Uma IA conduziu até 90% de um ataque sozinha. Quem responde por isso na sua empresa?

O ataque em que o humano apertou poucos botões

Em novembro de 2025, a Anthropic publicou o relatório "Disrupting the first reported AI-orchestrated cyber espionage campaign". Nele, a empresa conta que em meados de setembro detectou um grupo que atribui, com alta confiança, a um ator patrocinado pelo Estado chinês, usando o Claude Code para atacar umas 30 organizações: empresas de tecnologia, instituições financeiras, indústrias químicas, órgãos de governo. Algumas dessas invasões deram certo.

O que muda a conversa é a divisão do trabalho. Segundo o relatório, a IA executou sozinha de 80% a 90% das operações táticas, do reconhecimento à coleta de dados, passando pela busca de falhas e pelo teste de credenciais. As pessoas apareceram em poucos pontos de decisão, que a Anthropic estima entre quatro e seis por campanha. Coisas como autorizar a passagem do reconhecimento para a exploração, ou escolher quais dados levar.

Quatro a seis decisões humanas. O resto, máquina.

O relatório também registra um limite, e é justo registrar: em alguns momentos a IA inventou resultado, como credenciais que não funcionavam. Ainda assim, o modelo de operação ficou demonstrado. E ele deixa uma pergunta que os organogramas de hoje não respondem bem.

O título que a lei não deixa sumir

Tem uma ironia nessa história. Em julho, o Vicente Conde escreveu sobre como os cargos estão perdendo sentido justamente dentro da Anthropic. Partindo de uma observação de Boris Cherny, um dos criadores do Claude Code, ele descreve uma empresa em que o trabalho se organiza por arquétipos (quem prototipa, quem constrói, quem mantém) e não por títulos.

Na segurança, esse movimento bate num limite. O cargo de quem responde por segurança não existe por causa do organograma. Existe porque alguém precisa ter o nome no documento.

No Brasil, a Resolução CMN 4.893, de 2021, obriga as instituições financeiras a designar um diretor responsável pela política de segurança cibernética e pelo plano de resposta a incidentes, e exige que essa política seja aprovada pelo conselho de administração. O arquétipo pode mudar quanto quiser. O nome no papel fica.

Mais culpa, menos poder de decisão

O problema é o que vem junto com esse nome. A Splunk, da Cisco, publicou em fevereiro de 2026 o "CISO Report", com 650 CISOs de nove países. Mais de três quartos dizem temer ter de responder pessoalmente por incidentes; um ano antes, eram pouco mais da metade. E quase todos contam que a governança de IA também caiu na mesa deles.

A autoridade não veio junto. O "2025 Voice of the CISO", da Proofpoint, ouviu 1.600 CISOs em 16 países, Brasil incluído, e a parcela que se diz alinhada com o conselho caiu de 84%, em 2024, para 64%. No "State of the CISO 2025", da IANS Research com a Artico Search, responderam mais de 830 executivos. Só 47% conversam com o conselho todo mês ou todo trimestre, e só 28% se encaixam no perfil de CISO estratégico, com acesso de verdade ao C-level e voz nas decisões do conselho.

Responsabilidade subindo e acesso a quem decide caindo. É uma combinação ruim para qualquer cargo, e pior para um que deveria liderar.

O que de fato colocou executivos no banco dos réus

Dois casos americanos assombram qualquer CISO, e costumam ser resumidos em "se vazar, quem paga sou eu". Os desfechos contam uma história mais precisa.

Joe Sullivan, ex-diretor de segurança da Uber, foi condenado em outubro de 2022 por obstruir uma investigação da FTC e por ocultar um crime. Ele havia tratado um vazamento de dados como se fosse pagamento de recompensa por falhas, sem avisar as autoridades. Recebeu três anos de liberdade condicional e multa de US$ 50 mil, e em março de 2025 o Tribunal de Apelações do Nono Circuito manteve a condenação por unanimidade.

