A Camada de Governança: O Que a Queda de $15B em Cybersecurity Revela Sobre Segurança na Era IA

Em 20 de fevereiro de 2026, a Anthropic anunciou o Claude Code Security — uma ferramenta que usa raciocínio de modelo de linguagem, não pattern matching, para detectar vulnerabilidades em código. Em menos de 24 horas, o ETF BUG Cyber caiu ~5%. CrowdStrike perdeu 8%. Cloudflare, 8,1%. Okta, 9,2%. SailPoint, 9,4%.

Quinze bilhões de dólares evaporaram porque um laboratório de IA mostrou um preview de pesquisa.

Ou foi isso mesmo que aconteceu?

O Contexto Que Ninguém Menciona

O setor de software já acumulava queda de ~23% no ano. CrowdStrike já havia perdido 22% antes do anúncio da Anthropic. A Barclays chamou a reação do mercado de “incongruente” com o produto real — um preview limitado, sem disponibilidade geral, sem preço, sem adoção mensurável.

O Claude Code Security não derrubou o setor de cybersecurity. Ele acelerou um repricing que já estava em andamento. A diferença importa.

Quando analistas de Wall Street entram em pânico com um preview de pesquisa, o sinal não está no produto. Está no medo. E o medo revela algo que as empresas de segurança preferiam ignorar: a camada de detecção — encontrar bugs, escanear código, identificar padrões de ataque — está no caminho de se tornar commodity.

A Compressão da Cadeia de Valor

A Anthropic afirma ter encontrado mais de 500 vulnerabilidades “não detectadas por décadas” em código-fonte aberto. É uma declaração de marketing. Não há metodologia publicada, não há taxa de falso positivo, não há reprodução independente. Trate como tal.

Mas o claim importa menos que a direção. Se um modelo de linguagem consegue detectar vulnerabilidades por raciocínio — entendendo o que o código faz em vez de comparar com assinaturas conhecidas — então o custo marginal de detecção tende a zero ao longo do tempo. Não este ano. Não com este produto. Mas a trajetória é clara.

É exatamente o que o mercado precificou. Não a capacidade atual, mas a curva de custo futura.

Clayton Petty, analista frequentemente citado nessa discussão, observou que o múltiplo mediano EV/NTM de cybersecurity caiu de 7,8x para 5,2x. Vale notar: Petty é Partner na Gradient Ventures, o fundo de investimento em IA do Google. Seu incentivo é que a narrativa de “IA substitui segurança” pareça plausível. Isso não invalida os números, mas exige que você os leia com contexto.

E por falar em contexto: no mesmo mês, o Google fechou a aquisição da Wiz por US$ 32 bilhões. A maior aquisição da história do Google foi uma empresa de segurança em nuvem. Se IA realmente substituísse segurança, o Google — que tem os melhores modelos de IA do mundo ao lado da Anthropic e da OpenAI — não teria pago US$ 32 bilhões por uma empresa de segurança.

A aquisição da Wiz é o contraponto mais eloquente à narrativa de pânico.

O Problema Bidirecional

Aqui está o que a maioria das análises ignora: organizações enfrentam dois problemas de segurança com IA simultaneamente, e eles são o mesmo problema visto de extremidades opostas.

Problema 1: Proteger os agentes de IA. Seus agentes de IA têm acesso a sistemas, dados e ferramentas. Eles tomam decisões autônomas. A pesquisa da Kiteworks de 2026, com 225 líderes de segurança, encontrou que 63% das organizações não conseguem impor limites de propósito em seus agentes de IA. 60% não conseguem encerrar agentes que se comportam de maneira inesperada.

Leia de novo: a maioria das empresas não consegue desligar seus próprios agentes quando algo dá errado.

Problema 2: Usar IA para proteger código. É o que o Claude Code Security promete. Modelos que analisam código por raciocínio, encontram vulnerabilidades que scanners tradicionais não encontram, e fazem isso a uma fração do custo.

Esses dois problemas parecem distintos. Não são. Ambos exigem a mesma capacidade organizacional: governança sobre sistemas autônomos. Quem controla o que o agente pode fazer? Quem audita suas decisões? Quem é responsável quando ele erra?

A Fronteira da Identidade

A pesquisa da Strata Identity de 2026 revela um dado alarmante: apenas 23% das organizações têm uma estratégia formal de gerenciamento de identidade para agentes de IA. E 92% não confiam que suas ferramentas legadas de IAM consigam lidar com identidades não humanas.

Isso faz sentido. Ferramentas de gerenciamento de identidade foram projetadas para pessoas — seres que digitam senhas, usam crachás e respondem a perguntas de segurança. Agentes de IA não fazem nada disso. Eles operam via APIs, escalam horizontalmente e podem existir em centenas de instâncias simultâneas.

