SEGURANÇA DE IA EM SISTEMAS FINANCEIROS

A adoção acelerada de grandes modelos de linguagem (LLMs), sistemas de IA generativos e agentes independentes em instituições financeiras está ampliando a superfície de ataque para além das vulnerabilidades tradicionais de software. Em ambientes nos quais humanos, aplicações, fornecedores e agentes de IA operam por meio de identidades legítimas, APIs autorizadas e infraestrutura confiável, autenticação e autorização já não são suficientes para demonstrar que uma ação permanece consistente com sua finalidade operacional. Surge, assim, uma nova classe de risco baseada no abuso de autoridade legítima, manipulação de contexto e divergência entre propósito autorizado e efeito produzido .

Este relatório técnico examina essa transformação a partir de ameaças como LLMjacking, jailbreaking, prompt injector direta e indireta, uso indevido de ferramenta, sequestro de agente, envenenamento de contexto, memória e RAG, abuso de credenciais e exploração de infraestrutura confiável sem dependência necessidade de malware, shell ou CVE . O trabalho distingue cuidadosamente incidentes documentados, técnicas observadas, inferências arquitetônicas, cenários sintéticos e construções propostas, evitando o uso de inteligência artificial a incidentes para os quais não exista evidência pública.

O estudo utiliza os ataques de 2025 contra C&M Software e Sinqia , no ecossistema financeiro brasileiro, como evidência de um problema estrutural especialmente relevante: credenciais, certificados, fornecedores e interfaces técnicas legítimas podem ser usados para produções financeiras financeiramente ilegítimas. Esses casos estão conectados, sem alegação de participação de IA, ao modelo emergente de sistemas agentes, no qual um atacante pode não precisar roubar uma identidade — pode ser suficiente manipular o contexto ou o processo decisório de um agente que já possui autoridade delegada.

A partir dessa análise, o trabalho propõe quatro construções arquiteturais complementares. A Intenção Operacional Integridade descreve a coerência observável entre propósito declarado, identidade, autoridade delegada, ação realizada e efeito esperado. O Sequestro de Autoridade Delegada (DAH) caracteriza o comprometimento da relação entre propósito e exercício da autoridade, mesmo quando a identidade permanece legítima. A Exposição de Confiança Sistêmica (STE) busca representar a concentração sistêmica de confiança, privilégio, alcance e capacidade transacional em identidades, terceiros, APIs, certificados e agentes. O Cyber-Financial Response Plane , por sua vez, estende a resposta do SOC além da contenção técnica, integrando cibersegurança, IAM, pagamentos, antifraude, AML/FinCrime, compliance, rastreamento de recursos e recuperação financeira.

O núcleo analítico do modelo é a Δ-Coerência , tratada como um estimador de divergência contextual entre comportamento observado e comportamento operacional esperado. Em vez de depender de uma assinatura maliciosa isolada, o modelo de correlação identidade, sessão, telemetria de IA, chamadas de ferramentas, contexto operacional, características financeiras e sequência temporal para identificar degradações sustentadas de coerência. O relatório apresenta uma metodologia de pontuação, um exemplo sintético de deficiência, mecanismos de persistência e contextualização e deixa claramente claro que pesos, funções e limites são desativados e validação empírica antes do uso operacional.

A arquitetura proposta transforma essa análise em resposta governada por meio de SIEM, políticas determinísticas e SOAR progressiva, proporcional, reversível e auditável . A contenção é estruturada desde observação e limitações de capacidades até revogação de identidade, isolamento e resposta financeira, preservando diferentes níveis de supervisão humana de acordo com o potencial de impacto. O trabalho também propõe o MTFC — Mean Time to Financial Containment , complementar às análises tradicionais como MTTD e MTTR, para medir quanto tempo corre entre o primeiro sinal correlacionado de alta confiança e a interrupção efetiva do fluxo financeiro associado ao incidente.

O documento conecta essa arquitetura a ambientes como AWS Bedrock, Microsoft Azure OpenAI/Foundry, Google Vertex AI, plataformas RAG, agentes e gateways de ferramentas , apresentando requisitos de telemetria, exemplos de demonstração SIEM, playbooks de resposta, controles para identidades não humanas, risco de terceiros, certificados, beneficiários e processos financeiros. A análise é relacionada ainda a referências como OWASP GenAI e Agentic Security, MITRE ATLAS, NIST AI RMF/CSF e trabalhos recentes sobre identidade e autorização de agentes .

No contexto brasileiro, o relatório examina a evolução dos requisitos de segurança e governança aplicáveis às instituições financeiras e suas questões, incluindo LGPD, Resolução CMN nº 4.893/2021, Resolução BCB nº 85/2021, requisitos posteriores de segurança para o ecossistema Pix/RSFN, normas da CVM e requisitos relacionados à comunicação e tratamento de incidentes . A resposta regulatória aos ataques de 2025 reforça especialmente a importância de MFA, isolamento de ambientes, monitoramento de credenciais e certificados, rastreabilidade, proteção de chaves privadas e integridade transacional.

O trabalho também é consistente com os limites da abordagem. Δ-Coerência e as construções associadas não eliminam riscos decorrentes de telemetria ausente ou adulterada, colusão interna, ataques abaixo da camada observável, zero-days de infraestrutura, comportamento low-and-slow, concept drift ou comprometimento do próprio mecanismo defensivo. Por isso, é apresentado um programa de validação falsificável , envolvendo circunstâncias sintéticas, replay histórico, Purple Team, shadow mode, pilot controlado e comparação contra linhas de base mais simples.

Esta central pode ser resumida por uma relação simples:

Identidade válida + Autorização válida + Protocolo válido ≠ Propósito legítimo.

Em sistemas financeiros, cada vez mais mediados por agentes e automação, o desafio deixa de ser apenas determinar quem possui autoridade e passa a incluir a preservação da legitimidade dessa autoridade até sua consequência econômica . Nesse contexto, o SOC Cognitivo é proposto não como substituto das ferramentas tradicionais, mas como uma camada de esplendor, interpretação operacional, governança e resposta destinada a aproximar Cibersegurança, Identidade, Segurança de IA, Fraude e Crime Financeiro em uma única cadeia causal de defesa.