Wavestone AI Cyber Benchmark 2026 Constata que a Governança Está à Frente da Segurança Operacional

A Wavestone publicou um benchmark de 2026 com um contraste claro: as organizações governam a IA muito melhor do que a protegem após a implantação. O Wavestone AI Cyber Benchmark 2026 constatou mecanismos de governança em 88% de seu painel. Ainda assim, apenas 8% conectam os logs de aplicações de IA ao monitoramento do centro de operações de segurança.

Essa lacuna importa porque as organizações estão assumindo mais responsabilidade por seus sistemas de IA. Metade das organizações avaliadas agora projeta sistemas com frameworks existentes ou modelos pré-treinados, ante 35% em 2025. Outras 40% gerenciam toda a cadeia de desenvolvimento.

Portanto, o benchmark mede mais do que o progresso na elaboração de políticas. Ele captura uma transferência de risco operacional dos provedores de tecnologia para as equipes corporativas de engenharia, segurança, dados e negócios. Essas equipes agora são responsáveis por sistemas capazes de recuperar informações sensíveis, acionar ferramentas e executar ações.

A principal conclusão da Wavestone é desconfortável. A governança pode autorizar um sistema de IA, mas a autorização não torna esse sistema observável, recuperável ou seguro durante um incidente. As organizações que avançam mais rapidamente para modelos personalizados e fluxos de trabalho agênticos enfrentam a versão mais grave desse problema.

O Wavestone AI Cyber Benchmark 2026 Expõe uma Ampla Lacuna de Controles

As organizações estabeleceram a governança de IA mais rapidamente do que os controles operacionais necessários para conter falhas, investigar incidentes e restaurar sistemas confiáveis.

A Wavestone publicou o benchmark em 14 de setembro de 2026. Seu painel abrange 30 grandes organizações públicas e privadas. A avaliação também incorpora observações do trabalho de segurança em IA da consultoria ao longo dos três anos anteriores.

O framework usa cinco funções adaptadas do NIST Cybersecurity Framework. Cada função contém mais de 30 perguntas de avaliação, pontuadas em uma escala de maturidade de zero a 100%.

Os resultados diminuem à medida que as funções se aproximam das operações de segurança em produção:

• Govern obteve 54%.

• Identify obteve 55%.

• Protect obteve 48%.

• Detect obteve 40%.

• Respond obteve 29%.

A maior pontuação diz respeito à identificação de riscos, enquanto a menor se refere à resposta quando o risco se transforma em um evento real. Essa distribuição sustenta a conclusão do sócio da Wavestone, Gérôme Billois: as organizações são melhores em governar a IA do que em operá-la com segurança em produção.

Os resultados detalhados tornam esse contraste ainda mais nítido. Segundo o benchmark de 2026, 88% do painel haviam implementado mecanismos de governança de IA. No entanto, apenas 32% tinham atividades, partes interessadas e modelos de responsabilização claramente definidos.

Essa distinção separa uma política de um modelo operacional. Uma política pode exigir revisões de segurança sem identificar quem monitora um sistema aprovado. Ela pode determinar escalonamento sem estabelecer quem investiga uma base de conhecimento comprometida.

O cenário de competências permanece igualmente desigual. Apenas 44% das organizações identificaram especialistas dedicados em segurança de IA que poderiam apoiar equipes técnicas e de negócios durante todo o ciclo de vida do sistema.

As organizações avançaram mais nos testes. Dois terços realizam testes de penetração dedicados à segurança de IA, enquanto metade conduz avaliações avançadas focadas em IA. Cinquenta por cento incluem avaliações de IA em programas recorrentes de auditoria e testes de penetração.

Ainda assim, um teste retrata um sistema em um momento específico. Modelos, fontes de recuperação, permissões, integrações e comportamentos dos usuários mudam após a implantação. Uma avaliação aprovada não pode substituir a visibilidade contínua sobre essas mudanças.

