Reco visa erradicar os pontos cegos da IA sombria em todas as empresas

A IA está se espalhando pelos locais de trabalho em um ritmo sem precedentes. Todos os dias, os funcionários conectam ferramentas de IA aos sistemas corporativos, muitas vezes sem a aprovação ou a supervisão das equipes de segurança de TI. O resultado é o que os especialistas chamam de shadow AI: uma rede crescente de integrações e ferramentas que acessam os dados da empresa sem monitoramento.

O Dr. Tal Shapira, cofundador e CTO da Reco, um provedor de segurança SaaS e governança de IA, diz que essa expansão invisível pode se tornar uma das maiores ameaças organizacionais da atualidade. Ele observa que a velocidade de adoção da IA já ultrapassou as proteções empresariais atuais.

"Passamos de 'a IA está chegando' para 'a IA está em toda parte' em cerca de 18 meses. O desafio é que as estruturas de governança não acompanharam esse ritmo", disse Shapira.

A ameaça oculta nos sistemas corporativos

De acordo com Shapira, a maioria dos sistemas de segurança corporativa foi criada para uma era mais antiga, em que tudo ficava atrás de firewalls e limites de rede. A Shadow AI interrompe esse modelo operando de dentro para fora, escondida nos próprios aplicativos da empresa.

Muitas ferramentas modernas de IA se integram diretamente às plataformas SaaS cotidianas, como Salesforce, Slack ou Google Workspace. Embora isso não seja inerentemente perigoso, a IA geralmente se conecta por meio de permissões ou plug-ins que permanecem ativos após a configuração. Essas conexões "silenciosas" podem continuar fornecendo à IA acesso aos dados da empresa, mesmo depois que o funcionário que as instalou sair ou parar de usar as ferramentas. Isso representa um grande desafio para a IA invisível.

Shapira disse: "O problema mais profundo é que essas ferramentas se incorporam à infraestrutura da empresa, às vezes por meses ou anos, sem serem detectadas."

Essa nova classe de risco é especialmente difícil de rastrear, pois muitos sistemas de IA são probabilísticos. Em vez de executar comandos fixos, a IA faz previsões com base em padrões. Como resultado, seu comportamento varia de acordo com o contexto, tornando a supervisão e o controle mais difíceis.

Quando a IA se comporta de forma inesperada

Incidentes do mundo real revelam o impacto tangível da IA invisível. Recentemente, a Reco colaborou com uma empresa financeira da Fortune 100 que acreditava que seus sistemas eram seguros e estavam em conformidade. Poucos dias após a implantação do monitoramento da Reco, a empresa descobriu mais de 1.000 integrações não autorizadas de terceiros em seus ambientes Salesforce e Microsoft 365 - mais da metade impulsionada pela IA.

Uma integração, uma ferramenta de transcrição vinculada ao Zoom, havia registrado todas as chamadas de clientes, incluindo negociações de preços e feedback confidencial. "Eles estavam inadvertidamente treinando um modelo de terceiros em seus dados mais confidenciais", explicou Shapira. "Não havia contrato nem clareza sobre como esses dados eram armazenados ou usados."

Em outro caso, um funcionário conectou o ChatGPT diretamente ao Salesforce, permitindo que a IA produzisse centenas de relatórios internos em horas. Embora eficiente, esse procedimento expôs os detalhes dos clientes e as previsões de vendas a uma plataforma de IA externa.

Como a Reco revela o que não se vê

A plataforma da Reco oferece às empresas visibilidade total sobre quais ferramentas de IA se conectam aos seus sistemas e os dados que essas ferramentas podem acessar. Ela examina continuamente os ambientes de SaaS em busca de permissões OAuth, aplicativos de terceiros e extensões de navegador. Uma vez identificados, o Reco indica quais usuários os instalaram, quais permissões eles têm e se o comportamento parece incomum.

Se uma conexão parecer arriscada, o sistema alertará os administradores ou revogará automaticamente o acesso. "A velocidade é fundamental porque as ferramentas de IA podem extrair grandes volumes de dados em horas, não em dias", observou Shapira.

Ao contrário dos produtos de segurança tradicionais focados em perímetros de rede, o Reco tem como alvo a camada de identidade e acesso. Isso o torna adequado para as organizações atuais que priorizam a nuvem e dependem de SaaS, em que a maioria dos dados reside além do firewall tradicional.

Um alerta de segurança mais amplo

Os analistas do setor dizem que a abordagem da Reco reflete uma tendência maior de segurança empresarial: deixar de bloquear a IA para governá-la. Um relatório recente da Cisco sobre a prontidão da IA constatou que 62% das organizações admitem ter visibilidade limitada sobre como os funcionários usam as ferramentas de IA no trabalho. Quase metade já enfrentou pelo menos um incidente de dados relacionado à IA.

À medida que a IA é incorporada ao software convencional - do Einstein da Salesforce ao Microsoft Copilot - o desafio aumenta. "Você pode presumir que está usando uma plataforma confiável", afirmou Shapira, "mas não percebe que ela agora inclui recursos de IA que acessam automaticamente suas informações."

A plataforma da Reco aborda essa lacuna monitorando as atividades de IA aprovadas e não aprovadas, ajudando as organizações a entender onde seus dados fluem e por quê.

Adotando a IA com confiança

Shapira acredita que estamos entrando na "fase de infraestrutura de IA" - um momento em que todas as ferramentas de negócios incluirão IA de alguma forma, visível ou não. Isso torna essencial o monitoramento contínuo, o acesso com privilégios mínimos e as permissões com tempo limitado.

"As empresas bem-sucedidas não serão aquelas que bloquearem a IA", observou ele. "Elas serão as que a adotarem de forma responsável, com grades de proteção que protejam a inovação e a confiança."

A IA obscura, enfatizou ele, não reflete o descuido dos funcionários, mas a rapidez com que a tecnologia está avançando. "As pessoas querem ser produtivas", disse ele. "Nosso papel é permitir isso sem colocar a organização em risco."

Para as empresas que buscam aproveitar a IA sem perder o controle de seus dados, a mensagem de Reco é direta: Não se pode proteger o que não se pode ver.

Fonte da imagem: Unsplash