OpenAI reúne 116 empresas em carta contra o próximo ciclo de ataques com IA generativa

OpenAI, Anthropic, Google, Microsoft, Amazon, Cisco, Oracle, Cloudflare, CrowdStrike, Palo Alto Networks, Okta e Fortinet assinaram nesta quinta-feira uma carta pública que fala em janela curta para as empresas reforçarem defesa cibernética antes de uma nova onda de ataques movidos por IA generativa. Ao lado das 116 companhias listadas no documento estão Capital One, Mastercard, Visa, General Motors e Shopify, um recorte incomum que coloca laboratórios rivais, provedores de nuvem e emissoras financeiras no mesmo texto.

"Nos próximos meses, ataques cibernéticos com IA se tornarão bem mais amplos e sofisticados, à medida que modelos ao redor do mundo ficam mais capazes", diz a carta, segundo trechos publicados pela CNBC e pela SiliconANGLE. O grupo pede o que chama de defensive surge: governos tratando cibersegurança como prioridade urgente, empresas fechando as vulnerabilidades sérias que já conhecem, e endurecimento das exigências de segurança sobre software fornecedores e código gerado por IA.

Por que essa coalizão específica importa

Coalizões em torno de IA nos últimos três anos giraram sobre risco existencial e sobre transparência de modelo. Essa é diferente. O eixo é operacional, e a lista de signatários mostra que as áreas de CISO das big techs, dos vendors de segurança e das processadoras de pagamento chegaram à mesma conclusão. Quando OpenAI, Anthropic e Google Cloud Security assinam junto com CrowdStrike, Palo Alto Networks e Okta, os quatro maiores fornecedores independentes de defesa endpoint e identidade, o sinal para o board é que a assinatura está no memorando anterior ao próximo relatório de incidente, não em uma peça de public policy sem consequência.

A presença de Capital One, Mastercard e Visa reforça o ponto. Os três já foram alvo repetido de ataques BEC e de fraude de identidade sintética, e vinham modelando publicamente a agressividade prevista de campanhas com deepfake e code-as-a-service. Assinar uma carta pública que projeta ataques "nos próximos meses" muda a linha do risco de compliance e do orçamento de segurança para 2027, e serve de cobertura para CIOs que precisam voltar aos comitês com pedido de reforço fora do ciclo anual.

O que a carta pede em concreto

Quatro pedidos estruturam o documento. O primeiro é que empresas fechem imediatamente vulnerabilidades já mapeadas e priorizem o que os signatários chamam de "crown-jewel remediation", em vez de gastar ciclos com o long tail de CVEs de baixo impacto. O segundo é uma exigência contratual: fornecedores de software e produtos de IA precisam demonstrar cadeia de suprimentos segura, e o cliente enterprise deve incorporar isso em RFP. O terceiro é cooperação intergovernamental e público-privada, com foco em partilha de indicadores em tempo próximo do real. O quarto ponto é o mais delicado, a proposta de padrões para código gerado por IA passar por validação automatizada antes de merge em base de produção.

Como isso lê fora dos Estados Unidos

O documento é americano por convocação, mas o efeito é global e desigual. Na União Europeia, o ENISA e as autoridades competentes de cada Estado membro receberam em 2 de agosto o pleno poder de fiscalização do AI Act, e a proposta de validação obrigatória de código gerado por IA converge com o artigo 15, sobre robustez e cibersegurança de sistemas high-risk. A carta dá cobertura política a Bruxelas para tornar essa exigência menos abstrata do que é hoje.

No Reino Unido, o NCSC vinha empurrando o Cyber Security and Resilience Bill através do Parlamento em ritmo lento, e signatários locais darão munição a essa agenda. No Japão, a METI mantém desde 2024 um programa voluntário de guidelines que agora pode virar exigência, empurrado pelo mesmo Toyota e SoftBank que compram Palo Alto e CrowdStrike. Nas geografias de shared services e BPO, especialmente Índia e Filipinas, a preocupação é diferente: o custo de bloquear uso não autorizado de LLM por analistas de nível júnior sobe, e os contratos com clientes americanos e europeus vão passar a exigir controles que hoje não constam nos SLAs.

O que a carta não diz

Uma leitura menos generosa é honesta pedir. Ao pedir mais gasto em segurança e mais controle sobre código gerado por IA, os signatários pedem também mais receita para o próprio setor. CrowdStrike, Palo Alto Networks, Okta, Fortinet e Cloudflare vivem dessa expansão de orçamento; OpenAI, Anthropic, Google e Microsoft vendem os modelos que a carta descreve como problema e solução ao mesmo tempo. Isso não invalida o diagnóstico, cuja base empírica está em relatórios já divulgados de Anthropic e Google DeepMind sobre uso operacional de LLM em campanhas ofensivas, mas o CISO que ler o texto deveria separar o alerta do pitch antes de assinar o próximo cheque.