CERT In exige adesivos em 12 horas ante vulnerabilidades expostas à internet por IA

A agência indiana de resposta a incidentes, CERT-In, sacudiu o calendário das equipes de segurança com uma exigência prática: as vulnerabilidades críticas que exponham serviços à internet devem ser corrigidas em prazos extremamente curtos, em muitos casos em muitos casos. 12 horas Quando for viável. Essa medida responde a uma realidade emergente e preocupante: os atores maliciosos já estão aproveitando ferramentas de inteligência artificial e modelos de linguagem para automatizar a busca, a análise e a exploração de falhas, reduzindo drasticamente o tempo entre a detecção de uma vulnerabilidade e seu abuso efetivo.

O impacto da IA na cibersegurança é duplo. Por um lado, as mesmas capacidades que ajudam a desenvolvedores e administradores — automatização de testes, análise de código, geração de testes — podem ser reutilizadas por atacantes para digitalizar superfícies de ataque, gerar exploits, criar e-mails de phishing convincentes ou mesmo desenvolver malware à medida. Por outro lado, os próprios sistemas de IA e as cadeias de fornecimento de modelos são um objetivo: prompt injection, envenenamento de dados de treinamento, roubo de modelos e vazamento de dados podem converter um assistente interno em um vetor de filtração ou manipulação.

Para os responsáveis pela segurança, isto significa que as janelas de resposta devem ser compactadas e as defesas tornar-se mais proativas e automatizadas. O guia CERT-In enfatiza uma mentalidade de “asumir a intrusão”: detectar rápido, conter e recuperar. Na prática, issoimplica reforçar a autenticação e o controlo de acessos com políticas de least privilege e multifator, segmentar redes para limitar o alcance de qualquer compromisso e aplicar controlos em camadas que impeçam que uma única falha se torne catástrofe.

A norma operacional proposta pela agência inclui prazos diferenciados: remediação imediata para falhas conhecidas que afetam sistemas expostos, prazos de 24 horas para vulnerabilidades críticas externas e alguns internos, até 72 horas para falhas internas que afetem ativos de alto valor e uma janela de vários dias para riscos altos segundo priorização. Quando um adesivo não está disponível, recomenda-se a aplicação de mitigações temporárias, tais como isolamento, restrições de acesso, proteção ao nível de WAF/API e monitorização aumentada até que a correcção chegue.

Estas orientações são ambiciosas e legítimas, mas colocam desafios de implementação. Nem todas as organizações podem adesivos em 12 horas sem gerar interrupções operacionais ou romper integrações críticas. Por isso, é essencial documentar e justificar compensações técnicas: se não for possível actualizar imediatamente, há que dispor de controlos compensatórios pré-aprovados, playbooks de emergência e cadeias de comunicação claras com fornecedores para reduzir o tempo total de risco.

A segurança de modelos e pipelines de IA requer também controlos específicos para além do sistema transdérmico tradicional. É imprescindível manter um inventário de modelos e dependências, verificar a proveniência e a integridade dos pesos e dados, aplicar técnicas de privacidade diferencial ou mascaramento quando a confidencialidade o exija, e controlar os pontos de exposição das APIs que servem inferências. A governança do uso de IA deve ser formal: quem pode invocar modelos, com que dados e quais registros são preservados para auditoria.

Resposta, teste e validação devem receber investimento constante. Rede teaming, testes de penetração contínuas, validações independentes e exercícios de mesa para incidentes com cenários de IA ajudarão a descobrir configurações inseguras antes que as explotem ferramentas automatizadas. A transparência na cadeia de fornecimento do software, através de SBOM e verificações de procedência, reduz o risco de integrar componentes ou modelos comprometidos em ambientes críticos.

Para aqueles que operam infra-estruturas críticas ou serviços na nuvem, é fundamental priorizar a proteção de pontos de entrada expostos: endpoints, APIs públicas, identidades privilegiadas e serviços de gestão. A monitorização de telemetria, correlação de logs e detecção baseada em comportamento são agora mais relevantes do que nunca, porque os ataques assistidos por IA podem mover-se a velocidades que superam a capacidade humana para reagir sem automação de defesa.

O quadro de acção recomendado por especialistas e organismos internacionais complementa as medidas da CERT-In: promover arquitecturas da Zero Trust, defesas em profundidade e práticas de gestão de vulnerabilidades baseadas em risco. Recursos como os guias do NIST sobre gestão de risco em IA oferecem um mapa para adaptar controles técnicos e organizacionais a ambientes que incorporam modelos de linguagem e aprendizagem automática ( NIST AI RMF). Por sua vez, catálogos de vulnerabilidades exploradas publicamente, mantidos por entidades como CISA, ajudam a priorizar adesivos que já estão sendo weaponizados ( CISA KEV).

Em suma, o regime de CERT-In é uma chamada a transformar a gestão tradicional de vulnerabilidades: não basta para listar e corrigir cada certo ciclo, mas sim para automatizar detecção e mitigação, endurecer modelos de IA e garantir a cadeia de abastecimento digital. As organizações devem combinar respostas técnicas (parches, WAF, segmentação, MFA) com governação robusta (políticas de uso de IA, inventários e auditorias) e preparação operacional (playbooks, exercícios e acordos com fornecedores). O tempo de reação já não é uma janela confortável: a velocidade e escala que a IA oferece aos atacantes exigem tempos de resposta e resiliência equivalentes.