A Segurança Nacional Exige a Proteção de Cargas de Trabalho de IA Modernas

Enquanto as práticas de codificação e modificações de carga de trabalho impulsionadas por IA afirmam acelerar o desempenho da missão, elas também introduzem vulnerabilidades no sistema. O desafio é bem compreendido – as práticas atuais de gerenciamento de vulnerabilidades não podem acompanhar as ferramentas de IA em evolução rápida, o que aumenta o risco para as tropas que realizam missões operacionais.

Sabendo que suas ferramentas terão sucesso, seja um M27 IAR ou a C2 tática impulsionada por IA que coloca fogos no alvo, inspira confiança no campo. Quando se trata de sistemas de software, eles podem aumentar a confiabilidade eliminando riscos de contêineres por meio de uma segurança abrangente da Cadeia de Fornecimento de Software (SSC).

Vulnerabilidades de Contêineres São um Risco Crescente em Software de Defesa

Toda organização impulsionada por software luta com vulnerabilidades de segurança relacionadas a contêineres. O Departamento de Guerra (DoW) visa implantar os melhores sistemas para as tropas operacionais, mas isso aumenta o risco. O motivo é que a maioria dos sistemas de missão depende de software central da Linux e bases de software da comunidade com linhas de base de software excessivamente grandes. Os sistemas construídos sobre esse software de código aberto geralmente contêm vulnerabilidades e exposições críticas conhecidas e desconhecidas (CVEs).

Para resolver esse problema, imagens curadas que incluem correções para essas CVEs reduzem drasticamente a superfície de ataque. Além disso, o código desnecessário representa um risco adicional, pois esse código pode esconder CVEs. A implantação de imagens de software endurecidas mitiga esse risco eliminando o código desnecessário. Sem endurecimento, o código excessivo aumenta a superfície de ataque vulnerável e introduz CVEs ocultas. Também é fundamental avaliar cada CVE como parte do contexto em que ele se manifesta. As CVEs são exploráveis nos ambientes, sistemas operacionais e hardware onde são descobertas como reproduzíveis. A varredura inteligente, o perfil e a compreensão do software de produção determinarão se cada CVE individual afeta o ambiente de destino e identificarão quais CVEs são duplicados e simplesmente aparecem em vários pacotes.

Ferramentas de Codificação de IA Ampliam o Problema

As ferramentas de codificação de IA são motores intensivos em recursos usados para desenvolver, treinar e implantar modelos, mas frequentemente se concentram em estados finais em vez de otimizar o processamento e armazenamento operacionais. Como resultado, elas ampliam os problemas de segurança usando indiscriminadamente distribuições de código aberto em vez de imagens curadas e endurecidas.

As ferramentas de codificação de IA de hoje mudam constantemente, têm muitas dependências de código aberto e são implantadas de forma mais pervasiva do que as ferramentas tradicionais. Modelos, estruturas e serviços de suporte são atualizados diariamente ou semanalmente, em vez de trimestral ou anualmente, e cada artefato de software não endurecido implementado por essas ferramentas magnifica o risco. Esses não são riscos novos, mas com a IA, agora estão acelerando. Por exemplo, os backlogs de vulnerabilidades crescem mais rapidamente à medida que mais software é implantado. Como evidência, a lista de CVEs em 2025 apresentou em média 132 novas vulnerabilidades por dia, um aumento de 20% em relação ao ano anterior, e triplo do número de 2020.

Gerenciamento de Vulnerabilidades Deficiente Acarreta Consequências Operacionais

As consequências operacionais do gerenciamento de vulnerabilidades deficiente incluem:

• Restrições a tecnologias acessíveis por ATO, com menos ferramentas de IA aprovadas para produção
• Desaceleração da implantação de IA à medida que as pilhas de contêineres falham na conformidade com os prazos das missões
• Incapacidade de competir com táticas de IA de adversários, aumentando os riscos da missão
• Custos financeiros recorrentes altos necessários para gerenciar backlogs de vulnerabilidades
• Engenheiros altamente qualificados se concentrando em perseguir e corrigir CVEs em vez de entregar novas capacidades

Com ou sem IA, as práticas de gerenciamento de vulnerabilidades para as soluções do DoW devem atender aos prazos das missões. As plataformas habilitadas por IA devem melhorar a defesa cibernética, não aumentar a exposição à segurança. As soluções escolhidas precisam abordar a exposição relevante em tempo de execução, reduzir a contagem de CVEs e permitir que os funcionários autorizados distingam o ruído do impacto da missão. Resolver esse problema impede que as unidades busquem esforços de endurecimento isolados, criando um pipeline consistente e baseado em dados.

A Abordagem Vencedora para a Defesa Nacional

O melhor processo seguro é aquele que permite operações de IA habilitadas mais rápidas e seguras, uma fundação de contêiner de confiança zero mais forte e dados de risco de cadeia de fornecimento de software de alta fidelidade para comandantes.

As agências de defesa devem começar com imagens de CVE próximas a zero, eliminando então vulnerabilidades adicionais removendo componentes não utilizados em vez de corrigi-los para reduzir caminhos de risco aceitáveis. As imagens endurecidas resultam em superfícies de ataque menores e narrativas de risco mais claras para acelerar a credenciação de sistemas habilitados por IA, liberando equipes de cibersegurança para se concentrar em missões de prioridade mais alta em vez de triagem interminável de vulnerabilidades.

Além disso, as contas de materiais de software (SBOMs), as contas de materiais de tempo de execução (RBOMs) e as imagens endurecidas dão aos operadores e equipes de segurança uma visão em camadas e precisa em tempo de execução das cargas de trabalho de IA em contêineres. Essa abordagem apoia diretamente os princípios de confiança zero e está alinhada com os requisitos de visibilidade da cadeia de fornecimento de software da equipe do Enduring Security Framework (ESF), mostrando o que está no software, seu comportamento e mecanismos de entrega.

As práticas de pontuação e atestação de risco do DoW devem amadurecer acompanhando contêineres com artefatos legíveis por máquina e boletins de segurança técnicos. Isso permite que os desenvolvedores e operadores assinem contêineres necessários e recebam pontuações de risco consistentes e alertas se novos problemas surgirem. Para o Comando, isso atua como um “farol de verificação do motor” prático em pilhas de software críticas, permitindo decisões para ir além da descoberta comercial e entrar em alinhamento direto de missão à velocidade das operações impulsionadas por IA.