O alerta do Reino Unido surge num calendário apertado. O país provavelmente enfrentará ciberataques habilitados por IA contra infraestruturas críticas até 2028, à medida que criminosos e agentes estatais incorporam cada vez mais a tecnologia nas suas operações. A China e a Rússia estiveram entre os Estados identificados como parte do quadro de ameaças.¹

A avaliação do National Cyber Security Centre é mais específica: espera que malware impulsionado por IA seja utilizado num ataque de ransomware contra infraestruturas críticas do Reino Unido nos próximos dois anos. O seu relatório anual afirma que a IA quase certamente atuará como um multiplicador de força para atacantes capazes, enquanto 88% dos incidentes que afetam grandes organizações podem ser atribuídos a quatro pontos de entrada familiares: aplicações expostas publicamente, phishing, contas válidas e serviços remotos.²

Isto cria um contraste desconfortável. As vias de ataque não são exóticas, mas a IA poderá tornar a exploração mais rápida, mais ampla e mais convincente. Richard Horne, diretor-executivo do NCSC, afirmou que a revolução da IA deve “obrigar as organizações do Reino Unido a confrontarem-se com o estado atual da sua cibersegurança.”²

A resposta oficial está a avançar para uma infraestrutura defensiva mais robusta, incluindo um National Cyber Shield e um centro de vulnerabilidades. Mas Heigor Freitas, da entidade setorial CREST, argumenta que a resiliência não pode ser delegada à legislação. “Os líderes da indústria não esperam pela regulamentação para impulsionar melhorias”, afirmou, instando as organizações a compararem-se com normas reconhecidas, procurarem garantia independente e incorporarem competência profissional.²

O seu ponto é direto: a conformidade é uma base mínima, não um escudo. As empresas que implementam IA, diz ele, têm de avaliar riscos e controlos para além das regras atuais — e garantir que os seus testes são apoiados por normas especializadas e verificadas de forma independente.²