G7 aprova exercícios contra ciberataques com IA — a defesa ainda está no papel

A decisão existe; o teste ainda não

Ministros de Finanças e presidentes de bancos centrais do G7 concordaram em realizar exercícios de mesa para preparar respostas a ciberataques potencializados por inteligência artificial. A ministra das Finanças do Japão, Satsuki Katayama, confirmou a decisão depois das reuniões do grupo em Bangkok. Em entrevista publicada pelo ministério japonês em 16 de outubro, ela classificou a futura realização dos exercícios como um avanço na resposta aos riscos trazidos pela IA.

A Reuters confirmou o acordo e informou que as simulações serão desenvolvidas por autoridades financeiras do G7. Os resultados poderão orientar a avaliação de protocolos existentes e a revisão de manuais. O estágio precisa permanecer claro: os governos aprovaram a ideia, mas não divulgaram data, cenário, lista de instituições privadas, metodologia ou métrica de êxito. Não houve ataque simulado nem protocolo validado.

Por que a mesa importa para um sistema interligado

Um exercício de mesa não tenta reproduzir tecnicamente toda a infraestrutura bancária. Ele coloca decisores diante de uma sequência de eventos para testar quem percebe o incidente, quem assume comando, quais dados podem ser compartilhados, quando o público é informado e como serviços críticos são restaurados. Seu valor está em revelar conflitos de responsabilidade e dependências que um documento não mostra.

No sistema financeiro, essas dependências atravessam instituições e países. Bancos, bolsas, sistemas de pagamento, provedores de nuvem, fornecedores de identidade e telecomunicações podem compartilhar componentes ou concentrar rotas de recuperação. Um ataque assistido por IA pode ampliar velocidade, escala e adaptação, mas a tecnologia ofensiva é apenas parte do problema. Falhas de coordenação, credenciais comprometidas e decisões incompatíveis podem transformar um incidente localizado em perda de confiança mais ampla.

A qualidade do exercício não será medida pelo cenário mais dramático, mas pelas decisões, dependências e tempos de recuperação que ele conseguir tornar verificáveis.

O que um exercício útil precisa provar

A carta do presidente do Financial Stability Board ao G20, publicada em agosto, apontou o risco cibernético como a preocupação mais imediata dos modelos de IA de fronteira para o sistema financeiro. Segundo o órgão, essas capacidades podem alterar materialmente a velocidade, a escala e a economia dos ataques e, em um caso grave, afetar a confiança no sistema. Isso sustenta o motivo do exercício; não demonstra que um evento sistêmico seja iminente.

Para avançar além de uma reunião, o G7 terá de definir objetivos observáveis. Entre eles estão detectar o incidente, isolar acessos, manter pagamentos essenciais, alternar para infraestrutura independente, coordenar comunicação entre reguladores e empresas e decidir em que momento restaurar sistemas. O ensaio também deveria registrar lacunas, responsáveis e prazos de correção. Sem essa etapa, a simulação produz consciência; não produz resiliência comprovada.

A implicação para bancos e fornecedores

A eventual participação de instituições privadas é material porque grande parte da resposta depende de quem opera a infraestrutura. Bancos e fornecedores não precisam esperar o roteiro do G7 para mapear ativos críticos, contas privilegiadas, dependências de terceiros e alternativas de recuperação. Precisam também testar se cópias de segurança, canais de comunicação e credenciais de emergência continuam disponíveis quando o ambiente principal deixa de ser confiável.

Isso não significa que toda instituição deva comprar mais ferramentas de IA. A prioridade é reduzir tempo de decisão e preservar continuidade sob incerteza. Modelos defensivos podem ajudar a correlacionar sinais e priorizar alertas, mas também podem concentrar erro, gerar falsos positivos ou depender da mesma infraestrutura atingida. A camada humana de comando, evidência e autorização continua necessária.

A tese Fluxia é que a política cibernética está migrando de recomendações para ensaios operacionais. O acordo do G7 é relevante porque reconhece que risco transfronteiriço precisa ser testado em conjunto. Seu valor, porém, só poderá ser julgado depois que houver cenário, execução, achados e correções. Até lá, o fato é a decisão de treinar — não a prontidão do sistema.