Até este mês, quando um caso de ameaça chegava à equipe de resposta gerenciada da Sophos (abre em nova aba), a investigação dependia quase inteiramente de pessoas. O tempo médio para analisar e responder a um caso era de cerca de 38 minutos. Segundo o diretor de tecnologia da empresa, John Peterson, esse desempenho já colocava a operação à frente de 96% dos centros de segurança profissionais do mercado. A partir de agentes de inteligência artificial construídos com o programa Daybreak, da OpenAI, esse tempo caiu para cerca de 89 segundos.
O que a Sophos anunciou
A informação consta em um relato de cliente publicado pela OpenAI em 9 de outubro de 2026. Os três números centrais do documento são:
- 96%: redução no tempo de investigação com o uso dos modelos da OpenAI.
- 89 segundos: tempo médio de resposta nos casos em que os agentes de IA são acionados, contra os cerca de 38 minutos do processo anterior.
- 52%: parcela dos casos do serviço MDR resolvidos de ponta a ponta por IA, dentro de limites calibrados por analistas da Sophos.
Aqui vale explicar o termo central. MDR é a sigla em inglês para "Managed Detection and Response", um serviço em que uma empresa terceiriza para um provedor a tarefa de monitorar seus sistemas, detectar invasores e responder a incidentes. Em vez de manter uma equipe própria de segurança funcionando 24 horas por dia, o cliente contrata especialistas que vigiam sua rede de forma contínua. A Sophos diz atender mais de 625 mil organizações com esse e outros serviços.
Já "agente de IA" designa um programa que executa tarefas em várias etapas sem intervenção constante de uma pessoa: ele coleta dados, planeja os próximos passos, executa e apresenta um resultado. No caso da Sophos, esses agentes foram construídos a partir dos modelos do Daybreak.
Como os agentes trabalham
Pelo relato, cada agente opera em três etapas. Primeiro, reúne o contexto do caso: dados do cliente, detecções anteriores, indicadores de comprometimento (pistas digitais que sugerem presença de invasor, como endereços suspeitos em arquivos de registro) e inteligência de ameaças. Depois, monta um plano de investigação, executado e revisado por modelos de planejamento. Por fim, gera um sumário com as ações recomendadas.
A cifra de 89 segundos se refere aos casos em que esses agentes são acionados. Metade do volume que a Sophos atende hoje é automatizada por eles, segundo Peterson. O restante segue com analistas humanos, que ficam liberados para concentrar esforços nas ameaças mais sofisticadas e nas exceções, enquanto os agentes cuidam dos fluxos rotineiros.
Esse ganho de escala importa por uma razão concreta. O sistema da Sophos, chamado Fusion, reúne sinais de mais de 500 integrações com produtos de terceiros, além das ferramentas próprias da empresa. Esses sensores geram trilhões de eventos por dia, filtrados até se transformarem em cerca de 1.000 a 2.000 casos, distribuídos para nove centros de operações de segurança ao redor do mundo. Sem automação, crescer nesse volume exigiria contratar proporcionalmente mais especialistas, um perfil raro e caro no setor. Com agentes, a empresa afirma atender mais casos sem multiplicar a equipe.
Onde a IA para
A automação tem fronteiras declaradas. A Sophos oferece três modos de operação, escolhidos pelo cliente:
| Modo | Como funciona |
|---|---|
| Notify | A Sophos apenas recomenda ações ao cliente |
| Collaborate | A Sophos atua junto com o cliente nas respostas |
| Authorise | A Sophos responde diretamente, com autorização prévia |
A regra de ouro, segundo Peterson, é que ações potencialmente destrutivas, como isolar máquinas ou remover acessos, seguem passando por julgamento humano. "Tudo aquilo com que não nos sentimos confortáveis em deixar um agente tratar é encaminhado para julgamento humano", afirmou o executivo. O CTO também recomenda que líderes de segurança mantenham os fundamentos: aplicar correções de software, segmentar redes, exigir autenticação multifator e manter operações robustas. Na leitura dele, a automação não elimina a necessidade de boas práticas básicas.
