A nova corrida de cibersegurança com IA que está preocupando bancos e reguladores

A inteligência artificial está mudando rapidamente o equilíbrio entre quem ataca e quem defende sistemas digitais. Reguladores financeiros ao redor do mundo passaram a alertar que modelos avançados de IA capazes de encontrar falhas de software podem expor bancos e infraestruturas críticas a ataques muito mais rápidos e escaláveis.

Dois desenvolvimentos recentes estão no centro desse debate: o Claude Mythos, da Anthropic — um sistema de IA com forte foco em segurança cibernética — e o Daybreak, iniciativa da OpenAI voltada para ajudar organizações a descobrir e corrigir vulnerabilidades antes que sejam exploradas.

Juntos, esses projetos mostram um cenário cada vez mais claro: a cibersegurança está se transformando em uma corrida armamentista movida por IA.

Por que reguladores financeiros estão preocupados

Para bancos centrais e autoridades regulatórias, o risco não é apenas tecnológico — ele pode afetar a estabilidade do sistema financeiro. Bancos dependem de infraestruturas digitais complexas que sustentam pagamentos, crédito, mercados e transferências internacionais.

Se falhas críticas nesses sistemas forem exploradas rapidamente por ferramentas automatizadas, múltiplas instituições poderiam ser afetadas ao mesmo tempo.

Nos Estados Unidos, o secretário do Tesouro, Scott Bessent, e o presidente do Federal Reserve, Jerome Powell, teriam convocado uma reunião de emergência com CEOs de grandes bancos para discutir as implicações de segurança relacionadas ao modelo Claude Mythos .

O tema também apareceu em debates internacionais. O Fundo Monetário Internacional (FMI) alertou que ferramentas de IA capazes de descobrir vulnerabilidades em grande escala podem representar risco sistêmico para o sistema financeiro global se forem usadas para contornar defesas tradicionais .

Na Austrália, o regulador bancário APRA (Australian Prudential Regulation Authority) também alertou que modelos inspirados no Claude Mythos podem dar a atacantes capacidades que o setor financeiro ainda não está preparado para enfrentar . O órgão chegou a sugerir que bancos talvez precisem de acesso controlado a ferramentas semelhantes para testar suas próprias defesas.

Em várias jurisdições, as recomendações dos reguladores estão convergindo para medidas como:

• testes de segurança e exercícios de "red team" com IA
• descoberta e correção de vulnerabilidades mais rápidas
• fiscalização mais rigorosa de fornecedores de software
• governança e relatórios de incidentes cibernéticos mais robustos

O objetivo é garantir que instituições financeiras consigam reagir a ameaças que evoluem na velocidade das máquinas, e não apenas no ritmo de equipes humanas .

O que torna o Claude Mythos tão preocupante

O Claude Mythos Preview, da Anthropic, foi apresentado como um sistema avançado com forte capacidade de análise de segurança de software.

Segundo relatos, o modelo conseguiu localizar e explorar falhas em grandes sistemas operacionais e navegadores amplamente utilizados . A própria Anthropic afirmou que o sistema identificou “milhares de vulnerabilidades de alta gravidade” em plataformas populares .

Em um exemplo citado por reportagens, o modelo teria descoberto uma falha no sistema operacional OpenBSD que passou despercebida por cerca de 27 anos .

O ponto central da preocupação é a velocidade e escala que a IA pode trazer para ataques cibernéticos. Em teoria, um sistema avançado poderia automatizar etapas que antes levavam semanas ou meses para pesquisadores humanos:

• varrer enormes bases de código
• identificar vulnerabilidades ocultas
• gerar código de exploração
• combinar múltiplas falhas em um único ataque

Isso é particularmente preocupante para bancos, muitos dos quais operam sistemas complexos e, em alguns casos, infraestrutura de TI construída ao longo de décadas .

Vale notar que muitos detalhes sobre as capacidades do Mythos vêm de reportagens e fontes secundárias, o que significa que algumas afirmações ainda são difíceis de verificar de forma independente. Mesmo assim, o potencial impacto foi suficiente para provocar atenção regulatória global .

A resposta defensiva: o Daybreak da OpenAI

Para equilibrar esse cenário, empresas de tecnologia estão desenvolvendo ferramentas de IA voltadas especificamente para defesa digital.

Um exemplo recente é o Daybreak, iniciativa da OpenAI criada para ajudar organizações a detectar e corrigir vulnerabilidades antes que atacantes as explorem.

A plataforma combina modelos avançados de IA com o Codex Security, um sistema baseado em agentes que ajuda equipes de segurança a analisar código, identificar falhas e gerar correções verificadas .

A ideia central é integrar segurança diretamente no ciclo de desenvolvimento de software — em vez de agir apenas depois que ataques acontecem.

Entre as funções relatadas do sistema estão:

• detecção automatizada de vulnerabilidades
• modelagem de ameaças e análise de risco
• geração e validação de patches
• análise de dependências e segurança da cadeia de software

A OpenAI também introduziu camadas especializadas de modelos focados em segurança, como o GPT‑5.5‑Cyber, além de ambientes com acesso restrito para pesquisadores e profissionais autorizados realizarem testes de segurança .

Segundo relatos sobre o lançamento, o objetivo é reduzir o tempo entre a descoberta de uma vulnerabilidade e a implementação da correção — um fator crítico quando ataques automatizados podem ocorrer em alta velocidade .

Uma nova corrida armamentista na cibersegurança

O surgimento simultâneo de sistemas como o Claude Mythos e o Daybreak reflete uma transformação maior no setor de segurança digital.

A IA pode acelerar tanto o ataque quanto a defesa:

• modelos ofensivos podem descobrir falhas em escala inédita
• ferramentas defensivas podem analisar código e gerar correções muito mais rapidamente

Nesse cenário, a vantagem pode depender de quem automatiza primeiro — atacantes ou defensores.

Por isso, reguladores passaram a pressionar bancos e grandes empresas a adotarem defesas baseadas em IA para acompanhar a evolução das ameaças.

O que bancos e empresas precisam preparar

Autoridades financeiras estão deixando claro que tecnologia por si só não basta. Governança e gestão de risco serão cada vez mais centrais.

Entre as prioridades discutidas por reguladores estão:

• governança e auditoria de sistemas de IA
• controle de acesso a modelos de segurança avançados
• práticas seguras de desenvolvimento de software
• testes de resiliência contra ataques com IA
• cooperação entre reguladores, bancos e empresas de cibersegurança

Essa mudança reflete um entendimento crescente: em vez de vulnerabilidades ocasionais, organizações podem enfrentar varreduras contínuas e automatizadas em seus sistemas.

Em resumo

O avanço de modelos de IA capazes de encontrar falhas exploráveis em software está forçando reguladores e instituições financeiras a repensar suas estratégias de segurança.

Enquanto ferramentas como o Claude Mythos mostram como vulnerabilidades podem ser descobertas muito mais rapidamente, iniciativas como o Daybreak, da OpenAI, tentam dar aos defensores o mesmo poder de automação.

O equilíbrio entre ataque e defesa provavelmente dependerá da rapidez com que empresas e governos conseguirem integrar IA à segurança cibernética — de forma responsável e bem governada.