Até a Anthropic está preocupada com a vossa subestação.
A empresa de IA publicou o seu «Advanced AI Framework» em junho de 2026 — um documento de orientação que, aparentemente, visa regulamentar o desenvolvimento de IA de ponta. Incluído na Parte 2, numa secção sobre resiliência cibernética face às ameaças da IA, encontra-se um conjunto de recomendações que se assemelha menos a um resumo de políticas de IA e mais a uma lista de desejos de um profissional de segurança de OT (tecnologia operacional). Três dessas recomendações chamaram a atenção das nossas equipas de produto:
1. Estabelecer uma frequência vinculativa de implementação de correções para os operadores de infraestruturas críticas
2. Financiar os operadores para que identifiquem e isolem os sistemas que já não podem receber atualizações de segurança
3. Criar uma reserva estratégica de equipamento OT com prazos de entrega longos (relés de proteção, RTUs, PLCs) para operadores cujo equipamento possa ficar inoperacional na sequência de um ataque destrutivo
A recomendação de «isolar os sistemas que já não podem receber atualizações de segurança» é a mais grave porque:
1. Afeta a maior parte da base instalada de equipamento OT antigo
2. Apela a um regresso ao que equivale a um «air-gap» nas redes OT.
Mas existe uma forma de isolar os sistemas de forma segura, mantendo ao mesmo tempo a conectividade: através dos díodos de dados. A Anthropic chega mesmo a referir explicitamente os díodos de dados no início da mesma secção, no âmbito das medidas de prevenção para operadores com recursos limitados: «reduzir a exposição à Internet da tecnologia operacional (através de díodos de dados)».
O problema com a abordagem «basta isolá-lo»
O equipamento de OT em fim de vida está por todo o lado. É possível encontrar controladores lógicos programáveis a executar firmware de 2009, sistemas SCADA anteriores ao iPhone e até servidores de registos no Windows Server . Muitas vezes, não é possível aplicar correções a estes sistemas, uma vez que o fornecedor já não existe, o contrato de assistência expirou ou a atualização exigiria uma paragem da produção que se prolongaria por dias ou semanas, e não por minutos.
O conselho habitual, que em princípio faz sentido, é isolar o sistema. Retirá-lo da rede, interromper a via de ataque e conter o raio de impacto. Mas, na prática, «basta isolá-lo» cria os seus próprios problemas:
- O isolamento sem visibilidade equivale a ignorar os ataques. Se o seu sistema de registo histórico EOL deixar de funcionar porque um agente malicioso o comprometeu ou está a preparar um movimento lateral, só se aperceberá quando já for tarde demais. Os operadores que isolam um sistema sem garantir que continuam a ter visibilidade sobre os sistemas trocaram um risco por outro.
- O isolamento sem fluxo de dados interrompe as operações. A maioria dos sistemas OT que não podem receber atualizações continua a realizar tarefas úteis e, por vezes, críticas. Estão a gerar leituras de sensores, a registar dados de processo, a alimentar painéis de controlo dos quais os operadores dependem para análises, verificações de estado, conformidade e para gerir a unidade de forma eficaz. Uma desconexão total da rede isola a superfície de ameaça, mas também corta o fluxo de dados operacionais que mantêm a unidade em funcionamento.
- O isolamento sem provas de conformidade é uma alegação não verificada. Os auditores e as entidades reguladoras irão solicitar provas de que um sistema está efetivamente isolado, e não apenas que se acredita que esteja isolado. Uma regra de firewall é um controlo de software. Software falham.
O que os díodos de dados fazem, na verdade, neste contexto
Um gateway unidirecional implementado por hardware (um díodo de dados) é o controlo de segurança que torna o isolamento viável do ponto de vista operacional.
