Chaim Mazal, Diretor de Inteligência Artificial e Segurança da Gigamon – Série de Entrevistas

Chaim Mazal é o Diretor de Inteligência Artificial e Segurança da Gigamon, responsável pela segurança global, tecnologia da informação, operações de rede, governança, risco, conformidade, sistemas de negócios internos e segurança de produtos. Chaim também lidera o programa estratégico de inteligência artificial da empresa, impulsionando a governança, a adoção transversal e o uso seguro e responsável da inteligência artificial. Reconhecido pela revista Security Magazine como uma das pessoas mais influentes em segurança em 2025, ele é um membro vitalício da Fundação OWASP e atua em conselhos consultivos, incluindo Cloudflare, GitLab (GTLB ) e Rapid7. Anteriormente, ele ocupou cargos de liderança sênior em várias líderes do setor, mais recentemente como Vice-Presidente de Tecnologia e Diretor de Segurança da Kandji.

Gigamon é uma empresa de tecnologia de segurança cibernética e observabilidade que se concentra em fornecer visibilidade profunda do tráfego de rede em ambientes híbridos e multi-nuvem. Sua plataforma captura e analisa dados em movimento, incluindo pacotes, fluxos e metadados de aplicativos, para fornecer insights ações para ferramentas de segurança, nuvem e monitoramento de TI. Isso permite que as organizações detectem ameaças ocultas, melhorem o desempenho, mantenham a conformidade e reduzam a complexidade, eliminando pontos cegos em sistemas cada vez mais distribuídos e criptografados. Confiada por grandes empresas e organizações governamentais, a Gigamon ajuda a proteger e gerenciar a infraestrutura digital moderna em escala.

Você teve uma jornada única, desde passar tempo em fóruns de hacking como adolescente até se tornar Diretor de Inteligência Artificial e Segurança da Gigamon. Como essas experiências iniciais moldaram a forma como você pensa sobre as ameaças cibernéticas impulsionadas por inteligência artificial?

Eu recebi meu primeiro computador aos oito anos e aprendi experimentando, nomeadamente descobrindo o DOS, lendo manuais e, eventualmente, ensinando a mim mesmo Visual Basic. À medida que me aprofundei em comunidades da internet, fiquei fascinado com como o software poderia ser manipulado e onde os sistemas eram frágeis. Essa curiosidade evoluiu para testes de penetração de aplicativos web e segurança do ciclo de vida de desenvolvimento de SaaS.

O que é interessante sobre as ameaças atuais é que a inteligência artificial não inventa novas vulnerabilidades, mas escala a descoberta e exploração das existentes. Devido a essa perspectiva inicial, abordo a segurança da inteligência artificial supondo o uso adversarial desde o início, o que me ajuda a engenharia reversa de defesas para os clientes da Gigamon.

Você observou que os ataques de phishing, ransomware e malware gerados por inteligência artificial estão reduzindo o tempo de impacto de semanas para horas. Quais mudanças concretas você está vendo na forma como esses ataques são projetados e implantados?

A inteligência artificial reduziu fundamentalmente a barreira de entrada para o crime cibernético. Escrever malware, criar campanhas de phishing convincentes e identificar vulnerabilidades já exigia expertise técnica profunda. Agora, esses ataques podem ser acelerados e até totalmente automatizados com a ajuda de ferramentas de inteligência artificial. Os hackers não precisam mais de um forte background técnico para lançar campanhas sofisticadas, pois a inteligência artificial pode gerar código, refinar mensagens de engenharia social e ajudar os operadores a solucionar problemas em tempo real.

Como resultado desse aumento de acesso, todo o cenário de ameaças mudou. Sem estruturas de governança, requisitos de conformidade ou restrições éticas para desacelerá-los, os atacantes podem experimentar, adaptar e implantar a uma velocidade e custo mínimo. Como resultado, o tempo de impacto diminuiu drasticamente, e o que antes levava semanas agora pode acontecer em horas. Enquanto isso, muitas organizações ainda estão nos estágios iniciais de adotar a inteligência artificial de forma defensiva, o que significa que alguns dos usos mais eficazes de inteligência artificial estão sendo impulsionados por atores ameaçadores.

O que fundamentalmente separa um ataque cibernético impulsionado por inteligência artificial de ameaças automatizadas tradicionais, e você pode compartilhar um exemplo que torne essa diferença clara?

O que fundamentalmente separa um ataque cibernético impulsionado por inteligência artificial de ameaças automatizadas tradicionais é a autonomia e persistência. No passado, os hackers executavam um script e paravam quando falhavam. O “tempo de vida” era limitado ao tempo que levava para executar a automação. Com a inteligência artificial, os agentes recebem um objetivo e, se falharem, não param. Eles continuam iterando, procurando por caminhos alternativos para alcançar o mesmo objetivo. O tempo de vida é efetivamente infinito.

