O que a Cobalt mediu em 2026

O relatório 2026 State of Pentesting, da Cobalt, aponta uma virada na forma como profissionais de segurança enxergam ferramentas de pentest totalmente automatizadas. No levantamento, apenas 9% dos entrevistados disseram estar abertos a usar essa abordagem. No ano anterior, o índice chegava a 29%.

Pentest é um teste feito para encontrar falhas antes que criminosos as explorem. Ferramentas automáticas ajudam a acelerar parte desse trabalho, mas o relatório mostra que confiar apenas nelas ficou menos aceitável. A ressalva é ainda maior quando o sistema testado envolve inteligência artificial ou modelos de linguagem.

O falso negativo que gera confiança falsa

O ponto central é o falso negativo: quando a ferramenta afirma que não encontrou problema, mas a falha existe. Segundo o relatório, 78% dos respondentes relataram falsos negativos críticos em ferramentas automáticas de varredura.

Isso é grave porque cria uma sensação falsa de proteção. Uma empresa pode encerrar uma correção acreditando estar segura, enquanto uma brecha importante segue aberta. O risco cresce quando a falha não aparece em uma checagem simples e depende de contexto, sequência de ações ou criatividade para ser descoberta.

Onde a IA muda o jogo

O relatório destaca que a preocupação é maior em ambientes com IA e LLMs. Nesses sistemas, 32% das vulnerabilidades detectadas foram classificadas como altas ou críticas, contra 12% em ambientes tradicionais.

Alguns sinais de que o pentest automático pode não ser suficiente:

• Uso de chatbots, assistentes virtuais ou recursos baseados em LLMs.
• Processos em que a IA toma decisões ou executa ações em nome do usuário.
• Resultados de varredura sem validação humana em falhas críticas.
• Testes que não simulam conversas, múltiplas etapas ou tentativas criativas.

Entre os exemplos citados no relatório estão prompt injection, agência excessiva da IA e falhas lógicas. São casos em que o sistema pode ser induzido a fazer algo indevido ou tomar uma decisão errada por causa do contexto da interação.

Automação com validação humana no centro

A recomendação prática é não tratar a automação como substituta total de especialistas. Ferramentas automáticas seguem úteis para ganhar velocidade e cobrir verificações repetitivas, mas precisam andar junto com análise humana.

Para empresas que usam IA, o cuidado deve ser redobrado. Teste cenários reais: perguntas maliciosas, instruções em várias etapas, tentativas de burlar regras e situações em que a IA recebe permissões para agir. O objetivo é verificar não apenas se existe uma falha técnica, mas se o comportamento do sistema pode gerar impacto de negócio.

Checklist prático

1. Revise se seus pentests atuais dependem apenas de varreduras automáticas.
2. Inclua validação humana para achados críticos e para resultados "sem falhas".
3. Teste aplicações com IA usando cenários de conversa, múltiplas etapas e abuso de permissões.
4. Compare vulnerabilidades em ambientes tradicionais e com IA para priorizar riscos altos.
5. Documente falsos negativos encontrados para melhorar o processo de teste.

Perguntas frequentes

Ferramentas automáticas de pentest devem ser abandonadas?

Não. O relatório indica que o problema está em confiar nelas como solução completa. Elas ajudam, mas não substituem análise humana em cenários complexos.

Por que IA e LLMs preocupam mais?

Porque falhas nesses ambientes podem depender de contexto, conversa e sequência de ações. O relatório aponta 32% de vulnerabilidades altas ou críticas em ambientes com IA e LLMs.

O que é falso negativo em pentest?

É quando uma ferramenta não identifica uma falha que realmente existe. Segundo o relatório, 78% dos respondentes relataram falsos negativos críticos em varreduras automatizadas.

Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io

Fontes: