O Financial Stability Institute do BIS publicou a 9 de setembro o Occasional Paper n.º 28, "When machines attack: frontier AI cyber threats and policy responses in the financial sector". Lemos as 40 páginas com o olhar de quem se senta em Conselhos e não de quem gere sistemas, e o que retirámos é isto: os frameworks de resiliência operacional que bancos e seguradoras têm hoje continuam a servir, ao mesmo tempo que o ritmo a que são executados deixou de servir.

A janela entre a descoberta de uma vulnerabilidade e a sua exploração passou de semanas para minutos. Quem reúne o Conselho uma vez por mês, discute risco uma vez por trimestre e recebe o relatório de cyber uma vez por ano trabalha numa escala de tempo que o adversário abandonou.

Não temos a pretensão de perceber de exploits, e quem nos conhece sabe que não fingimos. O que fazemos há muitos anos é ajudar Administradores a perguntar o que a gestão nem sempre quer que se pergunte. Este paper dá-nos perguntas novas e uma razão para as pôr em agenda ainda este trimestre.

Porque isto é matéria de Conselho

O FSI é claro quando diz que a governance é a primeira área em que os supervisores estão a convergir. O risco cyber com frontier AI passa a ser tratado como risco estratégico, com supervisão ativa do Conselho e da gestão de topo, e não como assunto técnico que se delega na equipa de segurança e se revisita quando há um incidente.

Quem já esteve num Conselho de banco sob pressão de um supervisor sabe como funciona a mecânica. A ameaça é detetada num serviço, sobe dois ou três níveis, chega a uma comissão que reúne daqui a três semanas, e a decisão que devia ter sido tomada em horas é tomada quando já não interessa. O paper pede precisamente que a governance encurte esse percurso. Quem decide, com que mandato, em quanto tempo. Se a resposta passa por convocar o Conselho, o desenho está errado, e supomos que na maioria das instituições é esse o desenho.

Pede também que o risco cyber com AI esteja dentro do apetite ao risco que o Conselho aprova, e que a informação chegue aos Administradores de forma atempada e legível. Nos casos que conhecemos, o que chega é um deck anual, denso, preparado pela mesma equipa que executa, e com o qual ninguém no Conselho se sente confortável a discutir. A literacia em AI que o FSI pede aos Conselhos serve para desafiar esse deck, e nada mais.

Há um ponto que os Conselhos tendem a subestimar. A accountability não se transfere quando o serviço é subcontratado. O cloud, o software e os modelos de AI vêm de meia dúzia de fornecedores globais que servem toda a indústria ao mesmo tempo. O risco de concentração é vosso mesmo quando o contrato é com terceiros, e a APRA acrescentou-lhe um risco que ainda não ouvimos discutir em Conselhos portugueses, o de "sovereign access", quando o governo do país do fornecedor pode condicionar o que esse fornecedor faz.

O BCE já pediu às instituições significativas planos de ação sobre frontier AI até 31 de outubro de 2026. Quem está sob supervisão europeia tem uma data. Quem não está tem uma referência do que aí vem.

Já aconteceu

O paper e as fontes que cita documentam casos reais. Nenhum teve impacto sistémico, e convém dizê-lo com honestidade, porque a tentação de dramatizar é grande. Todos mostram, ainda assim, o que um Conselho deve passar a assumir como plausível.

Em novembro de 2025 a Anthropic divulgou aquilo a que chamou a primeira campanha de espionagem orquestrada por AI. Um grupo estatal chinês usou o Claude Code para atacar cerca de 30 alvos, entre eles instituições financeiras, e entre 80% e 90% das operações táticas foram executadas de forma autónoma, a ritmos que a própria Anthropic descreve como fisicamente impossíveis para operadores humanos. As pessoas intervieram em quatro a seis pontos de decisão por campanha. O resto foi a máquina.

Entre dezembro de 2025 e fevereiro de 2026 um único atacante comprometeu nove agências do governo mexicano e extraiu mais de 150 GB de dados de até 195 milhões de pessoas, usando modelos comerciais como ferramentas centrais. O que nos interessa aqui, mais do que a dimensão, é o que o paper diz sobre as causas. Grande parte das vulnerabilidades exploradas teria sido fechada com controlos básicos, patching, rotação de credenciais, segmentação de rede. Coisas que qualquer Conselho assume estarem feitas e raramente confirma.

Em julho de 2026 um agente da OpenAI saiu do ambiente de teste onde devia estar contido, explorou uma vulnerabilidade desconhecida, obteve credenciais e executou código não autorizado em sistemas da Hugging Face. Ninguém o mandou atacar. Fez o que os agentes fazem quando as permissões não têm fronteiras. Se as vossas equipas já usam agentes de AI internamente, e supomos que sim, mesmo que o Conselho não o saiba, este caso merece uma pergunta na próxima reunião.

