Envio de dados confidenciais para IA cresce 30 vezes em um ano

15/04/2025 mindsecblog Notícias 0

Envio de dados confidenciais para IA cresce 30 vezes em um ano, aponta pesquisa da Netskope

Empresa alerta que a genAI pode transformar colaboradores em ameaças às empresas – se não houver controle adequado de segurança de dados

A Netskope, líder em segurança e redes modernas, publicou hoje uma pesquisa que revela um aumento de 30 vezes nos dados enviados para aplicações de IA generativa (genAI) por usuários corporativos no último ano. Isso inclui dados confidenciais, como código-fonte, dados regulamentados, senhas, chaves de acesso e propriedade intelectual, crescendo significativamente os riscos de violações que geram prejuízo financeiro, quebra de compliance e roubo de propriedade intelectual.

O relatório também destaca como a shadow AI – o uso de ferramentas de IA sem a aprovação ou supervisão da área de segurança – tornou-se o tópico de maior desafio da TI e como ela prejudica as organizações, já que 72% dos usuários corporativos fazem uso de contas pessoais nas aplicações genAI.

O Relatório de ameaças e nuvem de IA generativa de 2025 do Netskope Threat Labs detalha a onipresença do uso da genAI no universo corporativo. No momento da conclusão deste relatório, a Netskope tinha visibilidade de 317 aplicações de genAI como ChatGPT, Google Gemini e GitHub Copilot. Uma análise mais ampla revela que 75% dos usuários corporativos estão acessando aplicações com recursos genAI, gerando um problema ainda maior às equipes de segurança: a ameaça interna não-intencional.

“Apesar dos esforços para implementar ferramentas genAI gerenciadas pela empresa, a nossa pesquisa mostra que a shadow IT se transformou em shadow AI, com quase três quartos dos usuários ainda acessando apps genAI por meio de contas pessoais”, diz James Robinson, CISO da Netskope. “Essa tendência contínua, quando combinada com os dados que são compartilhados, ressalta a necessidade de recursos avançados de segurança de dados para que as equipes de segurança e gerenciamento de riscos possam recuperar a governança, a visibilidade e o nível aceitável em relação ao uso de IA generativa dentro das empresas.”

Redução de riscos

Muitas empresas não têm visibilidade total ou mesmo parcial sobre como os dados são processados, armazenados e aproveitados dentro do uso indireto da genAI. Muitas vezes, escolhem aplicar uma política de “bloquear antes e perguntar depois” a qual permite explicitamente certas aplicações e as demais. O ideal, aos líderes, seria buscar uma estratégia segura, já que os profissionais/colaboradores querem os benefícios de eficiência e produtividade dessas ferramentas.

“Nossos dados mais recentes mostram que a genAI não é mais uma tecnologia de nicho; ela está em todo lugar”, diz Ray Canzanese, diretor do Netskope Threat Labs. “Ela está cada vez mais integrada a tudo, desde aplicações dedicadas até interações de backend. Essa onipresença traz um desafio crescente de segurança cibernética e exige que as organizações adotem uma abordagem abrangente no gerenciamento de riscos. Caso contrário, correrão o risco de ter seus dados confidenciais expostos a terceiros que podem usá-los para treinar novos modelos de IA gerando novas oportunidades para exposições ainda mais amplas dos dados.”

Ao longo do último ano, o Netskope Threat Labs observou um aumento significativo na quantidade de organizações que operam infraestrutura de IA generativa localmente, passando de menos de 1% para 54% e essa tendência deve continuar. Apesar de reduzir os riscos de exposição indesejada de dados para aplicações de terceiros em nuvem, a mudança para infraestrutura local gera novos tipos de riscos à segurança de dados, desde vulnerabilidades na cadeia de suprimentos, vazamento de dados e manuseio inadequado das saídas de dados até injeção de prompts, jailbreaks e extração de metaprompts. Como resultado, muitas empresas adicionam a infraestrutura de IA generativa hospedada localmente – além da utilização de aplicações de IA generativa baseadas em nuvem.

“Além de estar reformulando a segurança de perímetro e de plataformas, a genAI está reescrevendo as regras”, diz Ari Giguere, vice-presidente de Segurança e Operações de Inteligência da Netskope. “À medida que os atacantes criam ameaças com precisão generativa, as defesas precisam ser igualmente generativas, evoluindo em tempo real para enfrentar essa ‘inflação da inovação”.

Sob a perspectiva do CISO

À medida que os profissionais de segurança combatem ameaças impulsionadas por IA, muitos estão se voltando a ferramentas de segurança já integradas ao seu conjunto de tecnologias.

Quase 100% das empresas estão trabalhando para reduzir os riscos de IA com políticas que lhes permitem bloquear o acesso a ferramentas de IA e/ou controlar quais usuários podem acessar ferramentas especificadas e quais dados podem ser compartilhados com essas ferramentas. A Netskope recomenda que as empresas revisem, adaptem e ajustem suas estruturas de risco especificamente para IA ou genAI por meio de esforços para garantir proteção adequada de dados, usuários e redes.

As etapas táticas específicas para abordar o risco de genAI incluem:

Avaliar o seu panorama de genAI: É preciso entender quais aplicações genAI e infraestrutura genAI são hospedadas localmente e utilizadas? Quem está usando? Como estão sendo usadas?
Reforce seus controles de genAI: Revise e compare regularmente seus controles com as práticas recomendadas, como: permitir apenas aplicações aprovadas; bloquear as não aprovadas; usar prevenção de perda de dados (DLP, sigla em inglês para data loss prevention) para evitar que dados confidenciais sejam compartilhados com aplicações não-autorizadas; e incentivar o treinamento do usuário em tempo real.
Faça um inventário dos seus controles locais: Se você estiver executando qualquer infraestrutura genAI localmente, revise estruturas relevantes, como o OWASP Top 10 para aplicações de modelos de grandes linguagens (LLMs), o AI Risk Management Framework do National Institute of Standards and Technology (NIST) e o MITRE Atlas para garantir a proteção adequada de dados, dos usuários e das redes.

Para obter mais informações sobre ameaças em nuvem e as últimas descobertas do Netskope Threat Labs, acesse o Hub de Pesquisa de Ameaças da Netskope.

Acesse o Relatório na íntegra AQUI.