Quando agentes de IA superam o número de usuários humanos — o que já acontece em muitas organizações — o conceito de “identidade” precisa ser repensado desde os fundamentos. Não é uma atualização de software. É uma mudança de paradigma no gerenciamento de acesso.

O Que o Docker Nos Diz

A pesquisa Docker State of Agentic AI 2026, com mais de 800 respondentes, oferece um retrato do estado atual. Os números merecem ressalvas — a amostra é auto-selecionada, composta por desenvolvedores que já usam Docker, o que enviesa para adoção precoce. Ainda assim, os padrões são instrutivos.

60% dos respondentes reportam agentes de IA em produção. Isso não significa que 60% das empresas do mundo usam agentes — significa que, entre desenvolvedores Docker engajados o suficiente para responder uma pesquisa, a maioria já passou do piloto.

40% citam segurança como seu maior desafio. 45% lutam para garantir que ferramentas sejam enterprise-ready. E 76% expressam preocupação com vendor lock-in.

Observe a progressão: a maioria tem agentes em produção, mas quase metade não confia na segurança dessas implementações. O trem já saiu da estação. A questão não é se organizações vão operar agentes de IA. É se vão operá-los com governança adequada.

Detecção Versus Governança

Aqui está a tese central, e é simples.

Detecção é uma função que IA pode automatizar. Encontrar bugs, identificar padrões de ataque, escanear configurações — tudo isso se torna mais barato e mais rápido com modelos de linguagem. O Claude Code Security é o primeiro sinal visível. Não será o último.

Governança é uma função que IA não pode substituir. Definir políticas de acesso, auditar decisões autônomas, garantir compliance regulatório, responder a incidentes, gerenciar identidades não humanas — tudo isso exige julgamento contextual, responsabilidade legal e coordenação organizacional.

A queda do mercado precificou a compressão da detecção. O que não precificou — ainda — é o prêmio que governança deveria receber.

Empresas de cybersecurity cujo diferencial é encontrar ameaças estão no caminho da commoditização. Empresas cujo diferencial é governar sistemas complexos — definir quem pode fazer o quê, auditar o que foi feito, e responder quando algo dá errado — têm uma trincheira que se aprofunda com a complexidade.

O Contraponto Necessário

Duas vozes de Wall Street merecem ser ouvidas.

A Barclays argumentou que o sell-off foi desproporcional. O Claude Code Security é um preview de pesquisa, não um produto competitivo. A distância entre “demonstração impressionante” e “substituição de Palo Alto Networks” é medida em anos e bilhões de dólares.

A Jefferies fez uma observação similar: o mercado precificou o cenário terminal sem considerar o tempo de adoção, a complexidade de integração e os requisitos regulatórios que protegem incumbentes.

Ambos têm razão. E ambos estão errados no longo prazo.

A Barclays está certa de que o Claude Code Security de hoje não substitui ninguém. Está errada ao subestimar a velocidade com que capacidades de detecção por raciocínio vão melhorar. A Jefferies está certa sobre o tempo de adoção. Está errada ao assumir que incumbentes vão usar esse tempo para se adaptar — a maioria vai usá-lo para negar.

O Que Fazer Com Isso

Se você lidera segurança em uma organização:

Primeiro, separe detecção de governança na sua estratégia. Detecção vai se tornar mais barata. Planeje para isso. Governança vai se tornar mais valiosa. Invista ali.

Segundo, resolva o problema da identidade de agentes. Se você está entre os 77% sem estratégia formal de identidade para agentes de IA, isso é a lacuna mais urgente. Agentes sem identidade gerenciada são funcionários sem crachá — com acesso total aos sistemas.

Terceiro, trate IA como problema bidirecional. A equipe que governa seus agentes de IA e a equipe que usa IA para segurança precisam conversar. São o mesmo problema. Tratá-los separadamente garante que ambos serão resolvidos mal.

Quarto, desconfie de narrativas simples. “IA vai matar cybersecurity” é uma história tão preguiçosa quanto “IA não vai mudar nada”. A realidade é que IA vai comprimir uma parte da cadeia de valor (detecção) e expandir outra (governança). Sua estratégia precisa refletir essa assimetria.

O mercado de 20 de fevereiro não errou ao precificar risco. Errou ao precificar o risco errado. O perigo não é que IA substitua ferramentas de segurança. É que organizações continuem tratando governança como item secundário enquanto o número de agentes autônomos em seus sistemas cresce exponencialmente.

A trincheira defensável não é detectar melhor. É governar com clareza.