Relatório da Akamai liga 'shadow AI' de superusuários a extensões vulneráveis e novos vetores como CursorJacking
Pesquisa da Akamai mostra que os 5% de funcionários que mais usam IA interagem com modelos 12 vezes mais que a metade inferior da força de trabalho, boa parte via contas pessoais fora da supervisão de TI. O relatório aponta que 16,31% das extensões de IA analisadas carregam CVEs conhecidas e nomeia técnicas emergentes como Vibe Hacking, CursorJacking e CometJacking.
O relatório "State of the Internet: Enterprise AI Usage Risk Report 2026" da Akamai mede o quão desigual é a adoção de IA dentro das empresas e o que essa concentração implica para segurança: um pequeno grupo de "super-adotantes" embutindo ferramentas de IA não vetadas diretamente em fluxos de trabalho críticos do negócio gera exposição desproporcional ao seu tamanho, já que o comprometimento do fluxo de trabalho de uma dessas pessoas tem um raio de impacto muito maior que o uso ocasional de um funcionário médio.
Dois mecanismos de risco distintos se somam aqui. Primeiro, 47,11% das conversas de IA nas organizações pesquisadas acontecem por meio de identidades pessoais, não gerenciadas corporativamente, o que significa que TI e segurança essencialmente não têm visibilidade nem controle sobre que dados entram nessas sessões. Segundo, 16,31% das extensões de IA (navegador/IDE) em uso carregam CVEs conhecidas — um problema comum de dependência vulnerável, mas concentrado num ecossistema de extensões que cresce rápido e é fracamente governado. Somado a isso, o relatório nomeia técnicas de ataque já observadas: "Vibe Hacking" (manipular um assistente de codificação por IA alterando arquivos locais que ele trata como contexto confiável), "CursorJacking" (coleta silenciosa de chaves de API e tokens através de uma extensão de assistente de código comprometida ou maliciosa) e "CometJacking" (injetar instruções maliciosas numa página web que um navegador habilitado para IA processa como se fossem legítimas).
Isso é um problema genuíno de segurança de software em que IA é o vetor, não apenas uma estatística de adoção/governança: extensões vulneráveis com CVEs conhecidas dentro de um assistente de código ou navegador com IA dão a um atacante um ponto de apoio que herda qualquer acesso privilegiado que esse assistente já tenha — repositórios de código-fonte, credenciais de nuvem, sessão de navegação — e, como o uso está concentrado em contas pessoais não gerenciadas, controles corporativos padrão (SSO, DLP, allowlisting de extensões) frequentemente nem enxergam que isso está acontecendo.
Vale registrar que este é um conteúdo patrocinado pela Akamai promovendo suas próprias ferramentas de segurança, então o enquadramento e o "checklist para CISOs" empurram a solução de um fornecedor específico — mas os dados concretos (taxa de CVE em extensões de IA, as três técnicas de ataque nomeadas) são a parte substantiva e verificável, independente do discurso comercial.