A Cibersegurança em IA ganha um fórum próprio: nasce o WCIA

Na estreia, dentro do XXVI SBSeg, o I Workshop de Cibersegurança em Inteligência Artificial recebeu 48 submissões de 135 autores e 39 instituições, aceitou 16 trabalhos e reuniu uma sala cheia em Armação dos Búzios.

Por Diego Kreutz, Oscar Paiva, Rodrigo Sanches Miani e Victor Hayashi

Na manhã de 1º de setembro de 2026, em Armação dos Búzios, uma das salas do XXVI Simpósio Brasileiro de Cibersegurança (SBSeg) encheu antes das nove horas. O motivo era a estreia do I Workshop de Cibersegurança em Inteligência Artificial (WCIA), o primeiro fórum da comunidade brasileira dedicado exclusivamente à segurança e à privacidade de sistemas de IA. Em três sessões técnicas e uma manhã inteira de programação, dezesseis trabalhos foram apresentados e discutidos.

Por que um workshop de segurança em IA, e por que agora

Os dados apresentados na abertura ajudam a explicar o momento. Um levantamento dos temas de artigos publicados no USENIX Security Symposium, uma das principais conferências internacionais da área, mostra que “Adversarial Machine Learning & Privacy” saltou de alguns artigos por ano, no início da década, para a posição de tema mais frequente do simpósio em 2025, à frente de áreas tradicionais como segurança de software, criptologia e segurança de redes. No Google Scholar, o volume de trabalhos indexados sob o termo “Adversarial Machine Learning” saiu de praticamente zero, em 2010, para a casa dos milhares em 2025.

O crescimento não é apenas quantitativo. Ele reflete um desconforto que os próprios especialistas reconhecem. Como citado na abertura do workshop, Apostol Vassilev, do NIST, resume o estado da arte com uma franqueza incômoda: “There are theoretical problems with securing AI algorithms that simply haven’t been solved yet”. Gary McGraw, um dos nomes fundadores da segurança de software, oferece a analogia mais útil: “It reminds me of the early days of software security”.

A segunda frase é especialmente instrutiva para quem forma pesquisadores e profissionais. Ela sugere que a segurança de IA está hoje mais ou menos onde a segurança de software estava há duas ou três décadas: com ataques conhecidos, defesas frágeis, poucas métricas consensualmente estabelecidas e nenhuma cultura consolidada de engenharia. Outra semelhança entre as áreas é a urgência de suas questões: assim como nos primórdios da segurança de software, sistemas já se encontram universalmente em produção em organizações públicas e privadas, atendendo pessoas e mediando decisões ainda que fundamentalmente desprotegidos.

O horizonte de risco discutido na abertura é concreto e já observável: aumento da incidência e da sofisticação de fraudes; criação e disseminação em escala de discurso de ódio e de outros conteúdos prejudiciais; surgimento de novos tipos de ciberataques e de malwares; e violações de direitos autorais e de privacidade. Não por acaso, na publicação “Grandes Desafios da Computação no Brasil: 2025-2035”, a SBC define a proteção de sistemas de IA como um dos grandes desafios a serem enfrentados, na referida década, no âmbito da cibersegurança.

As perguntas que o campo ainda não respondeu

As questões em aberto no campo da cibersegurança da IA são profundas e, de certa forma, conduzem-nos à reflexão acerca dos fundamentos e, até, da filosofia da cibersegurança. Nesse exercício, uma das questões primordiais que surge é o “que caracteriza algo como seguro”? Essa questão decorre do fato de que, em aplicações de IA, políticas de segurança passam a depender demasiadamente dos contextos de utilização de cada sistema, assumindo características bem menos cartesianas do que em sistemas tradicionais. Além disso, uma vez que se passa a considerar os procedimentos costumeiramente envolvidos na implementação e execução da IA, torna-se difícil conduzir-se processos de modelamento de ameaças, que passam a envolver questões como:

• O que define uma inferência errônea e quais são os riscos associados a ela?
• Quais são os meios à disposição dos adversários para conduzir ataques, considerando as particularidades dos processos de treinamento e de inferência?
• Quanta informação é transmitida através do processo de inferência, e o que isso significa em termos de privacidade?

Outra grande fonte de dificuldade no campo da cibersegurança da IA é que o corpo de conhecimento da cibersegurança tradicional parece, por muitas vezes, não se conciliar bem com o modo de operação da IA – ou, mais especificamente, do Aprendizado de Máquina. Isso porque, numa aproximação bastante grosseira, a IA opera a partir da transformação de dados em espécies de “programas”, dando origem a interações complexas entre dados e instruções que, por sua vez, podem facilitar a confusão de um pelo outro. Confusões desse tipo tradicionalmente causam problemas de segurança em qualquer técnica ou tecnologia, e se encontram no âmago operacional da IA. Dessas observações, decorrem questões do tipo:

• Como aplicar bons princípios de segurança a sistemas de aprendizado de máquina?
• Como empregar, nesses sistemas, técnicas e ferramentas de segurança de software já maduras?
• Como modularizar sistemas de aprendizado de máquina e como isolar, monitorar e proteger esses módulos?

