Sua Ferramenta de Segurança de IA Não Está Protegendo Você – Está Apenas Fazendo Você Se Sentir Melhor

Em junho de 2025, a Microsoft corrigiu a vulnerabilidade CVE-2025-32711, mais conhecida como EchoLeak: uma vulnerabilidade de zero cliques no Microsoft 365 Copilot, com uma pontuação de 9,3 no CVSS. Um e-mail criado, nunca aberto pela vítima, podia fazer com que o mecanismo de recuperação do Copilot exfiltrasse silenciosamente qualquer contexto sensível ao qual tivesse acesso. O detalhe que deve preocupá-lo: a carga passou direto pelo classificador de injeção de prompt da XPIA, da Microsoft, que estava presente, em execução e funcionando exatamente como projetado.

Bruce Schneier nos deu o vocabulário para isso em 2009. Teatro de segurança, ele escreveu, descreve medidas que fazem as pessoas se sentirem mais seguras sem fazer nada para melhorar sua segurança. O sentimento e a realidade são coisas diferentes, e elas divergem.

Dezessete anos depois, a IA industrializou a divergência, em ambos os lados da equação. Ferramentas de segurança alimentadas por IA são vendidas com base em capacidades que não podem ser demonstradas sob medição, e ferramentas de segurança para IA são vendidas como soluções para um problema que a própria documentação admite ser insolúvel. O ciclo de hype da Gartner de 2025 colocou a gestão de confiança, risco e segurança da IA no pico de expectativas infladas. Os analistas estão dizendo a você onde estamos. A pergunta é o que fazer sobre isso.

A lacuna entre a folha de dados e a medição

Comece com o que acontece quando alguém testa controles implantados em vez de ler seu marketing.

O Relatório Azul da Picus de 2025 analisou mais de 160 milhões de simulações de ataques reais executados contra ambientes de produção no primeiro semestre de 2025. A Picus vende a plataforma de simulação, então pondere a fonte adequadamente, mas os números são difíceis de ignorar. A eficácia da prevenção foi de 62% em média, abaixo dos 69% do ano anterior. Apesar da cobertura de registro de 54%, apenas 14% dos ataques simulados geraram um alerta. Ataques que usavam credenciais válidas tiveram sucesso 98% do tempo. E das tentativas de exfiltração de dados simuladas, os controles em vigor bloquearam 3%.

Três por cento. Estes são ambientes com pilhas de segurança modernas e frequentemente com IA, e o teste de exfiltração é o que mapeia mais diretamente o que um atacante deseja fazer.

As pontuações de benchmark que aparecem nos decks de vendas dos fornecedores merecem o mesmo ceticismo. Quando os fornecedores começaram a reivindicar marcas perfeitas nas avaliações do MITRE ATT&CK, a analista da Forrester, Allie Mellen, publicou um lembrete enfatizado: as avaliações não têm vencedores ou perdedores, e as reivindicações de 100% geralmente se baseiam em configurações irrealistas, sub-resultados selecionados ou configurações de detecção que enterrariam um SOC real em ruído.

Nada disso é novo, o que é a parte deprimente. Em 2019, pesquisadores da Skylight Cyber desmontaram o antivírus “puro IA” da Cylance anexando strings do jogo Rocket League a amostras de malware, invertendo o veredicto do classificador em 100% das principais famílias de malware do dia e 83% de um conjunto de amostras mais amplo. A lição, de que os modelos de aprendizado de máquina estáticos falham contra adversários que os estudam, foi publicada sete anos atrás. A resposta do mercado foi enviar mais modelos de aprendizado de máquina estáticos.

O problema da guarda é pior

Se a detecção alimentada por IA vende mais do que entrega, as ferramentas vendidas para segurar a IA em si estão em uma posição mais estranha: o órgão de padronização que define a ameaça diz que a ameaça pode não ser solucionável.

A injeção de prompt está em primeiro lugar na OWASP Top 10 para aplicações LLM, e a orientação prática da OWASP é surpreendentemente direta: dada a natureza estocástica dos modelos, “não está claro se existem métodos infalíveis de prevenção para a injeção de prompt.” O ajuste fino e o RAG, acrescenta, não mitigam completamente. Este é o problema que o mercado de escudo de prompt existe para resolver, descrito como possivelmente insolúvel pela organização que o catalogou.

O trabalho empírico apoia o pessimismo. Pesquisadores da Universidade de Lancaster e da Mindgard testaram seis sistemas de guarda de produção, incluindo o Azure Prompt Shield da Microsoft e o Prompt Guard da Meta, e alcançaram até 100% de sucesso de evasão usando técnicas de injeção de caracteres e perturbação adversária, mantendo os ataques subjacentes funcionais. A HiddenLayer foi mais longe, publicando um modelo de prompt “Marionete de Política” transferível que afirma contornar todos os principais modelos do mercado. Este é um pesquisa de fornecedor e não revisada por pares, então trate o “todos” com cuidado, mas veículos independentes reproduziram as alegações centrais.

A testemunha mais credível não tem produto para vender. O Instituto de Segurança de IA do Reino Unido, avaliando cinco LLMs líderes, relatou que “todos os modelos eram altamente vulneráveis a nossos ataques básicos”, com cada modelo cumprindo pelo menos uma vez em cinco tentativas para quase todas as perguntas prejudiciais quando ataques internos foram aplicados. Ataques básicos. Não artifícios de estado-nação. Um órgão de avaliação do governo, notando politemente que o filtro de entrada do imperador não tem roupas.