O que se sabe (e o que não se sabe) sobre o Daybreak
O Daybreak aparece no relato como o programa da OpenAI que deu aos modelos a base para os agentes da Sophos. O documento não informa qual versão de modelo é usada, quantos parâmetros tem, qual o tamanho da janela de contexto nem quanto custa. A publicação brasileira que reproduziu o anúncio registra o modelo como de modalidade texto, com versão, parâmetros e preço não divulgados.
É o momento de separar o que está confirmado do que está apenas declarado. Os números de 96%, 89 segundos e 52% vêm de um relato de cliente publicado pela própria OpenAI, com declarações do executivo da Sophos. A página não informa o período de medição, o tamanho da amostra de casos comparados nem a existência de auditoria independente. Não há, até agora, verificação externa dessas métricas por terceiros.
A divulgação brasileira, por sua vez, não é uma confirmação independente: ela reproduz o mesmo relato da OpenAI, com edição parcial automatizada. Publicações separadas de uma mesma informação primária não criam evidência adicional.
Há ainda um detalhe que pode confundir. O número 96% aparece duas vezes no material, com sentidos diferentes. Um deles é a redução do tempo de investigação com IA, comparando os 38 minutos anteriores aos 89 segundos atuais. O outro é a afirmação de Peterson de que a operação da Sophos, antes mesmo do Daybreak, já era mais rápida que 96% dos centros de segurança profissionais. Trata-se de coincidência de algarismos, não da mesma medida.
E o Brasil?
O anúncio não traz informações específicas sobre clientes brasileiros: não menciona idioma de operação dos agentes, custos regionais nem condições de contratação locais. O que se pode afirmar é que o serviço MDR da Sophos opera globalmente, com nove centros de operações, e que os modos Notify, Collaborate e Authorise são apresentados como opções válidas para os clientes do serviço de modo geral. Empresas brasileiras que já contratam o MDR da Sophos veriam os efeitos da automação conforme os casos fossem atendidos pelos agentes, mas nenhum dado local foi divulgado.
Por que a cautela importa
Um tempo de resposta de 89 segundos em vez de 38 minutos muda a matemática de um ataque: invasores agem rápido, e cada minuto de atraso na investigação amplia o dano. O relato da Sophos sugere que, em parte dos casos, essa janela pode ter encolhido drasticamente. Mas números de fornecedor em caso de sucesso têm função comercial tanto quanto informativa. Quem avalia serviços de segurança gerenciada pode usar essa divulgação como um dado de referência, e deve cobrar do fornecedor os detalhes que faltam: período medido, base de comparação e verificação externa.
A Sophos diz ter cortado 96% do tempo de investigação. Faltam as provas que sustentem o número.
Perguntas frequentes
O que é o MDR citado na notícia?
MDR é um serviço de "detecção e resposta gerenciadas": uma empresa contrata um provedor, no caso a Sophos, para monitorar seus sistemas continuamente, investigar alertas e responder a invasores, em vez de manter equipe própria 24 horas por dia.
O que é o Daybreak da OpenAI?
É o programa da OpenAI a partir do qual a Sophos construiu os agentes de IA usados em sua operação de segurança. Versão do modelo, parâmetros, janela de contexto e preço não foram divulgados.
Os números de 96% e 89 segundos foram auditados?
Não, pelo menos não publicamente. As métricas constam de um relato de cliente da OpenAI com declarações do CTO da Sophos, sem período de medição, amostra informada ou auditoria independente.
A IA pode tomar decisões destrutivas sozinha na Sophos?
Não, segundo o anúncio. Ações potencialmente destrutivas continuam exigindo julgamento humano, e o cliente escolhe entre três modos, de apenas recomendações (Notify) até resposta direta autorizada (Authorise).