China cria selo de segurança cibernética com IA — fornecedores brasileiros de software enfrentam nova exigência

O CAICT (Instituto de Pesquisa em Tecnologia da Informação e Comunicações da China), ligado ao Ministério da Indústria e Tecnologia da Informação, lançou uma métrica nacional para medir a capacidade de sistemas de inteligência artificial na descoberta de vulnerabilidades de software. A primeira empresa a passar na avaliação foi a 360 Tulongfeng, unidade de segurança ofensiva do grupo 360 Security. O movimento sinaliza que Pequim quer padronizar a chamada 'mineração de vulnerabilidades com IA' — atividade que mistura cibersegurança, defesa nacional e compliance. Para o Brasil, o efeito chega pela porta dos fornecedores de software e serviços de segurança que atendem clientes chineses ou operam joint ventures: a tendência é que o selo do CAICT se torne exigência contratual e critério de due diligence em processos de compra. O CAICT, instituto de pesquisa vinculado ao Ministério da Indústria e Tecnologia da Informação da China, apresentou uma métrica oficial para avaliar a capacidade de ferramentas de inteligência artificial na identificação de vulnerabilidades em sistemas. A primeira companhia a ser aprovada no novo padrão foi a 360 Tulongfeng, braço de segurança ofensiva do grupo 360 Security, que já opera laboratórios de descoberta de falhas em softwares corporativos. O anúncio foi feito pela PingWest e não detalha prazos de vigência nem se a certificação será obrigatória para fornecedores do governo chinês. O impacto chega ao Brasil de forma indireta, mas concreta. Empresas brasileiras de software que vendem para o mercado chinês, ou que participam de joint ventures com grupos locais, costumam passar por processos de homologação de segurança conduzidos por parceiros chineses. Se o selo do CAICT se consolidar como referência, fornecedores brasileiros podem ser cobrados a demonstrar que suas ferramentas de varredura — ou as ferramentas de terceiros que utilizam — atendem ao padrão. O mesmo vale para auditorias de segurança contratadas por empresas brasileiras com operações na China: a escolha do fornecedor de pentest e de mineração de vulnerabilidades tende a migrar para players certificados pelo CAICT. Não há, até agora, movimento equivalente da ANPD (Autoridade Nacional de Proteção de Dados) ou do GSI (Gabinete de Segurança Institucional) para reconhecer ou exigir o selo, o que cria assimetria regulatória para quem opera nos dois mercados. Os dados mostram que a China vinha tratando segurança cibernética como infraestrutura crítica desde a Lei de Segurança Cibernética de 2017 e a Lei de Proteção de Dados Pessoais de 2021. Na leitura do CBI, a criação de uma métrica de capacidade de IA para mineração de vulnerabilidades é um passo além: não se trata apenas de certificar produtos, mas de padronizar a própria atividade de descoberta de falhas, que hoje é exercida por empresas privadas com pouca supervisão estatal. Ao definir quem é 'capaz' de minerar vulnerabilidades com IA, o CAICT ganha influência sobre um mercado sensível — o de segurança ofensiva — e cria barreira de entrada para fornecedores estrangeiros. Para o leitor brasileiro, o paralelo mais próximo é o esforço da ANPD em credenciar encarregados de dados, mas com ambição tecnológica maior. O que acompanhar: primeiro, a publicação do texto completo da métrica pelo CAICT, que deve detalhar critérios técnicos e se haverá reciprocidade para certificadoras estrangeiras. Segundo, se o selo aparecer em editais de compra de estatais chinesas ou em contratos de joint ventures com empresas brasileiras, o que transformaria a certificação em exigência de fato. Terceiro, a reação de fornecedores ocidentais de segurança — como CrowdStrike, Palo Alto e Trend Micro — e se alguma entidade brasileira, como a ABES (associação de software) ou a ANPD, sinaliza reconhecimento mútuo.