A segurança de dispositivos IoT deixou de ser uma pauta restrita à equipe de infraestrutura ou à área de facilities. Ela passa a ser uma questão de continuidade operacional, governança de fornecedores e exposição financeira. A razão é simples: a inteligência artificial tende a reduzir o tempo, o custo e o conhecimento técnico necessários para identificar aparelhos conectados vulneráveis e transformá-los em portas de entrada para redes corporativas. Uma câmera, uma impressora, uma TV de sala de reunião ou um controlador de ar-condicionado não precisa conter informação estratégica para gerar um incidente grave. Basta estar conectado, mal configurado, sem atualização ou em uma rede que permita movimento lateral.
Para conselhos, CEOs, CIOs e CISOs, o debate não deve girar em torno da previsão exata sobre quando uma IA será capaz de se replicar sem supervisão. O risco relevante já é econômico e operacional: adversários podem usar IA para multiplicar tentativas contra patrimônios de IoT mal documentados. Empresas que ainda tratam esses ativos como compras de conveniência estão criando uma superfície de ataque invisível, difícil de assegurar e cara de remediar após um incidente.
O que está acontecendo
A Anthropic testou se modelos de inteligência artificial conseguiriam identificar dispositivos conectados vulneráveis na internet, copiar a si mesmos para esses dispositivos e prosseguir com a propagação. Segundo a reportagem do Olhar Digital, modelos com menos de 30 bilhões de parâmetros concluíram etapas individuais do processo, mas tiveram dificuldade em executar toda a sequência de forma autônoma.
Modelos mais avançados, incluindo o GLM-5.2, conseguiram completar a replicação ponta a ponta em ambientes de teste simplificados, nos quais algumas barreiras de segurança haviam sido removidas. A Anthropic estima que modelos menores poderiam adquirir capacidade de autorreplicação autônoma até o fim de 2026 caso o ritmo recente de evolução continue. Isso não equivale à existência imediata de um malware de IA capaz de dominar aparelhos domésticos ou corporativos em massa. O sinal estratégico é que tarefas antes fragmentadas — descoberta, exploração, cópia e nova propagação — podem se tornar cada vez mais automatizáveis.
Por que isso importa para empresas: segurança de dispositivos IoT
A maior consequência para o negócio é a mudança na relação entre atacante e defensor. Até recentemente, explorar uma frota heterogênea de dispositivos conectados exigia tempo, repertório técnico e esforço manual. Com agentes de IA, a mesma operação pode ganhar escala, persistência e capacidade de adaptação. Isso amplia a exposição de organizações que possuem equipamentos conectados, mas não sabem exatamente onde eles estão, quem os administra ou qual versão de firmware executam.
Setores como saúde, hotelaria, varejo, manufatura, logística, educação e imóveis comerciais merecem atenção especial. Eles operam grandes quantidades de câmeras, sensores, terminais, equipamentos prediais e dispositivos de atendimento que são difíceis de atualizar ou substituir. Nesses ambientes, a segurança de dispositivos IoT precisa ser tratada como controle corporativo, e não como responsabilidade isolada de operações prediais.
- Maior custo de incidentes: um equipamento exposto pode servir de ponte para sistemas corporativos, ampliando o escopo de resposta e recuperação.
- Pressão sobre seguros: inventários incompletos e controles frágeis tendem a elevar o risco percebido por seguradoras e parceiros.
- Risco de fornecedor: fabricantes sem suporte prolongado de firmware passam a representar passivo operacional e contratual.
- Impacto em compras: preço baixo deixa de ser vantagem quando o dispositivo não oferece identidade, atualização e gestão de credenciais.
Aplicações práticas: segurança de dispositivos IoT
O melhor ponto de partida não é comprar uma plataforma de IA defensiva. É eliminar a falta de visibilidade sobre os ativos conectados. Nos próximos 90 dias, TI e Segurança devem implantar ou ampliar ferramentas de descoberta de ativos de rede e controle de acesso à rede, conhecido como NAC. O objetivo é identificar todo dispositivo não gerenciado, incluindo smart TVs, câmeras, impressoras, equipamentos de videoconferência, controladores HVAC e sistemas prediais.