Resolver essas questões em aberto envolverá ciência e engenharia ao mesmo tempo. Serão necessários experimentação cuidadosa, benchmarks comparáveis, ambientes reprodutíveis e vocabulário compartilhado. É exatamente esse conjunto de necessidades que justifica um espaço próprio de discussão, e foi com o propósito de ser esse espaço que o WCIA foi proposto.

Uma estreia com números de evento consolidado

O workshop recebeu 48 submissões, sendo 37 artigos completos e 11 artigos curtos. Foram aceitos 16 trabalhos: 12 completos, o que corresponde a uma taxa de aceitação de 32,4% nessa categoria, e 4 curtos, com taxa de 36,4%. No total, a taxa de aceitação ficou em 33,3%.

Por trás dos trabalhos submetidos estão 135 autores únicos, vinculados a 39 instituições. Vinte e um desses autores possuem vínculo com mais de uma instituição, um indicador discreto, mas relevante, do grau de colaboração no campo. A avaliação seguiu o modelo duplo-cego: foram feitas 159 atribuições de revisão e concluídas 144 revisões, o que dá uma média próxima de três pareceres por trabalho.

Para um workshop de primeira edição, esses números são atípicos. É comum que eventos novos levem algumas edições até atingirem volume de submissões e densidade de comitê que permitam uma seleção competitiva. O WCIA começou já com uma taxa de aceitação em patamar de trilha consolidada, o que diz menos sobre a organização do evento e mais sobre a demanda reprimida da comunidade por um lugar onde esse tipo de trabalho pudesse ser discutido entre pares.

Um comitê deliberadamente interdisciplinar

O Comitê de Programa reuniu 45 membros de 22 instituições, entre elas USP,, UFU, ITA, UFABC, PUC-PR, UNIPAMPA, UDESC, UFPR, UEL, UFRN, UFV, UNIFESP, UNESP, UFF, FGV, Inteli, Reglab, Instituto de Pesquisas Eldorado e Bradesco, além de instituições estrangeiras como Texas A&M University, George Mason University e University of Trieste.

A composição foi pensada para ser interdisciplinar, e não apenas multi-institucional. Ao lado de especialistas em Segurança e em Inteligência Artificial, o comitê incluiu pesquisadores de Direito, de Letras e profissionais da indústria. Essa escolha não é decorativa. Boa parte das perguntas em aberto na segurança de IA é simultaneamente técnica, jurídica e linguística: o que é uma inferência “errônea” do ponto de vista regulatório, como a língua do prompt afeta o alinhamento de um modelo, quem responde por uma ação executada por um agente autônomo.

Três sessões, um retrato do campo

A programação foi organizada em três sessões técnicas, presididas pelos coordenadores do workshop. A leitura conjunta dos títulos funciona como uma fotografia razoavelmente fiel do que a comunidade brasileira está pesquisando agora.

Sessão 1, Robustez, Segurança e Adoção de IA, presidida por Victor Hayashi, tratou do espectro que vai do ataque adversarial clássico à governança institucional. Houve trabalhos sobre consistência de ataques de evasão no espaço de atributos de sistemas de detecção de intrusão, sobre o uso de “Large Language Models”(LLMs) para explicar modelos de aprendizado em cibersegurança, sobre robustez de LLMs na detecção de vulnerabilidades em contratos inteligentes e sobre avaliação de segurança em código gerado por LLMs. Dois artigos curtos ampliaram o recorte: um sobre prontidão institucional para a adoção segura de IA no setor público brasileiro e outro sobre ataques adversariais em uma ferramenta de detecção de garimpo na Amazônia Legal, baseada em Visão Computacional.

Sessão 2, Segurança de Agentes de IA, presidida por Oscar Paiva, concentrou-se no tema que mais rapidamente saiu do laboratório para a produção. Os trabalhos discutiram exfiltração de dados em extensões de navegador baseadas em LLM sem recorrer à injeção de prompt, rastreamento de evidências entre camadas na execução local de agentes, jogos de sinalização aplicados a agentes comprometidos, um método reprodutível para avaliar a resiliência de agentes a ataques de injeção indireta de prompt e uma posição sobre autorização de agentes de IA em serviços de produção, da confiança implícita à verificação contínua.