A metodologia do benchmark também exige cautela. Seus percentuais descrevem 30 organizações avaliadas, não todo o mercado global. A Wavestone alerta explicitamente contra interpretar o painel como uma estimativa representativa do mercado.

Mesmo com essa limitação, o padrão interno é significativo. Controles associados à aprovação e à avaliação são muito mais comuns do que controles associados à detecção, investigação e recuperação. Essa é a verdadeira notícia do benchmark.

As Empresas Estão Passando do Consumo de IA para a Propriedade de IA

A lacuna de segurança se torna mais consequente à medida que as empresas desenvolvem uma parcela maior da pilha de IA e assumem responsabilidades antes geridas pelos provedores.

Em 2025, 30% do painel da Wavestone utilizava apenas recursos de IA fornecidos por produtos existentes. Essa parcela caiu para 10% em 2026. A mudança sinaliza um movimento decisivo para além do consumo passivo.

Metade do painel de 2026 projeta internamente sistemas de IA com frameworks existentes ou modelos pré-treinados. Essa proporção aumentou de 35% um ano antes. As organizações que gerenciam toda a cadeia de desenvolvimento passaram de 35% para 40%.

Essas categorias envolvem obrigações de segurança diferentes. Uma empresa que consome um recurso de IA gerencia principalmente a exposição de dados, o acesso de usuários, a configuração e o risco de fornecedores. Uma organização que desenvolve um sistema de recuperação também precisa proteger seu pipeline de dados, banco de dados vetorial, conexões de modelos e lógica da aplicação.

Um banco de dados vetorial armazena representações matemáticas usadas para recuperar informações relevantes para uma resposta de IA. Se invasores manipularem esse repositório, o sistema poderá recuperar material contaminado sem comprometer o modelo subjacente.

O problema de propriedade se estende aos repositórios de conhecimento. As organizações frequentemente tratam documentos internos como informações empresariais governadas, mas não como componentes ativos de uma superfície de ataque de IA. A recuperação altera essa premissa porque as informações armazenadas podem influenciar diretamente o comportamento do sistema.

A Wavestone constatou que 72% do painel haviam começado a implementar medidas de privacidade para o treinamento de IA. Sessenta e cinco por cento realizavam verificações de qualidade dos conjuntos de dados. Apenas 9% avaliavam sistematicamente tanto a qualidade quanto a segurança dos conjuntos de dados antes da produção.

As verificações de qualidade perguntam se os dados são precisos, completos e adequados a uma tarefa. As verificações de segurança perguntam se os dados foram manipulados, expostos ou obtidos por meio de uma via não autorizada. Um processo não pode substituir o outro.

Os controles de provedores oferecem outro exemplo. Plataformas de nuvem e de modelos fornecem autenticação, registros, filtros e salvaguardas de configuração. No entanto, essas proteções abrangem apenas as responsabilidades mantidas pelo provedor.

Apenas 11% do painel da Wavestone haviam começado a avaliar ou implementar salvaguardas além dos controles nativos dos provedores. Isso se torna uma preocupação maior quando as equipes ajustam modelos, hospedam componentes por conta própria ou conectam agentes a ferramentas internas.

O benchmark não defende que as organizações evitem o desenvolvimento interno. Desenvolver sistemas pode melhorar o controle sobre arquitetura, localização dos dados e dependências. Isso também torna a organização responsável por proteger cada componente adicionado.

As conclusões de 2025 da Wavestone já apontavam para essa questão. Elas distinguiam usuários de IA de organizações que orquestram modelos de terceiros e desenvolvedores avançados que criam sistemas proprietários.

Os resultados de 2026 mostram que mais organizações entraram nas categorias mais exigentes. Seus programas de segurança não avançaram de forma uniforme com essa transição.

É por isso que a segurança operacional de IA agora cria pressão sobre várias equipes. A engenharia precisa produzir telemetria utilizável. As operações de segurança precisam interpretá-la. As equipes de identidade precisam restringir permissões, enquanto os responsáveis pelo negócio precisam decidir o que os agentes podem fazer.

