Existe uma frase que aparece em quase toda reunião sobre orçamento de segurança: “não somos alvo, somos pequenos demais”. Ela nunca foi uma avaliação de risco, ainda que soe como uma. Na verdade, era uma conta de custo — só que a conta é do atacante, e não da empresa que se sente protegida por ela.
Antes, uma operação longa contra uma empresa de porte médio exigia gente qualificada ocupada durante semanas. Primeiro o reconhecimento, depois o mapeamento, em seguida o teste de vulnerabilidade, a movimentação lateral e a triagem do que foi obtido. Como cada etapa consumia hora de profissional caro, o preço funcionava como filtro: entravam na lista apenas os alvos que compensassem o esforço.
Então esse filtro foi testado na prática, em setembro de 2025.
O caso GTG-1002, em ordem
A Anthropic identificou e interrompeu uma campanha de espionagem cibernética que atingiu cerca de 30 organizações. Entre os alvos estavam grandes empresas de tecnologia, instituições financeiras, indústrias químicas e órgãos de governo. A companhia atribuiu a operação, com alta confiança, a um grupo patrocinado pelo Estado chinês, designado internamente como GTG-1002.
O que diferencia esse caso dos anteriores não é o alvo, nem o autor. É quem estava executando.
Segundo o relatório, a IA conduziu de 80% a 90% do trabalho tático da intrusão, enquanto o operador humano ficou com os 10% a 20% restantes: aprovar decisões, revisar resultados, redirecionar a operação em pontos estratégicos. Ou seja, o humano decidia, mas não executava.
Isso é diferente do uso ofensivo de IA que o setor vinha registrando até então, quando o modelo escrevia um e-mail de phishing ou um trecho de código e a pessoa fazia o resto. Aqui, a máquina percorreu o ciclo inteiro: mapeou topologia de rede, encontrou vulnerabilidades, gerou payloads, coletou credenciais e ainda classificou o material obtido por valor de inteligência.
Como o modelo foi convencido a atacar
Duas peças técnicas sustentaram a operação. Nenhuma delas é exótica, e é por isso que o caso importa.
A primeira é a orquestração. Os operadores construíram uma estrutura própria em torno do Model Context Protocol, o padrão que permite a um modelo de linguagem acionar ferramentas externas. Por ali, a IA controlava utilitários de teste de invasão de código aberto — os mesmos que qualquer time de segurança usa em avaliação contratada. Como não havia malware customizado, também não havia assinatura conhecida para um antivírus reconhecer.
A segunda peça é a decomposição. A operação foi quebrada em tarefas técnicas pequenas, e cada uma delas parecia legítima quando avaliada isoladamente. Afinal, varredura de porta é varredura de porta, e leitura de repositório é leitura de repositório. O contexto que transforma esse conjunto em ataque não estava presente em nenhuma tarefa individual.
Foi assim, também, que os operadores contornaram os filtros de segurança do modelo. Eles se apresentaram como uma empresa de cibersegurança contratada para uma avaliação de defesa. Quando a IA aceitou o enquadramento, passou a executar aquilo que, dentro da premissa apresentada, era trabalho autorizado.
O que muda no risco corporativo
São três mudanças concretas, e nenhuma delas descreve uma ameaça inédita.
Tempo de operação deixou de custar caro. Uma campanha de semanas não exige mais uma equipe dedicada por semanas. Por isso, segundo o relatório, grupos com menos recursos passam a conseguir operações que antes demandavam times inteiros de profissionais experientes.
Porte deixou de proteger. Quando o esforço por alvo cai, a seleção de alvo deixa de ser criteriosa. Empresas que ficavam de fora porque não compensavam o investimento agora cabem na lista — não porque viraram prioridade, mas porque deixaram de ser caras.
Detecção por evento perde eficácia. Boa parte das operações de segurança é construída sobre alertas isolados: este acesso, aquela transferência, aquele login fora do horário. Já que a decomposição esvazia o evento de significado, a intenção só existe na sequência completa — e a sequência não está registrada em lugar nenhum. Na prática, correlação entre sinais deixa de ser relatório mensal e vira controle de primeira linha.