A questão reside na física. Os díodos de dados transmitem apenas numa direção, o que é garantido a nível de hardware através do isolamento ótico. Não há nenhuma configuração de software que possa ser mal configurada, nenhuma regra que possa ser contornada, nem nenhum canal bidirecional que possa ser explorado. Um atacante que comprometa uma rede OT ou IT externa não consegue aceder, através do díodo de dados, a uma rede protegida.
OPSWAT esta proteção através do MetaDefender Diode™, que impõe a transferência unidirecional de dados num hardware especificamente concebido para ambientes OT. O Optical Diode um fluxo unidirecional na camada física através da transmissão por fibra ótica: não existe caminho de retorno, uma vez que a luz não flui para trás através do meio. Em ambientes onde as consequências de uma violação se traduzem em termos de segurança pública, é necessária certeza, e não probabilidade.
Quando aplicado à recomendação n.º 2 da Anthropic, isto altera o cálculo:
O isolamento passa a ser «proteger e observar», em vez de «proteger e ignorar».
É possível utilizar um diodo de dados a partir do sistema EOL, enviando registos, telemetria de sensores e dados de eventos para um SIEM (gestão de informações e eventos de segurança) ou para uma plataforma de monitorização OT. O sistema fica efetivamente isolado; nada consegue regressar ao sistema. No entanto, o seu SOC (centro de operações de segurança) continua a poder monitorizá-lo. As anomalias são visíveis e os incidentes são detetáveis.
A continuidade operacional é preservada.
O historiador continua a registar; a RTU (unidade terminal remota) continua a enviar relatórios. Os dados de que os sistemas a jusante dependem continuam a ser transmitidos, em segurança, através de hardware que não pode ser comprometido. Os operadores não se deparam com a falsa escolha entre segurança e tempo de atividade.
As provas de conformidade estão enraizadas no hardware.
O isolamento é comprovável. Não estás a afirmar que uma política de firewall protege o sistema; estás a demonstrar que a arquitetura física da rede torna impossível o tráfego de entrada para esse sistema. Essa é uma conversa muito diferente com um auditor.
O problema do inventário vem em primeiro lugar
A recomendação da Anthropic associa especificamente «inventário» a «isolar»; não é possível proteger aquilo cuja existência se desconhece.
Um inventário sistemático dos ativos em fim de vida útil (EOL) é o primeiro passo. Este inventário identifica os sistemas que necessitam de proteção, determina a sua exposição na rede e cria a linha de referência em relação à qual os controlos de isolamento são avaliados. A abordagem OPSWATà proteção de infraestruturas críticas começa aí: compreender o que existe na rede antes de decidir como protegê-la.
Assim que o inventário estiver disponível, os diodos de dados podem ser aplicados com precisão cirúrgica, protegendo em primeiro lugar os sistemas em fim de vida (EOL) de maior risco, ao mesmo tempo que se preservam os fluxos de dados dos quais as operações dependem.
Um sinal político que vale a pena levar a sério
A Anthropic não é uma empresa de segurança de OT. É isso que torna este quadro interessante. Quando um programador de IA que desenvolve LMMs redige recomendações de resiliência cibernética que mencionam diodos de dados e RTUs, isso reflete um consenso mais alargado que tem vindo a formar-se: a segurança da infraestrutura de tecnologia operacional é um risco sistémico, não uma preocupação de nicho.
A recomendação de «financiar as operadoras para que façam um inventário e isolem os sistemas que já não podem receber atualizações de segurança» irá surgir nas conversas sobre aquisições, nos requisitos regulamentares e nas discussões sobre riscos ao nível do conselho de administração. As operadoras que já resolveram este problema, que fizeram o inventário dos seus ativos em fim de vida útil (EOL) e os protegeram com isolamento implementado por hardware, estarão preparadas para essa conversa.
Aqueles que não o fizeram terão de explicar por que razão permitiram que os seus sistemas continuassem em risco.
Fale com um OPSWAT sobre a implementação de díodos de dados com proteção por hardware nos seus ativos OT que não podem ser atualizados.