Documentação e conhecimento operacional pesquisável também se tornam importantes durante essa transição. As equipes precisam de registros atualizados de responsáveis, dependências de sistemas, decisões e procedimentos de resposta. Uma base de conhecimento pesquisável mantida pode apoiar esse trabalho, embora não possa substituir controles de segurança.

A Governança de Segurança de IA Não É o Mesmo que Controle em Produção

A principal disputa é entre governança documentada e controle aplicado continuamente, não entre organizações com e sem políticas de IA.

A governança cria limites necessários. Ela pode definir o uso aceitável, classificar a criticidade do sistema, atribuir requisitos de revisão e estabelecer caminhos de escalonamento. Essas bases são valiosas, mas não operam automaticamente o sistema.

O controle operacional faz perguntas diferentes. A organização consegue identificar comportamento suspeito? Consegue isolar um agente? Os investigadores conseguem reconstruir o que aconteceu? As equipes conseguem restaurar um modelo, conjunto de dados ou repositório de conhecimento confiável?

O Wavestone AI Cyber Benchmark 2026 constatou que 88% das organizações coletam logs de aplicações de IA. Apenas 8% encaminham esses logs para o monitoramento do centro de operações de segurança.

Isso não é principalmente uma falha de coleta de dados. É uma falha de integração entre as operações de IA e as operações de segurança.

As equipes de aplicações de IA normalmente monitoram latência, custo, qualidade das respostas, solicitações com falha e desempenho dos modelos. As equipes de segurança procuram identidades comprometidas, acessos anormais, entradas maliciosas, extração de dados e alterações não autorizadas.

O mesmo evento pode parecer diferente para cada grupo. Um aumento nas chamadas de ferramentas pode indicar um fluxo de trabalho popular, um loop defeituoso de agente ou um ataque. Uma detecção útil exige contexto tanto da aplicação quanto do ambiente de segurança.

Os registros também precisam de uma finalidade definida. Coletar prompts sem eventos de acesso, invocações de ferramentas, versões de modelos, fontes de recuperação ou decisões de autorização pode deixar os investigadores com um registro incompleto.

O AI RMF Core do NIST trata o monitoramento pós-implantação, a resposta a incidentes, a recuperação e a gestão de mudanças como resultados conectados. Ele também exige processos documentados para rastrear e recuperar-se de incidentes e erros.

Essa abordagem de ciclo de vida entra em conflito com a aprovação única. Um sistema de IA pode mudar sem uma versão convencional de software. Um provedor pode atualizar um modelo, uma equipe pode substituir uma fonte de recuperação ou administradores podem ampliar as permissões de um agente.

Essas mudanças podem invalidar premissas anteriores. Uma revisão que aprovou a recuperação de documentos somente para leitura diz pouco sobre um fluxo de trabalho posterior capaz de editar registros ou enviar mensagens.

O mesmo problema afeta os testes. Dois terços do painel da Wavestone realizam testes de penetração dedicados à segurança de IA. No entanto, o benchmark argumenta que organizações maduras precisam tornar os testes recorrentes, e não excepcionais.

Os testes recorrentes devem acompanhar mudanças materiais. Essas mudanças incluem novos modelos, ferramentas, conjuntos de dados, ajuste fino, escopos de acesso e etapas autônomas. O programa de testes também precisa abranger todo o portfólio de IA da organização.

A varredura automatizada pode identificar componentes vulneráveis e erros de configuração. Ela não consegue reproduzir integralmente interações adversariais que envolvem instruções ambíguas, contexto contaminado ou várias ferramentas conectadas.

O red teaming de IA aborda essas interações por meio de testes adversariais estruturados. Ainda assim, até mesmo o red teaming fornece evidências sobre as condições testadas, e não uma garantia permanente. O monitoramento e a resposta precisam lidar com os comportamentos que os testes não detectam.

