Estratégia de segurança de IA do Walmart: Principais lições empresariais sobre risco, identidade e defesa

A VentureBeat conduziu recentemente uma entrevista virtual com Jerry R. Geisler III, vice-presidente executivo e diretor de segurança da informação do Walmart Inc., para explorar os desafios de segurança cibernética enfrentados pelo maior varejista do mundo à medida que a IA autônoma se torna mais predominante.

Nossa discussão se concentrou na segurança dos sistemas de IA agêntica, na modernização do gerenciamento de identidades e nas principais conclusões do desenvolvimento da Element AI, a plataforma de IA centralizada do Walmart. Geisler ofereceu uma perspectiva franca e refrescante sobre como a empresa lida com ameaças de segurança sem precedentes, desde o combate a ataques cibernéticos impulsionados por IA até a proteção de sua enorme infraestrutura híbrida de várias nuvens. Sua abordagem orientada a startups para reformular os sistemas de gerenciamento de identidade e acesso fornece insights valiosos para empresas de todos os portes.

Como líder de segurança de uma organização do porte do Walmart, que opera no Google Cloud, no Azure e em ambientes de nuvem privada, Geisler traz uma experiência diferenciada para implementar arquiteturas Zero Trust e promover o que ele descreve como "velocidade com governança" - capacitando a rápida inovação da IA em um ambiente de segurança confiável. As escolhas arquitetônicas feitas durante o desenvolvimento da Element AI influenciaram a estratégia geral do Walmart para consolidar as tecnologias emergentes de IA.

Aqui estão alguns trechos selecionados de nossa conversa:

VentureBeat: Como suas atuais estruturas de governança e proteções de segurança estão se adaptando para combater novas ameaças e ações de modelos não intencionais à medida que a IA generativa e agêntica se torna mais autônoma?

Jerry R. Geisler III: A adoção da IA agêntica introduz riscos totalmente novos que ignoram os mecanismos de defesa tradicionais. Entre eles estão a exfiltração de dados, o uso indevido de APIs e a colaboração oculta entre agentes - qualquer um deles pode interromper as operações comerciais ou violar os requisitos regulamentares. Nossa abordagem se concentra na criação de uma segurança proativa e resiliente por meio do AI-SPM (AI Security Posture Management) avançado, permitindo a supervisão contínua dos riscos, a segurança dos dados, a conformidade e a confiança.

VB: Com o RBAC convencional mostrando limitações em ambientes dinâmicos de IA, como o Walmart está refinando seus modelos de gerenciamento de identidade e Zero Trust para fornecer acesso a dados com granularidade fina e reconhecimento de contexto?

Geisler: Uma organização do nosso porte exige uma estratégia personalizada, que adote uma mentalidade de startup. Nossa equipe frequentemente revisa o que construiria desde o início, perguntando: "Se começássemos hoje, como seria o gerenciamento de identidade e acesso (IAM)?" O IAM evoluiu significativamente nas últimas três décadas, e nossa ênfase está na modernização de nossa pilha de IAM para simplificar a complexidade. Embora diferente do Zero Trust, nossa adesão ao princípio do menor privilégio continua firme.

Estamos otimistas quanto à evolução e à adoção de protocolos como MCP e A2A, pois eles abordam preocupações reais de segurança e nos ajudam a implementar controles de acesso detalhados e sensíveis ao contexto. Esses protocolos dão suporte a decisões de acesso em tempo real usando credenciais verificáveis e de curta duração - avaliando continuamente a identidade, a classificação dos dados e o risco. Isso garante que cada agente, ferramenta e solicitação seja validado de forma consistente, incorporando totalmente os princípios do Zero Trust.

VB: Como a configuração híbrida de várias nuvens do Walmart - usando Google, Azure e nuvens privadas - influencia suas táticas de segmentação e microssegmentação Zero Trust para cargas de trabalho de IA?

Geisler: Nossa estratégia de segmentação se baseia na identidade, não na localização da rede. As políticas de acesso são aplicadas de forma consistente às cargas de trabalho em ambientes na nuvem e no local. Graças aos avanços em protocolos como MCP e A2A, a aplicação de borda de serviço está se tornando padronizada, permitindo a aplicação uniforme de confiança zero.

VB: Com a IA possibilitando ataques mais avançados, como campanhas de phishing convincentes, quais defesas orientadas por IA o Walmart está implementando para identificar e neutralizar essas ameaças em evolução?

