- Avanço da IA torna biometria insuficiente como único fator de autenticação e amplia a necessidade de analisar contexto e identidade
Rosto, voz e número de telefone já foram provas irrefutáveis da identidade de uma pessoa. Hoje, já não são provas suficientes de que uma pessoa é quem diz ser. O avanço da inteligência artificial deu luz a novas técnicas de falsificação digital, chamadas deepfakes. O uso de IA ampliou a capacidade de reproduzir características humanas e manipular sinais tradicionalmente utilizados para validar identidades de forma tão convincente que está impondo um novo desafio às empresas: proteger acessos, contas e transações em um ambiente no qual evidências antes consideradas confiáveis podem ser criadas artificialmente.
Como parte da evolução das tecnologias, é possível acrescentar ao problema a expansão de aplicações, APIs, máquinas e agentes de IA que também passaram a operar com identidades próprias dentro dos ambientes corporativos. Estimativas do setor apontam uma proporção de 45 identidades de máquina para cada identidade humana, enquanto 60% dos profissionais consideram as identidades não humanas um risco maior do que as identidades humanas.
“Estamos diante de uma mudança na própria definição de identidade. Durante muito tempo, segurança significava comprovar que uma pessoa era quem dizia ser; agora, precisamos considerar que uma máquina pode imitar uma pessoa ou até mesmo ser a própria identidade que está tentando acessar um sistema. A autenticação precisa, portanto, considerar não apenas uma característica isolada, mas todo o contexto daquela interação”, explica Douglas Barbosa, especialista em identidade digital da Sec4U.
Casos recentes de fraude mostram como sinais aparentemente confiáveis podem ser manipulados. Criminosos já conseguem fazer com que números de telefone de terceiros apareçam na tela de uma chamada, criando a impressão de que o contato partiu de uma pessoa ou instituição conhecida. Com a inteligência artificial, a falsificação pode avançar para características ainda mais associadas à identidade, como voz, imagem e vídeo.
A popularização de ferramentas capazes de transformar fotografias e gerar representações realistas de pessoas também amplia a disponibilidade desses elementos. Imagens pessoais, gravações de voz e outros dados que circulam em redes sociais podem se tornar matéria-prima para sistemas capazes de produzir conteúdos sintéticos cada vez mais realistas. Para a segurança digital, o efeito é direto: características biométricas continuam sendo importantes, mas deixam de funcionar como uma evidência isolada. A autenticação precisa combinar diferentes sinais e avaliar o contexto em que aquela identidade está tentando realizar uma ação.
“Não significa abandonar a biometria, mas evitar tratá-la como uma resposta definitiva. Uma autenticação robusta precisa avaliar o conjunto de informações daquela interação. Quem está acessando, de onde, por qual dispositivo, qual comportamento está apresentando e, principalmente, se aquela ação é compatível com o que aquela identidade deveria fazer”, diz Barbosa.
O desafio é particularmente relevante no comércio eletrônico, onde uma identidade legítima pode ser utilizada para realizar uma ação fraudulenta depois de passar pelo processo inicial de autenticação. A tomada de controle de contas, o uso automatizado de credenciais e a criação de identidades sintéticas mostram que validar o usuário no momento do login não encerra o problema de segurança.
A mesma lógica vale para os ambientes corporativos. A expansão de automações fez crescer rapidamente o número de identidades não humanas utilizadas para manter sistemas em funcionamento. Uma aplicação pode ter credenciais próprias, uma integração pode acessar diferentes serviços e uma máquina pode executar tarefas sem qualquer intervenção humana direta.
“Uma das maiores dificuldades é que a governança foi construída durante anos pensando na jornada humana. Sabemos quando uma pessoa entra, muda de função ou deixa a empresa. No caso de uma identidade não-humana, precisamos saber quem é o responsável, por que ela existe, quais acessos são necessários e quando ela deve deixar de existir. Sem isso, uma credencial pode continuar ativa simplesmente porque ninguém acompanhou seu ciclo de vida”, afirma Barbosa.
A chegada dos agentes de IA amplia esse desafio ao introduzir identidades capazes de interpretar informações e executar ações em diferentes sistemas para alcançar um objetivo. Nesse cenário, a segurança precisa considerar pessoas e máquinas, aplicações e agentes, levando em conta propósito, permissões, contexto, autonomia e ciclo de vida.
“Estamos saindo de um modelo em que autenticação significava apenas comprovar quem está acessando um sistema. À medida que máquinas e agentes de IA ganham capacidade de agir, a pergunta passa a ser mais ampla: quem ou o que está agindo, em nome de quem, para fazer o quê e com qual nível de autorização? Se uma identidade pode agir, ela precisa ser governada”, conclui o especialista da Sec4U.