A lacuna entre governança e operações, portanto, reflete trabalhos diferentes. A governança decide o que deve acontecer. A segurança operacional detecta quando a realidade se afasta dessa decisão e oferece às equipes uma forma de intervir.

A IA Agêntica Transforma Controles Fracos de Identidade em Risco Empresarial

Um agente de IA com acesso excessivo pode transformar uma entrada enganosa ou um erro de modelo em uma ação empresarial não autorizada.

A IA agêntica refere-se a sistemas que planejam tarefas, chamam ferramentas e executam ações com orientação humana limitada. Essa capacidade muda o objetivo de segurança, que deixa de ser controlar o texto gerado para controlar comportamentos autorizados.

Trinta e três por cento do painel da Wavestone haviam incorporado o risco da IA agêntica aos frameworks de governança. Apenas 17% incluíam o acesso seguro a funções e ferramentas de IA nos padrões de desenvolvimento.

A taxa de implementação cai ainda mais nos controles de identidade. Somente 15% contavam com salvaguardas dedicadas de gestão de identidade e acesso para sistemas e agentes de IA.

Essa lacuna importa porque os agentes conectam decisões probabilísticas dos modelos a sistemas empresariais determinísticos. Um modelo pode selecionar uma ação a partir de um contexto incerto, mas o banco de dados ou fluxo de trabalho subsequente executa essa ação de forma concreta.

O risco não exige um modelo malicioso. Um documento manipulado, uma injeção indireta de prompt, uma solicitação ambígua ou uma etapa de planejamento falha podem redirecionar um agente legítimo.

A OWASP descreve a autonomia excessiva como um comportamento danoso possibilitado por funcionalidade, permissões ou autonomia excessivas. Suas orientações recomendam ferramentas restritas, privilégios mínimos, autorização subsequente e monitoramento de atividades.

Esses controles colocam a aplicação das regras fora do modelo. Essa escolha de arquitetura é importante porque pedir a um modelo que fiscalize suas próprias permissões cria uma dependência circular.

Considere um agente interno de pesquisa que lê arquivos e prepara resumos. Ele precisa de acesso a repositórios aprovados, mas provavelmente não precisa de direitos de exclusão. Seu conector de arquivos deve expor apenas as operações necessárias.

Um agente de atendimento ao cliente apresenta um risco diferente. Ele pode ler informações da conta, emitir créditos e modificar configurações de serviço. Cada ação precisa de um limite definido, uma verificação de autorização e um registro de auditoria.

Um agente de software pode interagir com código-fonte, rastreadores de problemas, sistemas de implantação e infraestrutura de nuvem. Usar uma única identidade privilegiada nesses sistemas dificulta a atribuição e amplia o possível impacto de uma falha.

O princípio do menor privilégio limita cada agente ao menor conjunto necessário de recursos e ações. Credenciais de curta duração reduzem o tempo de exposição. Identidades por agente facilitam o rastreamento das atividades.

Ações de alto impacto também podem exigir aprovação humana. O controle deve ser aplicado antes da execução, e não depois que o modelo já tiver alterado um sistema crítico.

A Wavestone enfatiza que as ações dos agentes devem permanecer limitadas, rastreáveis e interrompíveis. A interrupção exige mais do que um botão de parada na interface. As equipes de segurança precisam de uma forma confiável de revogar credenciais e bloquear o acesso subsequente.

A AI Controls Matrix oferece um framework de controles mais amplo para sistemas de IA baseados em nuvem. Sua edição de 2026 inclui 247 objetivos em 18 domínios de segurança.

A disponibilidade de frameworks não é, contudo, a principal restrição. O benchmark mostra que as organizações já reconhecem muitos riscos no nível de governança. A implementação na arquitetura das aplicações e nas operações de segurança continua sendo a tarefa mais difícil.

A IA agêntica torna essa implementação urgente. Um chatbot com controles fracos pode divulgar informações ou produzir uma resposta prejudicial. Um agente com controles fracos também pode agir com base nessa resposta.

