Carta aberta da OpenAI sobre cibersegurança: o que mais de 100 empresas acabaram de assinar juntas

Nesta semana, a OpenAI publicou uma carta aberta, A Call for Collective Action on Cyber Defense ("Uma convocação à ação coletiva em defesa cibernética"), pedindo o que ela chama de "uma mobilização global em defesa cibernética". O que faz da carta uma notícia não é só o texto, é o bloco de assinaturas. Mais de cem organizações assinaram juntas, incluindo empresas que competem entre si todos os dias: a OpenAI ao lado de Anthropic e Google, a Microsoft ao lado da AWS, além de nomes de que as lojas online já dependem, como Shopify, Visa, Mastercard e GoDaddy.

Quando tantos rivais concordam com algo em público, esse algo merece leitura. Aqui vai a versão curta, e a nossa opinião sobre o que isso significa para um negócio online.

O que a carta diz

A tese central cabe em duas frases: os ciberataques com IA estão prestes a ficar muito mais comuns e sofisticados. Mas os mesmos avanços de IA dão aos defensores uma janela para corrigir fraquezas acumuladas por anos, se todos agirem agora. A carta chama isso de "a janela dos defensores".

Em seguida, a carta lista o que de fato tem deixado os sistemas expostos. Leia a lista com calma, porque nada nela é futurista:

"Bugs antigos, permissões excessivas, configurações incorretas, software inseguro e desatualizado, autenticação fraca e dívida técnica em sistemas legados deixaram os sistemas expostos."

Nenhuma menção a supervírus ou a hackers de IA imparáveis. As maiores empresas de tecnologia do mundo, ao definir o problema, nomearam os fundamentos: software desatualizado, logins fracos, sistemas expostos que não deveriam estar. Se você acompanha esta série, essa lista deve soar familiar. É a mesma que aparece em todos os casos sobre os quais escrevemos, do agente de ransomware que entrou por uma falha sem correção à maioria das vulnerabilidades exploradas que não precisam de nenhum clique.

O que ela pede que as pessoas façam

A carta se dirige a quatro grupos. Governos, empresas de segurança e laboratórios de IA recebem o próprio dever de casa: financiamento, compartilhamento de inteligência de ameaças, tornar a defesa com IA acessível a quem tem orçamento limitado. Mas o primeiro grupo é toda organização, e essa é a seção que merece a sua atenção. Em resumo, ela pede que cada empresa:

• Faça da segurança cibernética uma prioridade da liderança e a trate com a urgência de um incidente, não como um projeto para depois.
• Corrija primeiro as fraquezas de maior risco, e verifique se as correções realmente funcionaram.
• Estruture privilégio mínimo e controles de acesso fortes, para que cada pessoa tenha só o acesso de que precisa.
• Suba a régua do que você compra, constrói e implanta, incluindo código gerado por IA.
• Use IA para ter cobertura ampla de segurança a custo menor, reservando as ferramentas complexas para os problemas mais difíceis.

Se isso parece uma lista feita para empresa com departamento de segurança, ela se traduz direto para uma loja sem um: saiba o que você tem exposto, atualize primeiro o que está disponível na internet, coloque MFA em todo login que importa, dê a cada pessoa só o acesso necessário e tenha alguém monitorando.

Nossa opinião honesta

Duas coisas podem ser verdade ao mesmo tempo, e esta carta é as duas.

Ela tem interesse próprio. Empresas de IA pedindo defesa com IA também estão descrevendo o próprio roadmap de produto. Justo. Nós também somos uma empresa de segurança nativa em IA, então a mesma ressalva vale para nós, e você deve pesar o nosso entusiasmo de acordo.

E ela está certa. A trajetória de ameaças que a carta descreve é a que documentamos com dados públicos o ano inteiro: ataques se industrializando, o nível mínimo de habilidade caindo, a janela entre a divulgação de uma falha e a sua exploração encolhendo. Quando as empresas que constroem os modelos, operam as nuvens e processam os pagamentos do mundo dizem juntas que a segurança do jeito que está não vai bastar, isso não é consenso de marketing, porque essas signatárias não dividem o mesmo departamento de marketing. É o tipo raro de consenso que só se forma em torno de algo que os dados de todo mundo já mostram.

A parte que a gente sublinharia para você é a admissão discreta da carta: a solução para uma ameaça acelerada por IA não é exótica. São os fundamentos, feitos com urgência, verificados e, para equipes sem departamento de segurança, feitos com ajuda. Essa é a premissa inteira que esta série de artigos defendeu, agora assinada por uma centena de empresas que raramente concordam em alguma coisa.

Para o seu time de TI. A seção "toda organização" da carta é um checklist útil: correção priorizada das exposições de maior risco com verificação, implantação de privilégio mínimo e autenticação forte, políticas de compra que incluam revisão de código gerado por IA, e controles compensatórios onde a correção interromperia a operação. A gente mantém a versão técnica deste manual para quem cuida desse lado da sua operação. Veja o que a gente checaria →

---

A carta diz para começar corrigindo as fraquezas de maior risco — encontrar as suas é o primeiro passo de todo trabalho da Confidanti. Fale com a gente.