Geisler: No Walmart, estamos empenhados em antecipar e combater as ameaças emergentes, especialmente à medida que a IA transforma o espaço da segurança cibernética. Enquanto os agentes mal-intencionados empregam cada vez mais a IA generativa para lançar campanhas de phishing altamente persuasivas, estamos usando as mesmas tecnologias para simular ataques adversários e criar resiliência proativa.

Incorporamos o aprendizado de máquina avançado em nossos sistemas de segurança para identificar comportamentos incomuns e sinalizar tentativas de phishing. Além da detecção, usamos IA generativa para modelar cenários de ataque e testar rigorosamente nossas defesas por meio de exercícios de equipe vermelha em grande escala.

Ao integrar cuidadosamente as pessoas e a IA, ajudamos a proteger nossos associados e clientes à medida que o ecossistema digital evolui.

VB: A Element AI faz uso extensivo de modelos de IA de código aberto. Quais são os riscos de segurança exclusivos que isso representa e como sua abordagem de segurança em nível empresarial está se adaptando?

Geisler: Baseamos nossa segmentação na identidade, não na localização da rede. As políticas de acesso são aplicadas de forma consistente em ambientes na nuvem e no local. Com protocolos como MCP e A2A ganhando força, a aplicação da borda do serviço está se tornando padronizada, garantindo que a confiança zero seja implementada de maneira uniforme.

VB: Considerando as operações globais e sempre ativas do Walmart, que sistemas automatizados ou de resposta rápida vocês têm para gerenciar incidentes simultâneos de segurança cibernética?

Geisler>Operar na escala do Walmart exige uma segurança que seja rápida e contínua. Incorporamos a automação inteligente em várias camadas do nosso programa de resposta a incidentes. Ao aproveitar as plataformas SOAR, orquestramos os fluxos de trabalho de resposta em todas as regiões, permitindo a contenção rápida de ameaças.

Também dependemos muito da automação para a avaliação contínua de riscos e para priorizar as respostas com base na gravidade. Isso garante que nossos recursos sejam alocados onde são mais necessários.

Ao alinhar funcionários qualificados com automação rápida e contexto acionável, oferecemos segurança eficaz na velocidade e na escala exigidas pelo Walmart.

VB: Quais estratégias o Walmart está usando para atrair, desenvolver e manter profissionais de segurança cibernética capazes de navegar no ambiente de ameaças e IA em evolução?

Geisler: Nosso programa Live Better U (LBU) oferece aos associados educação acessível - muitas vezes gratuita -, permitindo que eles obtenham diplomas e certificações em segurança cibernética e TI. Isso oferece aos associados de várias origens um caminho claro para aprimorar suas habilidades. O currículo enfatiza o aprendizado prático que se aplica diretamente aos requisitos de segurança do Walmart.

Também organizamos nossa SparkCon anual (anteriormente Sp4rkCon), com palestras de especialistas e perguntas e respostas com os principais profissionais. O evento explora os mais recentes desenvolvimentos, técnicas, tecnologias e ameaças em segurança cibernética, criando oportunidades de networking e de avanço na carreira para os participantes.

VB>Analisando o desenvolvimento da Element AI, quais foram os principais insights sobre segurança cibernética ou arquitetura que moldaram suas decisões sobre quando e como centralizar as tecnologias emergentes de IA?

Geisler: Essa é uma pergunta essencial - nossas decisões arquitetônicas de hoje definirão nosso perfil de risco por anos. Ao desenvolver uma plataforma de IA centralizada, tiramos duas lições fundamentais que informam nossa direção futura.

Em primeiro lugar, a centralização apoia muito a "velocidade com governança". Ao estabelecer um caminho unificado e simplificado para o desenvolvimento de IA, reduzimos a complexidade para os cientistas de dados. E, do ponto de vista da segurança, ela cria um único plano de controle. Incorporamos a segurança desde o início, garantindo práticas uniformes de dados, análises de modelos e monitoramento de resultados. Isso permite que a inovação prospere rapidamente, dentro de uma estrutura na qual podemos confiar.

Em segundo lugar, ele permite "defesa e especialização concentradas". O ambiente de ameaças de IA está mudando rapidamente. Em vez de espalhar nossos especialistas em segurança de IA em vários projetos independentes, a centralização nos permite reunir nossos melhores talentos e as defesas mais eficazes em um ponto-chave. Podemos implementar e refinar recursos avançados de segurança, como controles de acesso sensíveis ao contexto, monitoramento imediato e prevenção contra perda de dados, estendendo essa proteção de forma contínua a todos os casos de uso.