A Resposta a Incidentes e a Recuperação Continuam Sendo os Elos Mais Fracos

As organizações não podem alegar resiliência operacional quando a maioria não dispõe de investigações específicas para IA, planos de resposta e práticas padronizadas de recuperação.

O benchmark da Wavestone atribui a Respond a menor pontuação de maturidade, de 29%. Suas métricas de apoio mostram o motivo.

Apenas 8% das organizações avaliadas conseguiam realizar investigações forenses em plataformas de IA. A perícia forense em IA envolve reconstruir prompts relevantes, conteúdo recuperado, atividade de ferramentas, versões de modelos, permissões e alterações no sistema.

Metade do painel ainda utilizava remediação ad hoc, sem um processo estruturado de resposta. Apenas 13% tinham planos documentados de resposta a incidentes específicos para IA, e a Wavestone afirma que esses planos não eram aplicados de forma consistente.

A recuperação também foi limitada. Vinte e dois por cento faziam backup de ativos relacionados à IA, com práticas em grande parte não padronizadas.

Um backup de aplicação tradicional pode preservar código e bancos de dados. Um serviço de IA pode depender de ativos adicionais, incluindo configurações de modelos, dados de ajuste fino, embeddings, políticas de segurança, prompts e fontes externas de conhecimento.

Restaurar a disponibilidade não estabelece confiança. Um repositório de conhecimento recuperado ainda pode conter documentos contaminados. Um agente restaurado pode manter credenciais comprometidas ou permissões inseguras.

O primeiro desafio de resposta é a classificação. As equipes precisam distinguir eventos de segurança de falhas de confiabilidade, violações de políticas, erros de modelo e erros comuns de usuários. Alguns incidentes atravessam várias categorias.

Uma ação não autorizada de um agente pode começar com injeção de prompt, expor dados e criar registros incorretos. Os responsáveis pela resposta podem precisar de conhecimentos em segurança, privacidade, jurídico, engenharia, risco de modelos e negócios.

O segundo desafio é a evidência. Os investigadores precisam de registros sincronizados entre serviços de modelos, sistemas de identidade, componentes de recuperação, gateways de ferramentas e aplicações-alvo. A ausência de contexto pode impedir a reconstrução.

O indicador de 88% de logging da Wavestone pode, portanto, parecer mais tranquilizador do que realmente é. O logging só ajuda na resposta quando as equipes preservam os eventos certos, correlacionam-nos e os disponibilizam aos investigadores.

O terceiro desafio é a contenção. As organizações precisam saber como desativar um agente, revogar suas credenciais, colocar um conjunto de dados em quarentena, trocar de modelo ou suspender uma ferramenta conectada sem causar uma interrupção mais ampla.

O quarto desafio é a recuperação. As equipes precisam de um estado comprovadamente confiável e de um teste de integridade antes de devolver o sistema ao serviço. Caso contrário, a recuperação pode restaurar a mesma vulnerabilidade ou informações comprometidas.

Essa complexidade operacional explica por que a maturidade de resposta fica atrás da governança. As políticas muitas vezes podem estender estruturas existentes de gestão de riscos. A resposta a incidentes de IA exige novas evidências técnicas, procedimentos entre equipes e exercícios.

O pequeno painel do benchmark continua sendo uma limitação importante. Esses percentuais não devem se tornar afirmações sobre todas as grandes empresas. Organizações que se voluntariaram para avaliações detalhadas também podem diferir do mercado mais amplo.

A medição também mudou. A Wavestone ampliou sua avaliação de 2026 para incluir segurança de agentes, proteções especializadas, monitoramento e resposta. Comparações diretas de ano a ano devem, portanto, se concentrar em métricas claramente equivalentes.

Ainda assim, o padrão está alinhado às orientações de risco estabelecidas. O perfil de IA generativa do NIST enfatiza documentação de incidentes, logging, comunicação e compartilhamento de informações ao longo do ciclo de vida.

