Carta da OpenAI sobre cibersegurança: resumo e quem assinou

Em 28 de agosto de 2026, a OpenAI publicou uma carta aberta, A Call for Collective Action on Cyber Defense ("Uma convocação à ação coletiva em defesa cibernética"), pedindo o que ela chama de "uma mobilização global em defesa cibernética". O que faz da carta uma notícia não é só o texto, é o bloco de assinaturas. Mais de 150 organizações já assinaram até 3 de setembro (a lista está aberta e continua crescendo), incluindo empresas que competem entre si todos os dias: a OpenAI ao lado de Anthropic e Google, a Microsoft ao lado da AWS, além de nomes de que as lojas online já dependem, como Shopify, Visa, Mastercard, PayPal e GoDaddy.

Quando tantos rivais concordam com algo em público, esse algo merece leitura. Abaixo: o que a carta diz de fato, quem assinou, o que ela pede às empresas (traduzido para uma loja sem departamento de segurança) e a nossa opinião.

O que a carta "A Call for Collective Action on Cyber Defense" diz de fato

A carta é curta, e o argumento central está nas linhas a seguir:

"Temos uma janela limitada para fortalecer as defesas cibernéticas."

"Nos próximos meses, os ciberataques com IA vão se tornar muito mais comuns e sofisticados, à medida que os modelos ao redor do mundo ficam cada vez mais capazes."

"Os avanços de IA de hoje já estão dando aos defensores novas formas de corrigir fraquezas acumuladas por anos. Se agirmos com decisão, podemos usar a janela dos defensores para tornar o nosso mundo digital muito mais seguro."

Ou seja: os ataques estão prestes a ficar mais comuns e mais capazes, mas a mesma tecnologia dá aos defensores uma vantagem inicial, se todos agirem agora. Em seguida, a carta nomeia o que de fato tem deixado os sistemas expostos. Leia a lista com calma, porque nada nela é futurista:

"Bugs antigos, permissões excessivas, configurações incorretas, software inseguro e desatualizado, autenticação fraca e dívida técnica em sistemas legados deixaram os sistemas expostos."

Nenhuma menção a supervírus ou a hackers de IA imparáveis. As maiores empresas de tecnologia do mundo, ao definir o problema, nomearam os fundamentos: software desatualizado, logins fracos, sistemas expostos que não deveriam estar. Se você acompanha esta série, essa lista deve soar familiar. É a mesma que aparece em todos os casos sobre os quais escrevemos, do agente de ransomware que entrou por uma falha sem correção à maioria das vulnerabilidades exploradas que não precisam de nenhum clique.

A carta fecha com três princípios: "a segurança do jeito que está não vai bastar", "capacitar mais defensores com IA voltada à segurança" e "mobilizar uma resposta coletiva". O texto completo, em inglês, está em openai.com.

Quem assinou a carta da OpenAI

156 organizações até 3 de setembro de 2026. Estes são os nomes que você tem mais chance de reconhecer, agrupados pelo que fazem. A página aceita novas assinaturas, então a lista continua crescendo; a lista completa e atualizada está em openai.com.

Laboratórios e empresas de IA: OpenAI, Anthropic, Hugging Face, Perplexity, Replit, Lovable e outras.

Nuvem, chips e grandes empresas de tecnologia: AWS, Google, Microsoft, Oracle, IBM, Dell, HPE, Cisco, Broadcom, Elastic e outras empresas de tecnologia e telecomunicações.

Fornecedores de segurança: CrowdStrike, Palo Alto Networks, Fortinet, Check Point e várias outras empresas do nosso setor.

Pagamentos, bancos e finanças: Visa, Mastercard, PayPal, Block, Circle, Capital One, Citi, Fiserv e vários outros bancos e provedores de serviços financeiros.

E-commerce, SaaS e plataformas para desenvolvedores: Shopify, GoDaddy, Vercel, GitHub, Atlassian, Figma, Adobe e outras.

Consultorias e serviços de TI: Accenture, Capgemini, Cognizant, KPMG, PwC e muitas outras.

O que ela pede às empresas, traduzido para uma loja online de 20 pessoas

A carta se dirige a quatro grupos. Governos, empresas de segurança e laboratórios de IA recebem o próprio dever de casa: financiamento, compartilhamento de inteligência de ameaças, tornar a defesa com IA acessível a quem tem orçamento limitado. Mas o primeiro grupo é toda organização, e essa é a seção que merece a sua atenção. Em resumo, ela pede que cada empresa:

• Faça da segurança cibernética uma prioridade da liderança e a trate com a urgência de um incidente, não como um projeto para depois.
• Corrija primeiro as fraquezas de maior risco, e verifique se as correções realmente funcionaram.
• Estruture privilégio mínimo e controles de acesso fortes, para que cada pessoa tenha só o acesso de que precisa.
• Suba a régua do que você compra, constrói e implanta, incluindo código gerado por IA.
• Use IA para ter cobertura ampla de segurança a custo menor, reservando as ferramentas complexas para os problemas mais difíceis.