E em abril de 2026 o Citizens Financial Group e o Frost Bank viram dados de milhões de clientes expostos sem que qualquer dos dois bancos tenha sido atacado. O ponto de entrada foi um fornecedor partilhado de impressão de extratos. Não há confirmação de que tenha sido um ataque com AI, e não vamos afirmar o que não sabemos. Mas é exatamente o cenário de concentração de terceiros que o FSI descreve, e aconteceu a dois bancos com todos os frameworks em dia.

O que o paper defende

Os modelos frontier de AI conseguem hoje identificar vulnerabilidades críticas, desenvolver exploits que funcionam e conduzir operações de vários passos sem intervenção humana. Isto baixa em simultâneo o conhecimento, o tempo e o dinheiro necessários para um ataque que há dois anos só um Estado conseguia montar.

O FSI vê três canais de risco para as instituições financeiras. As janelas de remediação comprimem-se, a probabilidade de uma intrusão bem-sucedida sobe, e as dependências de terceiros amplificam-se porque os mesmos fornecedores servem toda a indústria.

E depois a conclusão que desmonta a discussão que costuma acontecer nos Conselhos, a de que é preciso um framework novo. Não é. A frontier AI não altera os fundamentos da resiliência cyber, aumenta a velocidade e a intensidade com que as práticas conhecidas têm de ser executadas. Os supervisores perceberam isto e estão a reforçar o que existe em vez de desenhar regimes novos.

O paper tem também uma leitura otimista, e nós partilhamo-la. As mesmas capacidades que atacam, defendem. Deteção de anomalias, análise de telemetria, threat intelligence e resposta a incidentes ficam mais rápidas com AI. Quem investiu nos fundamentos nos últimos anos ganha vantagem real. Quem não investiu não deve esperar que a AI compense o que não foi feito, e o paper diz isto com todas as letras.

Números para levar para a sala

Partilhamos estes dados porque são do tipo que um Administrador pode pôr em cima da mesa e pedir à gestão que comente, sem precisar de perceber a tecnologia por detrás.

● Os ataques com AI cresceram 89% em 2025 (CrowdStrike, Global Threat Report 2026)
● O tempo médio de "breakout" numa intrusão eCrime caiu para 29 minutos em 2025. O mais rápido observado foi de 27 segundos
● A exploração de vulnerabilidades passou a ser o principal vetor de entrada, 31% das intrusões, à frente do abuso de credenciais (Verizon DBIR 2026)
● Apenas 26% das vulnerabilidades críticas listadas pela CISA como exploradas foram totalmente remediadas em 2025, contra 38% no ano anterior
● Montar uma cadeia de ataque completa custa entre 5.000 e 10.000 dólares com um modelo frontier de topo. Com modelos open source, entre 50 e 100 dólares (BIS Bulletin, Aldasoro et al 2026)
● Na base de contas banidas pela Anthropic, a percentagem de atores classificados como risco médio ou alto subiu de 33% para 56% em seis meses
● A capacidade dos modelos em tarefas cyber duplica a cada 4,7 meses (UK AI Security Institute), e os modelos open source estão quatro a sete meses atrás dos fechados, com a distância a encurtar

Quando a exploração de uma vulnerabilidade demora minutos e a organização leva semanas a aplicar um patch, já estivemos em salas onde isto se discutiu como problema de orçamento de IT. Não é. É uma decisão sobre que risco a instituição aceita correr, e essa decisão pertence ao Conselho, quer ele a tenha tomado conscientemente quer não.

Os frameworks até estão bem. O ritmo não

O paper diz sem rodeios que as normas do FSB, do BCBS e da IAIS já cobrem a maior parte do ciclo de resiliência cyber. A base é boa. O que fica insuficiente são práticas assentes em avaliações periódicas de vulnerabilidades e em ciclos de patching calendarizados, que era o que fazia sentido quando o adversário também trabalhava em ciclos. O CMORG, no Reino Unido, antecipa que as janelas de remediação passem de semanas para dias e, em alguns casos, para horas.

Onde há lacunas concretas é nos agentes autónomos de AI, e aqui o paper entra num detalhe que os Conselhos podem transformar em perguntas. Inventário do que está em uso. Registo dos passos intermédios que um agente executa, para se saber depois o que fez e porquê. Permissões limitadas ao mínimo. Aprovação humana para ações de impacto elevado. Um interruptor de emergência que alguém tenha testado. Frameworks como o MITRE ATT&CK ainda não captam a orquestração completa de um ataque por um agente, o que quer dizer que as vossas equipas de segurança podem estar a medir a ameaça com uma régua que não a vê inteira.

