Cibercriminosos deixaram a fase de experimentação e passaram a usar inteligência artificial (IA) de forma operacional em invasões, segundo o Relatório de Segurança em IA 2026 da Sophos, empresa britânica de cibersegurança, divulgado nesta quarta-feira, 22.

O efeito principal não é o surgimento de ameaças inéditas, mas a compressão do tempo — o ciclo de ataque caiu de semanas para poucos dias.

"Os invasores ainda precisam de um acesso inicial, ainda se movimentam lateralmente pela rede e ainda extraem dados por canais conhecidos. O que mudou foi o relógio", afirma John Peterson, diretor de tecnologia da Sophos.

Doze agentes e um segredo

O achado que sustenta o relatório é a campanha identificada como STAC6994, apontada pela empresa como uma das primeiras provas concretas de IA em operação criminosa ativa.

Segundo a Sophos, o grupo montou um ambiente de desenvolvimento de software oculto dentro da rede de uma vítima e utilizou cerca de 12 agentes de IA para programar e testar ataques contra soluções de segurança em endpoints, incluindo produtos da própria Sophos, da CrowdStrike e o Microsoft Defender.

Em poucos dias, foram produzidos quase 80 módulos e mais de 70 técnicas de evasão — trabalho que, pela avaliação da empresa, levaria semanas para ser concluído por uma equipe humana.

A identidade virou a porta de entrada

O relatório aponta a adoção corporativa de IA como a fonte de vulnerabilidades que mais cresce.

Assistentes corporativos, modelos abertos e agentes de programação recebem acessos privilegiados a sistemas críticos, e os criminosos passaram a mirar as credenciais e permissões dessas ferramentas.

Chaves de API, conexões OAuth e identidades digitais de IA tornaram-se alvos prioritários.

Ao comprometer esses acessos e as ferramentas de desenvolvedores, invasores abrem caminhos para entrar em redes corporativas.

A leitura da empresa é que a IA deixou de ser apenas uma questão de segurança do modelo e passou a ser um problema de identidade, governança e cadeia de suprimentos.

A tendência coincide com outro levantamento da própria Sophos, o State of Ransomware 2026, que afirma que o roubo de identidades se tornou a principal porta de entrada para invasões pela primeira vez em mais de três anos.

Engenharia social em escala: golpes personalizados e mais baratos

Com IA, fraudes e engenharia social ganharam escala e passaram a funcionar de forma convincente em vários idiomas, com custo de produção muito menor.

Entre os casos citados está o de uma vítima no Reino Unido que perdeu centenas de milhares de libras ao ser atraída para uma falsa plataforma de investimentos.

"Os invasores ainda precisam de um acesso inicial, ainda se movimentam lateralmente pela rede e ainda extraem dados por canais conhecidos. O que mudou foi o relógio." — John Peterson, Diretor de Tecnologia da Sophos

O golpe foi construído ao longo de meses, com lições e mensagens coordenadas por IA.

A infraestrutura de desenvolvimento de IA também está sob ataque, com ferramentas comprometidas e programas maliciosos voltados ao roubo de credenciais, o que amplia riscos na cadeia de suprimentos, no treinamento de dados e em servidores de inferência.

O mercado clandestino se profissionalizou

O relatório sintetiza o cenário em cinco eixos principais: a aceleração drástica dos ciberataques; a migração dos alvos para identidades digitais e APIs de IA; a popularização de deepfakes na engenharia social; a profissionalização do mercado clandestino com automação via IA; e a crescente vulnerabilidade nas cadeias de suprimento e ferramentas de desenvolvimento.

"A segurança em IA não é mais uma discussão teórica sobre riscos futuros ou comportamento de modelos", afirma Peterson.

Segundo ele, o diferencial nos próximos meses será a rapidez com que as empresas conseguirão governar o uso da tecnologia e proteger suas identidades.

O estudo se baseia em casos do serviço de detecção e resposta gerenciada da Sophos, pesquisas dos SophosLabs, dados da Counter Threat Unit, estudos do time de IA da empresa e telemetria de mais de 625 mil clientes globais.

A Sophos é sediada em Oxford, no Reino Unido.