Descoberta, classificação e isolamento
Cada dispositivo encontrado deve ser classificado por proprietário, função, localização, fabricante, versão de firmware e criticidade. Em seguida, a empresa deve criar VLANs específicas para IoT e aplicar regras de acesso negado por padrão. Uma câmera não deve conseguir iniciar comunicação com servidores corporativos apenas por estar na mesma rede. Uma TV de recepção não deve ter caminho para sistemas financeiros, estações de trabalho ou bases de dados.
Compras com exigências de ciclo de vida
Compras e Jurídico precisam incluir requisitos objetivos em novos contratos: período documentado de suporte de firmware, credenciais únicas por equipamento, compromisso de correção de vulnerabilidades e clareza sobre o responsável pela atualização. Para ativos já instalados, o plano deve priorizar os dispositivos sem suporte, com senhas compartilhadas ou sem capacidade de segmentação. Onde a substituição não for viável, controles compensatórios de rede se tornam essenciais.
Responsabilidade executiva e métricas
O conselho deve receber métricas simples: percentual de dispositivos descobertos, percentual segmentado, quantidade sem suporte ativo e número de exceções com acesso à rede corporativa. Essas medidas conectam a operação técnica ao risco de negócio e evitam que a gestão de IoT fique dispersa entre facilities, fornecedores e equipes locais.
Minha análise
Minha posição é direta: a discussão sobre uma IA que se autorreplica pode ser sensacionalista se apresentada como ameaça imediata, mas é estratégica quando revela a erosão das barreiras econômicas para o ataque cibernético. O problema não é esperar um agente autônomo perfeito. O problema é reconhecer que agentes imperfeitos já podem acelerar reconhecimento, teste de falhas e exploração de ambientes negligenciados.
Nos próximos seis a doze meses, a diferença competitiva não estará entre empresas que “adotaram IA” e empresas que não adotaram. Estará entre organizações que conseguem provar controle sobre seus ativos conectados e aquelas que dependem de planilhas, fornecedores sem compromisso de atualização e redes planas. Também veremos maior poder de negociação para fabricantes capazes de oferecer identidade de dispositivo, gestão centralizada e suporte de longo prazo. Em contraste, fornecedores de baixo custo sem ciclo de vida de segurança deverão enfrentar exclusão gradual de processos corporativos de compra.
O que acompanhar
Executivos devem acompanhar três sinais. O primeiro é a evolução da capacidade de agentes de IA em encadear tarefas técnicas sem supervisão, especialmente descoberta e exploração de ativos conectados. O segundo é o endurecimento dos requisitos de seguradoras, clientes corporativos e auditorias sobre inventário, segmentação e suporte de firmware. O terceiro é a maturidade dos fornecedores: empresas que não conseguem informar por quanto tempo corrigem seus produtos não deveriam ser tratadas como fornecedoras estratégicas.
A questão prática é menos tecnológica do que gerencial. A organização sabe quais dispositivos estão conectados, quais têm acesso a sistemas críticos e quem responderá quando um fabricante abandonar atualizações?
Fonte: reportagem do Olhar Digital, disponível em https://olhardigital.com.br/2026/10/13/inteligencia-artificial/anthropic-alerta-ia-pode-se-replicar-em-tvs-e-eletrodomesticos/.
O risco de IoT ampliado por IA não exige pânico, mas exige disciplina. Inventariar, segmentar, restringir acessos e contratar fornecedores responsáveis são decisões que reduzem a superfície de ataque antes que ela se transforme em incidente, interrupção operacional ou custo de seguro. Empresas maduras vão tratar cada dispositivo conectado como parte da arquitetura corporativa, independentemente de ele estar em uma fábrica, recepção, loja, hospital ou prédio comercial. Quantos equipamentos não gerenciados em sua organização ainda poderiam alcançar a rede corporativa?
Read this article in English: English version
