Acompanhando esta semana os desdobramentos no maior negócio de cibersegurança do mundo em faturamento, segundo a própria Microsoft, uma notícia chamou minha atenção mais que as outras.
A empresa decidiu refazer, do zero, exatamente a área que mais fatura dentro de casa. Não é a reestruturação de um time que fracassou. É a reestruturação de um time que fatura bilhões, mas que descobriu que a régua de competição mudou debaixo dos seus pés.
(Estando à frente de toda a área de Tecnologia da empresa, da estratégia à segurança da informação, essa é uma das perguntas que mais me acompanha ultimamente: até que ponto a minha governança está sendo redesenhada por escolha, e até que ponto ela só vai mudar quando a pressão externa chegar primeiro?)
A resposta que a Microsoft está dando, com troca de comando, corte de vagas e um produto que caça vulnerabilidades no estilo do próprio adversário, revela mais sobre o próximo ciclo da cibersegurança do que qualquer anúncio de produto seria capaz de revelar sozinho.
Nesta semana, a executiva de segurança da Microsoft, Hayete Gallot, substituiu oito ou mais executivos que respondiam ao antecessor, Charlie Bell, agora deslocado para um papel de engenheiro individual focado em qualidade.
A trilha de decisão é clara. Segurança de código escaneada por IA, produtos para monitorar os próprios agentes autônomos das empresas e o Security Copilot como carro-chefe.
O símbolo mais forte dessa mudança é o Project Perception, uma plataforma de caça a vulnerabilidades que combina modelos da própria Microsoft, da OpenAI e da Anthropic. A escolha não é ingênua, é resposta direta ao avanço do Mythos, o modelo que a Anthropic mantém sob controle rígido através do Project Glasswing.
Os números preliminares divulgados pela própria Microsoft chamam atenção. Dezesseis vulnerabilidades inéditas encontradas em componentes do Windows, recall de 96% a 100% em testes internos contra casos confirmados, e 88% de acerto em mais de 1.500 tarefas de reprodução de falhas em projetos de código aberto.
São resultados de pesquisa reportados pela própria empresa, não garantias de produto. Mas indicam a direção: a IA está encontrando falhas de software mais rápido do que qualquer time humano seria capaz.
Aqui mora o primeiro paradoxo. A mesma capacidade que permite corrigir uma vulnerabilidade antes que um invasor a explore é, por definição, a capacidade de descobrir essa vulnerabilidade antes que o desenvolvedor a corrija.
Não é acaso que a Anthropic mantenha o Mythos sob acesso restrito, em vez de liberá-lo amplamente. Poder de exploração de falhas em escala é, ao mesmo tempo, ferramenta de defesa e arma de ataque.
O preço reforça esse controle. Uma estimativa de custo de API do Mythos gira em torno do dobro do Opus e cerca de 82% acima do GPT, o que sugere que o acesso ao poder máximo também é regulado pelo bolso, não só pela política de uso.
A Microsoft, por sua vez, está vendendo a promessa oposta: o mesmo resultado, por metade do preço, dentro do contrato que a empresa já possui. Competir em custo, quando o adversário compete em capacidade bruta, é uma aposta estratégica clara.
E é aqui que a conversa deveria mudar de escala, saindo de Redmond e chegando à sua mesa.
Nem a LGPD, nem o PL 2338 tratam explicitamente da governança de agentes autônomos de segurança que operam em uso duplo. A legislação brasileira ainda enxerga a IA, majoritariamente, como ferramenta de processamento de dados, não como uma colaboradora com privilégios de acesso e capacidade de ação.
O risco não é hipotético. Cada agente autônomo contratado por uma empresa é, ao mesmo tempo, um ganho de produtividade e uma porta nova para invasão. Quanto mais agentes, maior a superfície de ataque, e a maioria dos times de tecnologia ainda avalia essas ferramentas pelo que entregam, não pelo que expõem.
Se uma das maiores empresas de segurança do mundo precisou trocar comando, cortar estrutura e reconstruir seu produto do zero só para acompanhar essa régua, o alerta vale para qualquer negócio menor que ainda trata segurança como item de conformidade, não como vantagem competitiva.
Vale lembrar: tecnologia nova não cria vulnerabilidade, ela apenas revela, com rapidez cruel, aquelas que a organização já carregava.
Antes de comprar a próxima ferramenta de IA para proteção, vale perguntar: a sua governança já está pronta para conviver com uma colaboradora que nunca dorme, e que também pode ser usada contra você?
Seguimos!