Por exemplo, com uma dependência de build de produção, os atacantes podem inserir algo tão pequeno quanto duas linhas de script, mantendo o tamanho do arquivo inalterado, o que significa que os bytes parecem idênticos. Quando o arquivo é compilado e executado, ele lança uma instância de terminal que instala um agente autônomo no ambiente corporativo, que então executa uma série de tarefas maliciosas que podem iterar indefinidamente. No passado, os binários eram vistos como vetores de ameaça pós-implantação. Agora, eles estão sendo manipulados constantemente, incluindo durante o próprio processo de build, para executar ações habilitadas por inteligência artificial dentro dos ambientes corporativos.

Muitas organizações ainda dependem de controles de segurança legados e planos de jogo estabelecidos. Por que essas abordagens estão falhando contra ataques habilitados por inteligência artificial, e onde você vê os pontos cegos mais perigosos?

Chegamos a um ponto em que, se você não está inovando e incorporando pensadamente a inteligência artificial em suas soluções e operações de segurança, você já está atrasado, e isso se aplica a grandes empresas e startups igualmente. As organizações que falham em integrar a inteligência artificial em sua estratégia de segurança correm o risco de serem ultrapassadas por atacantes que estão se movendo mais rápido e operando em uma escala maior.

Dito isso, defender-se contra ameaças impulsionadas por inteligência artificial não necessariamente requer uma reinvenção completa da pilha de tecnologia. Muitas das ferramentas que as empresas precisam já estão no lugar. A mudança real está em como essas ferramentas são usadas de forma eficaz. É sobre reforçar os fundamentos, aplicar tecnologias existentes de forma mais inteligente e adaptar defesas para levar em conta atacantes não treinados, mas habilitados por inteligência artificial.

Os atores ameaçadores estão usando a inteligência artificial de forma criativa e estratégica. Se as empresas não adotarem uma abordagem estratégica semelhante, correm o risco de criar pontos cegos maciços. Os líderes devem pensar de forma diferente sobre como implantar as ferramentas que já possuem, integrar a inteligência artificial em suas operações e evoluir seus planos de jogo para defender-se contra a velocidade e escala dos ataques de hoje.

A inteligência artificial parece estar reduzindo a barreira de entrada para o crime cibernético. Como essa mudança alterou o perfil dos atacantes de hoje, e quais riscos isso cria para as empresas?

A inteligência artificial tornou possível para quase qualquer pessoa se tornar um hacker. Com ferramentas de inteligência artificial à sua disposição, atores inexperientes, até mesmo adolescentes, agora podem lançar campanhas de phishing sofisticadas, implantar rootkits e executar ataques de ransomware que antes exigiam expertise técnica significativa.

Essa mudança adiciona um novo nível de imprevisibilidade ao cenário de ameaças. Em vez de enfrentar um número menor de grupos altamente sofisticados, as empresas agora enfrentam um espectro mais amplo de atores que estão experimentando rapidamente, aprendendo em tempo real e colaborando em comunidades online.

Para as organizações, isso significa não apenas mais ataques, mas também uma maior variabilidade na forma como eles são executados. As empresas devem se preparar para um ambiente de ameaças em que a capacidade não está mais diretamente ligada à experiência, e em que qualquer pessoa pode realizar campanhas que rivalizam com as de grupos historicamente avançados.

Com base no que você vê nas comunidades de atacantes, quais ferramentas impulsionadas por inteligência artificial estão ganhando tração, e como rápido essas capacidades estão melhorando?

É menos sobre ferramentas de inteligência artificial singulares ajudando os hackers e mais sobre o compartilhamento de recursos. Em vez de uma ferramenta única executando um processo linear, os atacantes estão usando agentes descentralizados que cruzam referências de dados e compartilham informações coletivamente através de diferentes ferramentas. O resultado funciona mais como uma malha de ataque, ou um enxame, do que como uma capacidade de um único ataque.

O que é mais notável sobre isso é a velocidade de melhoria. Essas capacidades estão mudando a cada dia, e muitas das ferramentas sendo utilizadas eram conceitos de prova apenas semanas atrás. O ritmo de inovação e iteração dentro das comunidades de atacantes está acelerando rapidamente, com novas técnicas e ferramentas surgindo quase em tempo real.

Do ponto de vista de um defensor, quais sinais sugerem que uma organização está enfrentando uma campanha impulsionada por inteligência artificial, e não um ataque mais convencional?

Do ponto de vista de um defensor, um sinal importante é que a reconhecimento não parece mais sequencial ou compartimentalizado. Historicamente, os atacantes seguiam etapas claras – coletando informações em fases, espaçando a atividade e visando uma superfície de ataque de cada vez. Agora, todas essas atividades estão acontecendo em conjunto. Gateways de e-mail, serviços externamente disponíveis, atividade de conta, técnicas de detecção e evasão estão sendo exercidas em uníssono, em vez de sequencialmente.