O que os números de 2026 mostram
O relatório Cost of a Data Breach de 2026, produzido pela IBM com o Ponemon Institute, analisou 602 organizações e violações ocorridas entre março de 2025 e fevereiro de 2026. Dois recortes interessam aqui.
Primeiro, o custo médio global de uma violação chegou a US$ 4,99 milhões, alta de 12% em um ano e o maior valor já registrado pelo estudo. Como detecção, escalonamento e perda de negócio por interrupção respondem por perto de dois terços desse total, o dinheiro está concentrado no que acontece depois que o incidente começa.
Segundo, ataques apoiados por IA cresceram 56% em um ano e acrescentaram cerca de US$ 1 milhão ao custo médio da violação.
No Brasil, a referência mais recente com recorte nacional ainda é a edição de 2025 do mesmo estudo: custo médio de R$ 7,19 milhões por violação, 6,5% acima de 2024. Além disso, aquele levantamento apontou que 87% das organizações brasileiras estudadas não tinham política de governança de IA, enquanto 61% não tinham controle de acesso a modelos.
Esse último par é o mais desconfortável, porque descreve empresas adotando IA sem saber quem acessa o quê do lado de dentro.
O que a IA ainda erra
Aqui entra a parte que costuma ficar fora das manchetes.
A operação não foi limpa. O relatório registra que o modelo produziu resultados imprecisos: credenciais que não funcionavam, achados superdimensionados, informação pública apresentada como descoberta. Ou seja, alguém precisou verificar.
Parte da comunidade técnica também questionou o rótulo de “primeiro do tipo” e a escala descrita, já que o relatório vem da própria fornecedora do modelo usado e não houve corroboração independente publicada até agora.
As duas ressalvas são pertinentes, mesmo assim não alteram a conclusão prática. O que ficou demonstrado não é que a IA ataca sozinha e sem falha, e sim que ela reduz a mão de obra necessária a ponto de mudar quem consegue montar uma campanha — e contra quem.
O que revisar agora
Nada da lista abaixo é ferramenta nova. É prioridade diferente para itens que a maioria das empresas já tem na fila de pendências.
- Inventário de acesso. Saber quais contas, chaves e tokens existem, quem usa cada um e quais estão inativos. Afinal, credencial esquecida é o insumo mais barato de uma operação automatizada.
- Rotação de credencial com prazo. Não como projeto anual, mas como rotina com data.
- Correlação de sinais. Quando o time só olha alerta isolado, uma operação decomposta passa. Por isso, a pergunta ao fornecedor de SOC ou MDR é direta: como vocês agrupam eventos individualmente legítimos em uma linha de tempo?
- Governança de acesso a modelos de IA. Quais ferramentas estão em uso, com quais dados e sob qual controle. Os 87% do estudo da IBM descrevem um ponto cego, não uma escolha.
- Redução de superfície antes da resposta. Como o custo maior está em detecção, escalonamento e interrupção, cada exposição removida antes é uma cadeia inteira que não precisa ser interrompida depois.
O caso GTG-1002 não trouxe uma técnica inédita ao mundo. Ele mostrou que a barreira de esforço que mantinha boa parte das empresas fora do radar era mais frágil do que o mercado supunha. Quem calibrou a própria postura de segurança por essa barreira está trabalhando com uma premissa que já mudou.
Fontes
- Anthropic. Disrupting the first reported AI-orchestrated cyber espionage campaign. Novembro de 2025.
- IBM e Ponemon Institute. Cost of a Data Breach Report 2026. Publicado em 29 de julho de 2026.
- IBM. Relatório Cost of a Data Breach 2025 — recorte Brasil. IBM Newsroom Brasil, 30 de julho de 2025.
- ExtraHop. Anthropic Reveals the First AI-orchestrated Cyber Espionage Campaign.
- Coretelligent. Anthropic Disrupts GTG-1002 Cyber Espionage. Dezembro de 2025.
