é o seu ponto de partida.
P: A confiança na cadeia de suprimentos de software está sob pressão. Como vocês estão aprimorando as práticas de segurança da F5 para manter os clientes protegidos?
Montoya: Nossos clientes avaliam a confiança na F5 pela rapidez com que os ajudamos a identificar e responder a ameaças emergentes. É uma avaliação justa, que também aplicamos a nós mesmos.
A dura verdade é que os ciclos tradicionais de lançamento têm dificuldade para acompanhar a descoberta de vulnerabilidades na velocidade das máquinas. Se suas melhorias de segurança avançam em um ritmo trimestral, enquanto as ameaças evoluem diariamente, você está estruturalmente em desvantagem. Portanto, a segurança precisa ser contínua e estar integrada à própria plataforma.
Na prática, isso significa automatizar testes de segurança, validação e reforço de proteção sempre que possível, além de acelerar a chegada efetiva de melhorias e atualizações de segurança aos clientes.
E eu estenderia essa expectativa também aos seus parceiros. Exija que seus parceiros de tecnologia se responsabilizem por proteger e reforçar a segurança de seus produtos no mesmo ritmo em que surgem novas ameaças. Pergunte a eles quanto tempo dura esse ciclo. Pergunte o que é automatizado. Hoje, essas são perguntas legítimas, e as respostas revelam muita coisa.
P: Com as equipes de aplicativos lançando novos códigos e recursos de IA em uma velocidade impressionante, como proteger a inovação sem desacelerar os negócios?
Montoya: Essa é uma pergunta que me fazem com frequência. A inovação impulsionada pela IA está promovendo uma explosão de aplicativos, APIs e serviços. Isso não é um problema a ser contido; é o próprio negócio. Mas há uma dinâmica à qual os líderes de segurança precisam estar atentos: quando a segurança se torna um gargalo, o desenvolvimento não para. Ele encontra formas de contorná-la. No fim, você fica com menos visibilidade e menos controle do que tinha antes, exatamente o oposto do que pretendia alcançar.
Portanto, o objetivo não é escolher entre velocidade e segurança. Não dá para abrir mão de uma em favor da outra. Em vez disso, é preciso viabilizar ambas. Não há um CISO sequer que queira desacelerar os negócios ou impedir a inovação.
Algumas maneiras de alcançar o equilíbrio necessário: incorpore a segurança ao próprio processo de entrega de aplicações. Automatize a proteção sempre que possível, em vez de depender de revisões manuais que não são escaláveis. Use controles capazes de reduzir o risco imediatamente quando surgirem novas ameaças, mantendo a proteção enquanto o código é atualizado. E dê aos desenvolvedores verdadeira liberdade para inovar, com uma base sólida de governança e segurança.
Faça isso da maneira certa, e a equipe de segurança deixará de ser aquela que diz não. Ela passará a ser a equipe que torna a inovação segura.
P: Em resumo: qual é a coisa mais importante que um líder de segurança precisa fazer hoje para sobreviver a essa nova realidade?
Montoya: Desenvolva a resiliência e organize-se em torno dela. É importante entender que os conselhos de administração já não perguntam apenas se a organização está segura, mas também se ela consegue se adaptar, responder e se recuperar rapidamente diante de mudanças constantes. Isso significa que a resiliência agora é um requisito de negócios.
Como eu disse anteriormente, eliminar a complexidade é uma parte importante dessa equação. É preciso integrar a entrega de aplicações, a segurança e as operações em torno de um modelo operacional comum. É preciso investir em plataformas que melhorem a visibilidade, a consistência e a resiliência. E é preciso manter o controle sobre onde estão todas as suas aplicações, seus dados e suas políticas de segurança, à medida que as pressões geopolíticas e impulsionadas pela IA continuam evoluindo.
Os líderes de segurança precisam avançar no mesmo ritmo que a IA, ou até mais rápido. E isso significa que precisamos usar a IA em todas as frentes da nossa defesa. Não é algo que se faça da noite para o dia. Mas, em última análise, é isso que diferenciará as organizações que prosperarão na era da IA.
Para saber mais, acesse nossa página sobre a F5 Application Delivery and Security Platform (ADSP) . Além disso, não deixe de se inscrever no Post-Mythos Security Summit virtual e sob demanda da F5, que começa em 10 de setembro.
Publicações relacionadas no blog
IA agêntica em cibersegurança: promessas e riscos
Saiba por que o uso de IA agêntica na cibersegurança é essencial para combater ameaças impulsionadas por IA e por que os agentes também criam novos riscos para as empresas.
Como os clientes da F5 no setor financeiro lidam com a soberania digital sem desacelerar a inovação
Como é a soberania digital na prática? Dois projetos recentes da F5 com clientes mostram como diferentes empresas estão enfrentando esses desafios.
Soberania operacional: construindo resiliência em um mundo imprevisível
Para muitas organizações, a questão já não se resume apenas a controlar os dados. Trata-se de manter a capacidade de operar, adaptar-se e se recuperar à medida que as leis e as condições evoluem.
Segurança de IA com evidências: o que levaremos ao Gartner SRM
Antes de sua sessão no Gartner SRM, o vice-presidente sênior de Marketing de Produtos da F5 explica como a F5 ajuda as organizações a proteger a IA em três etapas práticas.
Gestão de riscos de IA: como as proteções podem ajudar a mitigá-los
O risco da IA é impulsionado por comportamentos probabilísticos e pela explicabilidade limitada, não apenas por falhas de segurança. Uma gestão eficaz exige controle operacional contínuo.
Lei de IA do Colorado (SB 205): o que as empresas precisam saber antes de 2026
A SB 205 do Colorado, a lei pioneira do estado sobre inteligência artificial, foi sancionada pelo governador Jared Polis em 17 de maio de 2024. O projeto de lei estabelece requisitos para que as empresas que utilizam IA implementem controles destinados a proteger os cidadãos do Colorado.