Outro sinal é a unificação e coordenação da atividade. O que costumava ser fragmentado agora está condensado e compartilhado coletivamente através de ferramentas, agindo mais como um enxame do que como um esforço isolado. Esses agentes estão continuamente iterando, adaptando e expediting a tomada de decisões em torno de vetores de ameaça, e não estão aceitando um não como resposta. Esse nível de atividade simultânea, coordenação e persistência sugere fortemente uma campanha impulsionada por inteligência artificial, e não um ataque convencional.

Você argumentou que muitas ferramentas de segurança de inteligência artificial atuais estão perdendo essas ameaças completamente. O que elas estão fazendo de errado, e quais capacidades são mais urgentemente necessárias?

Muitas ferramentas de segurança de inteligência artificial atuais ainda são construídas em torno da suposição falha de que a prevenção é o objetivo principal. Os fornecedores continuam a posicionar a inteligência artificial como uma forma melhor de bloquear ameaças na periferia, mas os atacantes estão mais rápidos, mais adaptáveis e cada vez mais pacientes, usando inteligência artificial, deepfakes e malware avançado que pode evadir controles e permanecer indetectado por meses.

O que é urgentemente necessário é visibilidade abrangente e em tempo real, bem como capacidades de detecção e resposta mais fortes. As organizações devem implementar avaliação de risco contínua, manter visibilidade do tráfego criptografado onde muitas ameaças se escondem e aproveitar telemetria derivada da rede e APIs para entender o que está sendo executado em seus sistemas e como os dados estão se movendo. A resiliência hoje não é sobre manter todas as ameaças fora, é sobre ver, parar e aprender com as ameaças antes que elas escalonem.

À medida que a inteligência artificial acelera tanto a ofensa quanto a defesa, você acredita que a inteligência artificial defensiva pode realisticamente manter o ritmo, ou estamos entrando em um período em que os atacantes manterão uma vantagem estrutural?

A inteligência artificial está acelerando ambos os lados da equação, mas no curto prazo, acho que os atacantes têm a vantagem. Eles não enfrentam restrições regulamentares, requisitos de conformidade ou guardiões éticos. Isso significa que podem experimentar livremente e iterar a um ritmo elevado. Por outro lado, as empresas têm que equilibrar a inovação com a governança, a privacidade e o risco operacional, o que naturalmente desacelera a adoção e implementação da inteligência artificial.

Dito isso, a inteligência artificial defensiva pode absolutamente sair por cima se as organizações e líderes mudarem sua abordagem. Táticas de segurança bem-sucedidas não virão do uso da inteligência artificial puramente para prevenção. Requererá integrar a inteligência artificial na detecção, investigação e fluxos de trabalho de resposta apoiados por visibilidade em tempo real. A vantagem não está permanentemente do lado do atacante, mas permanecerá lá até que as organizações parem de confiar apenas na prevenção. O verdadeiro dano ocorre quando um atacante viola a rede, frequentemente vivendo do território e esperando para exfiltrar dados. Os líderes devem mudar de “podemos prevenir uma violação” para “como podemos detectar e remover intrusos?”

Olhando para os próximos seis a doze meses, quais técnicas de ataque impulsionadas por inteligência artificial você espera que se tornem amplamente disseminadas, e o que as equipes de segurança devem fazer agora para se preparar?

Seis a doze meses é um tempo imenso nesse ambiente. As coisas estão realisticamente mudando a cada seis a doze semanas. O progresso rápido da inteligência artificial torna difícil prever técnicas específicas que os hackers usarão em frente, então o foco deve ser menos em adivinhar o que vem a seguir e mais em como se preparar.

Os defensores precisam aproveitar a mesma tecnologia impulsionada por inteligência artificial que os atacantes estão usando, com um forte ênfase na defesa em profundidade. Isso significa usar a inteligência artificial para cruzar referências de fluxos constantes de dados em tempo real, confiando em telemetria de rede imutável para identificar comportamento transacional em ambientes de nuvem privada, nuvem pública e locais, e alimentar essa telemetria nas ferramentas apropriadas, para que as equipes de segurança estejam ativamente cientes quando sua organização está sendo varrida.

Ao mesmo tempo, a mentalidade de defesa perimetral precisa ser aposentada. Não é uma questão de se um ataque impulsionado por inteligência artificial acontecerá, mas quando. A prioridade agora é identificação precoce, redução de impacto e remediação oportuna. Isso inclui ter um plano sólido de resposta a incidentes, aplicar princípios de confiança zero, impor segmentação de rede, manter gerenciamento de acesso com revisões contínuas e fazer ajustes dinâmicos conforme necessário para proteger os dados dos clientes e limitar o impacto.

Obrigado pela entrevista esclarecedora, leitores interessados em observabilidade profunda e segurança de rede impulsionada por inteligência artificial podem visitar Gigamon.