Se isso parece uma lista feita para empresa com departamento de segurança, ela se traduz direto para uma loja sem um: saiba o que você tem exposto, atualize primeiro o que está disponível na internet, coloque MFA em todo login que importa, dê a cada pessoa só o acesso necessário e tenha alguém monitorando.

Não sabe como a sua equipe se sairia diante dos ataques que a carta descreve? Faça um teste de phishing gratuito para funcionários e receba um relatório por pessoa no mesmo dia.

Nossa opinião honesta

Duas coisas podem ser verdade ao mesmo tempo, e esta carta é as duas.

Ela tem interesse próprio. Empresas de IA pedindo defesa com IA também estão descrevendo o próprio roadmap de produto. Justo. Nós também somos uma empresa de segurança nativa em IA, então a mesma ressalva vale para nós, e você deve pesar o nosso entusiasmo de acordo.

E ela está certa. A trajetória de ameaças que a carta descreve é a que documentamos com dados públicos o ano inteiro: ataques se industrializando, o nível mínimo de habilidade caindo, a janela entre a divulgação de uma falha e a sua exploração encolhendo. Quando as empresas que constroem os modelos, operam as nuvens e processam os pagamentos do mundo dizem juntas que a segurança do jeito que está não vai bastar, isso não é consenso de marketing, porque essas signatárias não dividem o mesmo departamento de marketing. É o tipo raro de consenso que só se forma em torno de algo que os dados de todo mundo já mostram.

A parte que a gente sublinharia para você é a admissão discreta da carta: a solução para uma ameaça acelerada por IA não é exótica. São os fundamentos, feitos com urgência, verificados e, para equipes sem departamento de segurança, feitos com ajuda. Essa é a premissa inteira que esta série de artigos defendeu, agora assinada por mais de 150 empresas que raramente concordam em alguma coisa.

Perguntas frequentes

Eu não uso ferramentas de IA na minha empresa. Devo me preocupar com isso? Sim, porque a carta é sobre atacantes usando IA, não sobre você usar. A IA barateia encontrar e explorar as fraquezas da lista acima, e as encontra onde quer que estejam. Uma loja que nunca tocou em uma ferramenta de IA, mas roda um plugin desatualizado ou um login administrativo sem MFA, é exatamente o tipo de alvo que acabou de ficar mais barato de atacar. Usar ou não IA não muda nada; ter ou não as portas fechadas muda tudo.

A carta da OpenAI é vinculante? Não. É uma carta aberta de princípios e chamados à ação, não um tratado, uma norma ou uma regulação. Assinar é um compromisso público com os princípios e com as ações que ela descreve, não uma obrigação exigível.

Por que tantas empresas estão assinando esta carta? Por três motivos, que se sobrepõem. A ameaça está mudando rápido e os próximos ataques são difíceis de prever, então agir em conjunto é a aposta mais segura. Os dados são compartilhados: toda grande empresa de segurança e de nuvem vê a mesma aceleração na própria telemetria. E uma assinatura coletiva é uma alavanca: pressiona governos a financiar defensores e ajuda organizações com poucos recursos a conseguir apoio.

Anthropic, Google e Microsoft assinaram? Sim, as três, ao lado da AWS. Veja a lista atualizada de signatários em openai.com.

O que significa "mobilização global em defesa cibernética" na prática? Para governos e fornecedores: financiamento, inteligência de ameaças compartilhada e ajuda prática para serviços essenciais. Para uma empresa comum: a lista de "toda organização" acima, que é um checklist de fundamentos, não tecnologia nova.

Por onde começar? Por onde a carta começa: pelas fraquezas de maior risco, com verificação. Para uma loja online, isso significa, nesta ordem: descobrir o que você de fato tem exposto à internet; colocar autenticação multifator (MFA) em todo login que importa; atualizar a plataforma, os plugins e tudo o que está de cara para a internet; e testar como a sua equipe reage a um e-mail de phishing. Se você não sabe por onde começar o primeiro passo, é exatamente para isso que serve o scan de exposição logo abaixo.

Para o seu time de TI. A seção "toda organização" da carta é um checklist útil: correção priorizada das exposições de maior risco com verificação, implantação de privilégio mínimo e autenticação forte, políticas de compra que incluam revisão de código gerado por IA, e controles compensatórios onde a correção interromperia a operação. A gente mantém a versão técnica deste manual para quem cuida desse lado da sua operação. Veja o que a gente checaria →

---

A carta diz para começar corrigindo as fraquezas de maior risco — encontrar as suas é o primeiro passo de todo trabalho da Confidanti. Fale com a gente.