A Frontier AI está testando a resiliência operacional no setor bancário europeu.

Os principais bancos diretamente supervisionados pelo Banco Central Europeu estão agora sob pressão. Até 5 ou 6 31 de2026 outubro, eles devem apresentar planos de ação mostrando como irão responder ao aumento das ameaças cibernéticas habilitadas por IA. Os planos devem abordar uma gestão mais rápida de vulnerabilidades e correções, um monitoramento e detecção mais robustos, riscos de terceiros e resiliência operacional. Os bancos precisam demonstrar que conseguem se adaptar a um ciclo de ameaças mais acelerado sem interromper os serviços críticos que protegem.

The ECB’s July 7 letter explains the urgency. Since DORA took effect in January 2025, frontier AI has intensified a familiar risk. Now, software vulnerabilities can be found and exploited at unprecedented speed, leaving banks with less time to identify, test, and deploy a fix safely.

“Because of frontier AI, agents can now find vulnerabilities and identify security issues very quickly,” said Aishwarya Ramani, senior solutions marketing manager at Illumio. “But they can also exploit those vulnerabilities at machine speed.”

That speed creates a difficult balance. Banks must patch, but a rushed change to a core banking system, payment platform, cloud environment, or critical third-party connection can disrupt the services they're trying to protect. They need to reduce exposure quickly without causing an outage of their own.

A janela de vulnerabilidade está diminuindo.

A gestão tradicional de vulnerabilidades seguia uma sequência clara: uma falha era descoberta. As equipes de segurança avaliaram a vulnerabilidade, testaram uma correção e implantaram a atualização. Esse processo nunca garantiu a segurança, mas muitas vezes dava aos defensores tempo para agir. A IA de vanguarda pode comprimir — e potencialmente eliminar — essa janela.

O CERT-EU alertou que "ferramentas baseadas em IA estão agora descobrindo e explorando vulnerabilidades de software em um ritmo que rompe fundamentalmente com o ciclo tradicional de atualizações". O estudo também citou evidências de que a exploração pode começar antes que uma correção esteja disponível.

Isso coloca as equipes de segurança bancária e de TI sob duas pressões concorrentes. Eles precisam avaliar mais vulnerabilidades e responder a ataques mais rapidamente. Ao mesmo tempo, eles precisam testar correções de segurança, manter os sistemas estáveis e garantir o funcionamento de serviços financeiros essenciais.

Os órgãos reguladores consideram esta uma mudança duradoura. Em junho, as agências de cibersegurança dos Cinco Olhos alertaram que o cronograma para grandes mudanças nas capacidades cibernéticas habilitadas por IA "não é de anos, mas de meses". O Conselho Europeu de Risco Sistémico alertou de forma semelhante que a inteligência artificial de ponta pode aumentar a velocidade, a escala e a sofisticação dos ciberataques contra o sistema financeiro da UE.

Em conjunto, esses alertas transformam a gestão de vulnerabilidades em uma questão de resiliência operacional. Os bancos ainda precisam corrigir as vulnerabilidades rapidamente, mas não podem depender apenas delas. Quando uma correção não está disponível ou não pode ser implementada imediatamente, é preciso reduzir a exposição, proteger os serviços críticos e limitar o alcance de um invasor.

“Quando algo não pode ser corrigido imediatamente, você ainda pode reduzir o seu alcance”, disse Ramani. “Se algo estiver comprometido, você o contém em vez de vê-lo se espalhar.”

DORA é a estrutura para comprovar a resiliência.

A DORA aplica-se a entidades financeiras da UE desde janeiro de 2025. Seus cinco pilares abrangem a gestão de riscos em tecnologias de informação e comunicação (TIC), a notificação de incidentes, os testes de resiliência, a gestão de riscos de terceiros e o compartilhamento de informações.

Mas a DORA não pressupõe prevenção perfeita. Isso exige que as empresas identifiquem os sistemas e fornecedores que dão suporte a serviços críticos. As empresas também devem comprovar que esses serviços podem resistir a interrupções.

