ENISA alerta que a IA pode transformar novas vulnerabilidades em armas em apenas 15 minutos

A Agência da União Europeia para a Cibersegurança (ENISA) alerta que a IA de fronteira pode reduzir o tempo necessário para transformar vulnerabilidades recém-descobertas em armas para apenas 15 minutos, como escreve o Security Affairs.

O alerta surge do relatório de julho de 2026 da ENISA, Cibersegurança na Era da IA de Fronteira, que defende que a IA está a acelerar quase todas as fases de um ciberataque, desde o reconhecimento e a exploração até ao roubo de dados.

A IA está a acelerar drasticamente os ciberataques

A ENISA afirma que o tempo mediano entre um comprometimento inicial e o roubo de dados pode agora cair para cerca de 72 minutos.

Mais preocupante ainda, os atacantes podem potencialmente transformar uma vulnerabilidade recém-descoberta numa arma em 15 minutos.

Os sistemas baseados em IA podem automatizar trabalho que anteriormente exigia uma investigação manual substancial e conhecimentos técnicos, permitindo que os atacantes avancem muito mais depressa do que as equipas de segurança tradicionais.

As ferramentas de IA estão a encontrar muito mais vulnerabilidades

A ENISA destacou também uma organização que anteriormente identificava cerca de 80 CVEs por trimestre.

Depois de introduzir ferramentas de IA, esse número terá subido para cerca de 500 vulnerabilidades por dia.

O aumento mostra como a IA pode aumentar drasticamente a escala da descoberta e da análise de vulnerabilidades, criando um desafio crescente para as organizações que ainda dependem de processos manuais mais lentos.

ENISA alerta para um “Authority Gap”

A ENISA descreve outro problema emergente como o “Authority Gap”.

O termo refere-se a situações em que os processos internos de aprovação e de tomada de decisão demoram mais tempo do que um ataque automatizado necessita para estabelecer persistência dentro de uma rede.

As equipas de segurança podem identificar rapidamente um problema grave, mas os procedimentos manuais de revisão, autorização e remediação podem impedi-las de responder à mesma velocidade que os atacantes baseados em IA.

Isso pode tornar os fluxos de trabalho tradicionais de gestão de vulnerabilidades cada vez mais ineficazes.

ENISA quer que as organizações automatizem a remediação

A ENISA recomenda que os recursos sejam deslocados da simples descoberta de mais vulnerabilidades para uma priorização e remediação mais rápidas.

As organizações podem utilizar sistemas de triagem automatizados, como o Exploit Prediction Scoring System (EPSS) e o Vulnerability Exploitability Exchange (VEX), para identificar quais as falhas que exigem a resposta mais rápida.

A ENISA recomenda também manter inventários de ativos precisos para que as equipas de segurança possam dar prioridade imediata aos sistemas críticos.

A agência afirma que as organizações devem apontar para tempos de deteção e resposta medidos em minutos de um só dígito, à medida que a automatização dos ataques continua a melhorar.

A IA também pode ajudar os defensores a lidar com vulnerabilidades em escala. As atualizações do Patch Tuesday de setembro de 2026 da Microsoft, por exemplo, corrigiram 966 vulnerabilidades.

No entanto, algumas falhas ainda podem contornar essas melhorias de segurança. A vulnerabilidade ShieldCrash, recentemente divulgada, mostrou que mesmo os sistemas Windows totalmente atualizados podem continuar expostos.

O alerta da ENISA sugere que as organizações podem ter de repensar completamente a gestão de vulnerabilidades, à medida que a IA continua a comprimir os prazos dos ataques de dias ou horas para minutos.