Sessão 3, Segurança de LLMs: red teaming, robustez e prompt injection, presidida por Rodrigo Sanches Miani, fechou a manhã com foco em avaliação. Foram apresentados um benchmark sintético para avaliação integrada de segurança em assistentes corporativos baseados em “Retrieval Augmented Generation” (RAG), uma avaliação “cross-lingual” de defesas contra injeção de prompt em modelos de linguagem de pequeno porte, um estudo de táticas de “red teaming” automatizado nesses mesmos modelos, uma avaliação de robustez de SLMs em português sob perturbações linguísticas e uma análise das barreiras linguísticas no alinhamento de LLMs, comparando ataques em português e em inglês.

Vale destacar um padrão que atravessa as três sessões: a preocupação com método. Vários títulos anunciam explicitamente frameworks metodológicos, benchmarks, métodos reprodutíveis e protocolos de avaliação. Em uma área jovem, na qual é fácil publicar um ataque bem-sucedido contra um modelo específico e difícil comparar resultados entre trabalhos, essa ênfase é um bom sinal de maturidade precoce.

A sala cheia e o que ela sinaliza

Um dado que nenhuma estatística de submissão captura é a ocupação da sala. O WCIA foi programado para a manhã do primeiro dia do SBSeg, horário em que boa parte dos participantes ainda está chegando ao evento. Ainda assim, a sala encheu já na primeira sessão e as perguntas consumiram integralmente o tempo previsto em várias apresentações.

O formato ajudou. Artigos completos tiveram oito minutos de apresentação e três de perguntas; artigos curtos, quatro e dois. É um ritmo exigente, que obriga o apresentador a ir direto ao ponto e mantém a audiência atenta. O resultado foi uma manhã densa, com trabalhos apresentados em sequência e espaço real de discussão ao final de cada um.

Merece registro, também, a composição da plateia. Estudantes de pós-graduação, pesquisadores experientes e profissionais da indústria acompanharam as mesmas apresentações e fizeram perguntas nas mesmas sessões. Para um campo em que a distância entre o que se publica e o que se opera pode ser grande, esse encontro tem valor formativo direto.

O que fica da primeira edição

A primeira edição do WCIA deixa três sinais claros. O primeiro é de demanda: 48 submissões e 135 autores em uma chamada inaugural indicam que havia uma comunidade já formada, apenas dispersa entre outros eventos. O segundo é de qualidade: uma taxa de aceitação de 33,3%, sustentada por 144 revisões duplo-anônimas, mostra que foi possível ser seletivo desde o início. O terceiro é de agenda: os temas aceitos acompanham de perto a fronteira internacional, com forte presença de agentes de IA, de “red teaming” e de avaliação de robustez, e acrescentam uma contribuição própria ao tratar do português e das barreiras linguísticas no alinhamento de modelos.

O trabalho premiado como Melhor Artigo do workshop foi anunciado no jantar do simpósio, junto com as demais premiações do SBSeg 2026.

Há também um ponto que vale acompanhar nas próximas edições. A segurança de IA é uma área experimental por natureza, na qual código, dados, prompts, modelos e scripts de avaliação são parte inseparável do resultado. Se a comunidade brasileira já construiu, no SBSeg e no SBRC, um processo maduro de avaliação de artefatos, o WCIA é um candidato natural a se beneficiar dele. A ênfase metodológica observada nesta primeira edição sugere que os autores estão preparados para esse passo.

Faça parte do WCIA

O WCIA nasceu com quatro objetivos declarados: fomentar a pesquisa em segurança e privacidade em Inteligência Artificial, promover a avaliação experimental de técnicas de ataque e de defesa, estimular a colaboração entre academia e indústria e abrir espaço para a discussão dos desafios em aberto da área. Nenhum deles se cumpre em uma única edição.

A comunidade está aberta a novos autores, revisores e parceiros. Quem trabalha com modelagem de ameaças, envenenamento de dados, evasão, backdoors, extração de modelos, injeção de prompt, jailbreak, robustez de modelos, hardening de LLMs, segurança de pipelines e de sistemas multiagentes, privacidade diferencial, aprendizado federado seguro, benchmarks e ferramentas reprodutíveis, IA explicável ou aspectos éticos, legais e regulatórios encontrará no WCIA um público interessado e qualificado.

Saiba mais

• Página oficial do WCIA 2026: https://www.sbseg2026.uff.br/workshops/wcia/
• XXVI Simpósio Brasileiro de Cibersegurança (SBSeg 2026), Armação dos Búzios, RJ, 1 a 4 de setembro de 2026: https://www.sbseg2026.uff.br/
• Anais em acesso aberto na Biblioteca Digital da SBC: https://sol.sbc.org.br

Sobre os autores

Como citar este artigo

KREUTZ, Diego; PAIVA, Oscar; MIANI, Rodrigo Sanches; HAYASHI, Victor. A Cibersegurança em IA ganha um fórum próprio: nasce o WCIA. SBC Horizontes, setembro 2026. ISSN 2175-9235. Disponível em: https://horizontes.sbc.org.br/?p=12461. Acesso em: DD mês. AAAA.