Os supervisores estão a convergir em torno de meia dúzia de expectativas: governance para decisão rápida, patching acelerado, testes de cenário com ataques conduzidos por AI e exercícios de crise que incluam os fornecedores críticos, mapeamento do risco de terceiros e de concentração, partilha de informação entre instituições e uso defensivo de AI. Sempre com proporcionalidade, porque um banco regional e um G-SIB não podem ser tratados da mesma forma.

A vaga é recente e larga. O Chair do FSB escreveu ao G20 em agosto que o impacto da frontier AI no risco cyber é a preocupação mais imediata para o sistema financeiro. O ESRB subiu o risco cyber sistémico de "elevado" para "severo" em junho. O BCE enviou uma Dear CEO letter. As três autoridades europeias, EBA, EIOPA e ESMA, alinharam-se em julho. O NYDFS, a HKMA, a APRA, o OSFI e a MAS moveram-se todos no mesmo semestre.

Ainda não é regulação. O FSI raramente é regulação. Na nossa experiência, e não é regra mas é padrão, é o que os supervisores passam a exigir dezoito meses depois, já com outro tom.

Cinco perguntas para a próxima reunião

● Em que unidade se mede o nosso ciclo de patching para sistemas críticos, horas, dias ou semanas, e qual foi a tolerância de impacto que este Conselho aprovou
● Temos um mapa de concentração dos fornecedores de cloud, software e frontier AI, e sabemos o que acontece se um deles falhar ou for condicionado pelo governo do seu país
● Os nossos testes de cenário e exercícios de crise já incluem ataques conduzidos por AI e por agentes autónomos, e envolvem os fornecedores críticos ou só a nossa equipa
● Quem responde pela cyber resilience no Conselho e na gestão de topo, e que informação chega ao Conselho, com que frequência e em que formato
● Estamos a usar a AI para nos defender, ou continuamos a assumir que mais orçamento resolve fundamentos por fazer

Os Conselhos com que trabalhamos raramente falham por não saber a resposta. Falham por fazer a pergunta depois do supervisor. É precisamente para isso que servem sessões de trabalho do Conselho sobre temas como este, enquanto ainda são escolha nossa e não obrigação de resposta a uma carta.

---

Referências

- Crisanto, J.C., Currat, A. e Yong, J. (2026), "When machines attack: frontier AI cyber threats and policy responses in the financial sector", FSI Occasional Paper n.º 28, Bank for International Settlements, 9 de setembro de 2026. https://www.bis.org/publications/fsi-paper-28-when-machines-attack-frontier-ai-cyber-threats-and-policy-responses-financial-sector.pdf
- Financial Stability Board (2026), carta do Chair ao G20 sobre riscos dos modelos frontier de AI, 31 de agosto de 2026. https://www.fsb.org/2026/08/fsb-chair-warns-of-risks-arising-from-frontier-artificial-intelligence-ai-models/
- European Systemic Risk Board (2026), Warning ESRB/2026/3 on systemic cyber risks stemming from frontier AI models, 25 de junho de 2026. https://www.esrb.europa.eu/pub/pdf/warnings/esrb.warning260625_on_systemic_cyber_risks_stemming_from_frontier_ai_models~ef424708cf.en.pdf
- EBA, EIOPA e ESMA (2026), ESAs support ESRB warning on systemic cyber risks from frontier AI models, 31 de julho de 2026. https://www.eba.europa.eu/publications-and-media/press-releases/esas-support-esrb-warning-systemic-cyber-risks-frontier-ai-models
- New York Department of Financial Services (2026), Industry Letter on heightened cybersecurity risks associated with frontier AI models, 21 de maio de 2026. https://www.dfs.ny.gov/industry-guidance/industry-letters/20260521-heightened-cybersecurity-risks-assoc-with-frontier-ai-models
- International Monetary Fund (2026), Financial stability risks mount as artificial intelligence fuels cyberattacks, 7 de maio de 2026. https://www.imf.org/en/blogs/articles/2026/05/07/financial-stability-risks-mount-as-artificial-intelligence-fuels-cyberattacks
- Anthropic (2025), Disrupting the first reported AI-orchestrated cyber espionage campaign, novembro de 2025. https://www.anthropic.com/news/disrupting-AI-espionage
- UK National Cyber Security Centre, Impact of AI on cyber threat from now to 2027. https://www.ncsc.gov.uk/report/impact-ai-cyber-threat-now-2027
- American Banker (2026), Citizens, Frost blame vendor after data breach claim. https://www.americanbanker.com/news/citizens-frost-blame-vendor-after-data-breach-claim
- CrowdStrike (2026), Global Threat Report 2026, e Verizon (2026), Data Breach Investigations Report 2026, ambos citados no FSI Occasional Paper n.º 28