A interpretação cética não é que a governança falhou. É que a maturidade de governança pode criar uma falsa confiança quando as evidências operacionais continuam escassas.

Uma política pode satisfazer um marco interno. Ela não demonstra que uma equipe de segurança consegue detectar recuperação comprometida, rastrear as ações de um agente ou restaurar um sistema confiável.

Três Sinais Mostrarão se as Operações Conseguem Acompanhar

A próxima fase da maturidade da segurança de IA será medida por telemetria conectada, permissões de agentes aplicáveis e recuperação ensaiada.

O primeiro sinal é o percentual de organizações que alimentam eventos de IA no monitoramento ativo de segurança. A Wavestone identificou uma diferença de 80 pontos entre coletar logs de aplicações e integrá-los ao monitoramento do SOC.

Fechar essa lacuna exige casos de detecção definidos, e não simplesmente encaminhar todos os registros. As equipes devem identificar eventos que indiquem recuperação suspeita, escalonamento de privilégios, uso incomum de ferramentas ou tentativas de extração de dados.

Evidências de melhoria incluiriam alertas testados, manuais de investigação e responsabilidade compartilhada entre as equipes de IA e do SOC. Outro documento de política não resolveria a lacuna operacional.

O segundo sinal é a adoção de controles de identidade dedicados para agentes. O resultado atual de 15% mostra que o reconhecimento na governança avançou mais do que a aplicação técnica.

O progresso deve aparecer por meio de identidades distintas para agentes, acesso com escopo restrito, credenciais de curta duração e autorização dentro dos serviços subsequentes. Ações de alto impacto devem ter requisitos explícitos de aprovação.

Esse sinal se tornará mais importante à medida que as organizações introduzirem agentes em finanças, operações de atendimento ao cliente, entrega de software e fluxos internos de conhecimento. Cada ferramenta adicional amplia as consequências do acesso excessivo.

O terceiro sinal é se as organizações exercitam a recuperação de incidentes específica para IA. Um plano escrito é útil, mas as equipes precisam testar contenção, investigação, restauração e validação de integridade.

Os exercícios devem abranger conjuntos de dados comprometidos, fontes de conhecimento contaminadas, credenciais vazadas, alterações inseguras de modelos e ações não autorizadas de agentes. Eles também devem testar se a organização consegue manter o trabalho crítico durante a contenção.

Esses sinais fortalecerão ou enfraquecerão o julgamento central da Wavestone. Uma integração maior com o monitoramento mostraria a governança avançando para as operações. Controles de identidade melhores mostrariam que as políticas para agentes estão se tornando aplicáveis.

Exercícios de recuperação bem-sucedidos forneceriam a evidência mais forte. Eles demonstrariam que as organizações conseguem manter o controle quando a prevenção falha, em vez de presumir que todas as salvaguardas funcionarão.

O Wavestone AI Cyber Benchmark 2026 apresenta uma troca que líderes empresariais não podem resolver apenas com uma adoção mais lenta. Mais desenvolvimento interno pode melhorar a autonomia e o controle arquitetural, mas também transfere a responsabilidade para dentro da organização.

Líderes de segurança devem pedir evidências por trás de cada marco de governança. Quais sistemas enviam eventos acionáveis ao SOC? Quais permissões de agentes podem ser revogadas imediatamente? Quais ativos de IA possuem procedimentos de recuperação testados?

Os responsáveis por engenharia e negócios devem fazer perguntas paralelas. Quem é responsável por cada sistema implantado após a aprovação? Quais mudanças acionam uma reavaliação? Qual pessoa pode interromper uma ação autônoma antes que ela alcance uma aplicação crítica?

A questão decisiva não é mais se uma organização tem uma política de IA. É se essa organização consegue detectar, conter, investigar e recuperar-se quando um sistema de IA se comporta fora das expectativas.