Após sistemas da OpenAI, Anthropic e Meta agirem sem comando humano e invadirem redes de terceiros, mercado de seguros revê o que conta como ataque cibernético
Seguradoras de risco cibernético estão revisando cláusulas de apólices que definem, há anos, o que caracteriza um ataque e quando a cobertura deve ser acionada. O motivo é a chegada de agentes de inteligência artificial capazes de agir de forma autônoma e, em alguns casos recentes, de maneira imprevista.
De acordo com reportagem da Reuters, executivos de seguradoras como MSIG, QBE e Beazley confirmaram que estão ajustando a linguagem de suas apólices tradicionais para dar conta de riscos ligados a sistemas que tomam decisões próprias após receber uma instrução inicial. A mudança foi motivada por uma sequência de incidentes registrados a partir de julho deste ano.
Apólices revisadas
Em julho, a OpenAI reconheceu que um de seus agentes, encarregado de um experimento de segurança cibernética, escapou do ambiente controlado do teste e invadiu servidores da plataforma Hugging Face, além de acessar contas de outras quatro empresas, entre elas a startup de inferência em IA Modal. Dias depois, o AI Security Institute do Reino Unido relatou que agentes construídos sobre modelos da OpenAI e da Anthropic haviam usado identidades falsas para se aproximar de pessoas e organizações reais durante avaliações de rotina.
Um desses casos, segundo a CNN, envolveu um agente da Anthropic que tentou instalar código malicioso após enganar um avaliador humano por meio de engenharia social. Nenhum dos episódios registrados até agora causou prejuízo financeiro, mas todos ocorreram sem instrução direta de um operador humano no momento da ação, o que é o cerne do problema para as seguradoras.
Apólices de seguro cibernético convencionais cobrem perdas originadas de eventos específicos: um funcionário que rouba dados, um servidor invadido por um agente externo, um sequestro de sistemas por ransomware. Um agente de IA que causa dano ao explorar, por conta própria, um acesso que a própria empresa concedeu a ele não se encaixa perfeitamente em nenhuma dessas categorias.
“Alguns prejuízos causados por agentes de IA certamente cairão dentro das apólices cibernéticas”, disse à Reuters Karthik Ramakrishnan, CEO da Armilla AI, empresa especializada em cobertura de riscos de IA. Segundo ele, os casos mais difíceis são aqueles em que não há um invasor convencional nem, necessariamente, uso não autorizado de credenciais, como quando uma empresa dá a um agente acesso à própria rede para corrigir falhas de segurança, e o sistema explora essa mesma falha por iniciativa própria.
A falta de histórico de sinistros ligados a esse tipo de evento dificulta ainda mais o cálculo do risco pelas seguradoras. “Elas ainda estão descobrindo qual é o potencial desses sistemas, como funcionam e que tipo de controle de segurança precisam para contê-los”, afirmou Sasha Romanosky, pesquisador sênior de políticas públicas da RAND Corporation focado em seguros e cibersegurança.
Um mercado que já crescia antes da IA entrar em cena
O seguro cibernético é um segmento relativamente jovem, mas em expansão acelerada. Segundo o relatório Global Cyber Risk and Insurance Survey 2026, da Munich Re, o mercado global somou cerca de US$ 15 bilhões em prêmios em 2025 e deve chegar a aproximadamente US$ 28 bilhões até 2030, um crescimento anual médio de 15% desde 2020. A corretora Aon projeta que quase 20% dos ataques cibernéticos envolverão inteligência artificial generativa até 2027.
A resposta das seguradoras não tem sido excluir riscos ligados a agentes autônomos, mas esclarecer como a cobertura já existente se aplica a eles. “As seguradoras reconhecem que é importante continuar oferecendo um produto que responda a esse tipo de evento”, disse Greg Eskins, líder global de produtos cibernéticos da corretora Marsh.
A QBE, por exemplo, tem reforçado a proteção para exposições emergentes específicas de IA. Segundo Serene Davis, chefe global de seguros cibernéticos da seguradora, quando um evento relacionado a IA deriva em um incidente cibernético convencional, o prejuízo resultante continua coberto pela apólice: “A IA é tratada como um amplificador de risco, não como um risco cibernético fundamentalmente novo.” Um porta-voz da britânica Beazley afirmou que as empresas querem ver os riscos de IA incluídos em apólices cibernéticas amplas, e que a seguradora está desenvolvendo cobertura conforme os riscos aparecem.
Ainda assim, alguns executivos indicam que exclusões pontuais estão sendo discutidas em partes do setor, sobretudo para eventos sistêmicos, nos quais um único modelo ou plataforma de IA poderia gerar perdas simultâneas em várias organizações, segundo Jenny Soubra, vice-presidente de linhas comerciais especializadas da Verisk Underwriting Solutions. Outra zona cinzenta é a de decisões autônomas tomadas por um agente funcionando exatamente como projetado, mas que geram prejuízo: parte do mercado tende a classificar esses casos como eventos não cibernéticos.
Paralelamente ao movimento das seguradoras, mais de cem empresas de tecnologia e segurança — incluindo OpenAI, Anthropic, Google, Microsoft, CrowdStrike e Okta — assinaram nesta semana uma carta aberta pedindo cooperação entre setor privado e governos para conter ataques cibernéticos potencializados por IA, citando hospitais, estações de tratamento de água e infraestrutura de internet entre os alvos de maior risco.
Por: Diogo Rodriguez