O prazo de 31 de outubro estabelecido pelo BCE torna esse teste ainda mais urgente. Os bancos devem demonstrar como seus programas DORA se adaptarão a um ciclo de ameaças que deixa menos tempo para correções. Eles devem priorizar os sistemas mais vulneráveis, mantendo a estabilidade das operações bancárias essenciais, dos pagamentos e dos serviços ao cliente.

As dependências ampliam o raio da explosão.

A bank’s attack surface extends beyond its own data center. It includes cloud environments, software components, managed services, payment connections, and third-party providers. A vulnerability in any one of them can create a path to critical services.

“Você não tem ideia da extensão dessa dependência de terceiros”, disse Ramani. “Mapear essas interdependências, creio eu, é o maior desafio.”

O recente incidente cibernético na Jack Henry torna o problema tangível. A empresa de tecnologia financeira dos EUA atende a mais de 7.200 bancos e cooperativas de crédito. Em agosto, a empresa divulgou que um ataque de vishing havia atingido uma parte limitada de seu ambiente interno, fora do ambiente de produção, e afetado as informações de identificação pessoal de menos de 10 clientes.

Jack Henry afirmou que nenhum sistema voltado para o cliente, plataforma principal ou serviço de processamento diário foi acessado ou interrompido. Seus controles detectaram a atividade, isolaram os sistemas afetados e contiveram o incidente sem interrupção.

O evento não causou grandes transtornos financeiros. Mas isso demonstra por que os bancos precisam entender suas conexões com os principais fornecedores de tecnologia — e por que precisam conter os sistemas afetados caso um ataque tenha como alvo um desses fornecedores.

Como Ramani afirma, “Uma avaliação dirá se um fornecedor era seguro em março, mas não diz nada sobre o que acontece quando o próprio ambiente desse fornecedor é comprometido em setembro e sua conexão com ele ainda está ativa.”

Como os bancos podem ganhar tempo

Quando os bancos não conseguem aplicar as correções de uma só vez, precisam de medidas de controlo que reduzam a exposição enquanto testam e implementam a solução. Ramani descreveu três etapas: “Avaliar, priorizar e detectar”.

Os bancos podem implementar essas medidas da seguinte forma:

• Mapeamento das conexões atuais entre aplicativos, cargas de trabalho, ambientes de nuvem e terceiros.

• Priorizar ativos voltados para a internet, serviços críticos e os caminhos que criam a maior exposição.

• Limitar a comunicação desnecessária leste-oeste para que um sistema comprometido não consiga alcançar tudo ao seu redor.

• Utilizando segmentação ou microsegmentação para proteger ativos críticos e reduzir o raio de explosão.

• Isolar cargas de trabalho comprometidas ou conexões de terceiros de risco antes que a movimentação lateral se espalhe.

• Testing response plans against high-speed exploitation, ransomware, cloud outages, and supply-chain disruption

Segmentation doesn't replace patching. It can compensate when a patch is unavailable, needs more testing, or poses too much operational risk to deploy. The ECB specifically lists segmentation and, where feasible, microsegmentation as part of defense in depth.

A resiliência deve acompanhar a ameaça.

Até 31 de outubro, os bancos precisam fazer mais do que reconhecer a ameaça emergente da IA. Eles precisam demonstrar como irão lidar com isso.

“Planos de ação robustos não partem do pressuposto de que os bancos podem corrigir todas as vulnerabilidades antes que os atacantes as explorem”, disse Ramani. “Eles demonstrarão que os bancos sabem quais sistemas são críticos, entendem como esses sistemas se interconectam e podem limitar a movimentação lateral quando um invasor consegue obter acesso.”

When threats move at machine speed, resilience takes more than faster work. Banks must ensure that one vulnerability can’t cause a wider operational disruption.

Ready to learn more? Explore breach containment for financial services.

‍