Timothy Brown, CISO da SolarWinds, foi processado pessoalmente pela SEC em outubro de 2023, acusado de induzir investidores a erro sobre as práticas de segurança da empresa. Em julho de 2024 a Justiça derrubou a maior parte das acusações, e em novembro de 2025 o caso foi encerrado de vez, sem acordo.

Repare que em nenhum dos dois a acusação era ter sido invadido. Era o que se disse, ou se escondeu, sobre a segurança. Guarde essa distinção, porque ela fica bem mais complicada quando quem age não é uma pessoa.

Quando ninguém apertou o botão

Agora coloque um agente de IA nessa conta. Em julho de 2025, Jason Lemkin, fundador da SaaStr, contou que o agente de programação da Replit apagou o banco de dados de produção do projeto dele, no meio de um congelamento explícito de código. Segundo a Fortune, a base tinha registros de mais de 1.200 executivos e mais de 1.190 empresas. O próprio agente escreveu que tinha destruído meses de trabalho em segundos e admitiu ter rodado comandos sem autorização, ignorando a instrução de pedir aprovação humana. O CEO da Replit, Amjad Masad, chamou o episódio de inaceitável e disse que aquilo nunca deveria ter sido possível.

E aí, de quem é a culpa? Do fornecedor, que fez a ferramenta? Do cliente, que deu ao agente acesso à produção? Do agente, que não tem CPF?

A lei ainda não decidiu. Na Europa, a Comissão retirou em 2025 a proposta de diretiva de responsabilidade civil para IA, alegando que não havia acordo à vista. Sobrou a nova Diretiva de Responsabilidade por Produtos, de 2024, que passa a tratar software e sistemas de IA como produto sujeito a responsabilidade objetiva, e os países têm até 9 de dezembro de 2026 para adotar as regras. O AI Act exige que sistemas de alto risco possam ser supervisionados e interrompidos por pessoas (artigo 14), mas essas obrigações foram adiadas para dezembro de 2027. Aqui, o PL 2338/2023, aprovado pelo Senado em dezembro de 2024, espera o parecer do relator na comissão especial da Câmara.

Enquanto a lei não decide, quem decide é o contrato. E o conselho.

Três decisões que são do conselho, não do CISO

1. Escrever a autoridade, e não só a responsabilidade. A regulação brasileira já exige que o conselho aprove a política de segurança das instituições financeiras. Falta colocar nela quem pode autorizar um agente de IA a agir em produção, a mexer em dado de cliente ou a testar sistemas, e com quais limites. Hoje o documento costuma dizer quem responde, mas quase nunca diz quem pode mandar.

2. Definir quais decisões continuam humanas. Os atacantes da campanha descrita pela Anthropic fizeram exatamente isso, com quatro a seis decisões guardadas para pessoas. Faça o mesmo com os seus agentes: liste as ações que exigem aprovação humana e torne tecnicamente impossível pular essa etapa. O caso da Replit mostra a diferença entre instrução e controle. O agente recebeu a ordem de pedir aprovação, e não pediu.

3. Cada agente com um dono e um contrato. Todo agente, interno ou de fornecedor (inclusive os de pentest autônomo, que já testam sistemas sozinhos), precisa de um responsável com nome, um escopo escrito, um jeito de ser desligado na hora e uma cláusula dizendo quem paga o dano se ele sair do escopo.

A pergunta para a próxima reunião

Da próxima vez que alguém levar ao conselho um projeto com agentes de IA, faça uma pergunta só: se esse agente fizer amanhã algo que nenhuma pessoa autorizou, qual nome vai sair na nota oficial?

Se a sala ficar em silêncio, o CISO continua necessário. Só falta alguém escrever o que ele pode decidir.

Os atacantes já escolheram as quatro a seis decisões que continuam humanas. A sua empresa ainda precisa escolher as dela.