A cobertura do Unite.AI catalogou as classes de vulnerabilidades e as técnicas de injeção por anos. Nada disso é secreto. Ele simplesmente não aparece em folhas de dados.

A parte perigosa é o sentimento

Aqui é onde o título deste artigo para de ser retórico. Se essas ferramentas apenas entregassem menos do que prometem, a perda seria orçamentária. A pesquisa sugere algo pior: a confiança que elas geram degrada ativamente o comportamento.

Pesquisadores de segurança chamam de compensação de risco, ou o efeito Peltzman: pessoas protegidas assumem mais riscos. Motoristas com cintos de segurança dirigem mais rápido. E organizações com painéis de segurança de IA, descobriu-se, param de fazer as coisas chatas.

Os números se alinham de forma desconfortavelmente boa. O Índice de Prontidão para Segurança Cibernética da Cisco de 2025, que pesquisou 8.000 líderes de segurança, encontrou que 86% das organizações haviam experimentado um incidente de segurança relacionado à IA nos 12 meses anteriores, enquanto apenas 10% consideravam a IA a coisa mais difícil que tinham para proteger, e 60% admitiram que não tinham visibilidade sobre como os funcionários usam IA geradora. Incidentes quase universais; preocupação, um erro de arredondamento.

O Relatório do Custo de uma Violação de Dados da IBM de 2025 completa o quadro. Das organizações que sofreram violações de modelos ou aplicações de IA, 97% não tinham controles de acesso de IA adequados. Uma em cada cinco violações foi rastreada até a IA sombra, adicionando cerca de $670.000 ao custo médio de violação, e 63% das organizações violadas não tinham política de governança de IA. Leia esses números juntos e um padrão emerge: as falhas são chatas. Ausentes fundamentos, em organizações que se sentiam cobertas.

O painel não falhou. Ele entregou seu produto real, que era confiança.

O que a versão honesta parece

Nada disso argumenta que as ferramentas de segurança de IA sejam inúteis, e a melhor evidência contrária merece tempo no ar. Os Classificadores Constitucionais da Anthropic sobreviveram a mais de 3.000 horas de testes de equipe vermelha por 183 pesquisadores sem uma quebra universal, reduzindo o sucesso da quebra da prisão de 86% no modelo indefeso para 4,4%, ao custo de um aumento de 0,38 pontos em recusas excessivas e cerca de 24% de sobrecarga computacional. Em seguida, a Anthropic realizou um desafio público, e de 339 participantes, quatro limparam todos os níveis e um encontrou uma quebra universal funcionando de qualquer forma.

Essa é a forma honesta de todo o campo em um resultado: uma barreira de guarda bem construída aumentou enormemente o custo do atacante, carregou uma taxa mensurável e ainda caiu para um atacante humano suficientemente determinado. Se eu tivesse que comprimir este artigo em um princípio de compra, é este: um controle vendido como um aumento de custo com modos de falha publicados vale a pena avaliar; um controle vendido como um problema resolvido está vendendo o sentimento.

Controle ou manta de conforto: três perguntas

Você pode separar um do outro sem um orçamento de pesquisa. Três perguntas, feitas a cada ferramenta de segurança de IA que você possui ou está prestes a comprar.

Qual é sua taxa de bypass medida no meu ambiente? Não o benchmark do fornecedor. O seu. Validação contínua e exercícios de equipe roxa existem precisamente porque, como os dados da Picus mostram, controles implantados se desviam silenciosamente para a falha. Um número que você não mediu é um número que você está aceitando por fé.

O que acontece quando ele falha? Não se. A orientação prática da OWASP aponta a mesma direção que cada incidente acima: acesso de privilégio mínimo para modelos, portas de aprovação humanas em ações sensíveis e segmentação que assume que o filtro eventualmente deixará algo passar. O EchoLeak foi sobrevivível para organizações cujo Copilot simplesmente não podia alcançar nada worth roubar.

A afirmação do fornecedor é um fato ou uma hipótese? Mesmo os fornecedores concordam mais do que seus dados. A própria pesquisa da Vectra de 2.000 profissionais de SOC, pesquisa de fornecedor novamente, encontrou equipes capazes de lidar com apenas 38% dos alertas que seus instrumentos geram, com 60% dizendo que os fornecedores vendem instrumentos que criam ruído em vez de clareza, e metade chamando seus instrumentos de mais obstáculo do que ajuda. Quando os clientes da indústria relatam isso, “confie no datasheet” para de ser uma estratégia.

O padrão sobrevive ao patch

O EchoLeak foi corrigido em um Patch Tuesday. O padrão que ele demonstrou, uma barreira de guarda de produção confiante filtrando a porta da frente enquanto o ataque vinha pela fenda da carta, não foi, e o registro de pesquisa acima diz que não será logo.

A distinção de Schneier tem dezessete anos e nunca foi mais cara para ignorar. O sentimento de segurança é um produto, e a era da IA o vende em níveis de assinatura. A realidade da segurança é uma medição, e ninguém pode vendê-la a você, porque você tem que ir e pegá-la.