De “disrupção pela IA” a “catalisação pela IA”, a lógica das ações de cibersegurança mudou

A percepção do mercado sobre os setores de IA e cibersegurança está passando por uma mudança clara.

O Bank of America Securities publicou em 18 de agosto um relatório aprofundado apontando que, há alguns meses, o mercado temia que a IA pudesse perturbar o modelo de negócios das tradicionais empresas de cibersegurança, enfraquecendo as vantagens dos produtos e plataformas existentes; no entanto, com o surgimento rápido de novos métodos de ataque como agentes de IA, o mercado começou a perceber que a IA está ampliando a superfície de ataque das empresas e aumentando tanto a velocidade quanto a complexidade dos ataques cibernéticos.

Isso significa que a relação entre IA e cibersegurança está mudando de “perturbadora” para “catalisadora de demanda”. Quanto mais profundamente as empresas aplicam IA, maiores são os requisitos por capacidades de segurança em identidade, dados, dispositivos finais e ambientes em nuvem, e a cibersegurança está deixando de ser uma possível vítima da onda de IA para se tornar infraestrutura indispensável para a aplicação em escala da IA.

Essa mudança já começou a se refletir no desempenho do mercado. Nos últimos dois meses, o ETF CIBR subiu 16,1%, o ETF HACK subiu 38% e o IVG avançou 14,9%, enquanto o índice S&P 500 subiu apenas 3,6% no mesmo período. Ao mesmo tempo, as avaliações no setor de cibersegurança também se expandiram significativamente, sinalizando que o capital está reprecificando as perspectivas de crescimento desse setor.

A ameaça da IA está remodelando as demandas de segurança

Anteriormente, o receio do mercado com relação ao impacto da IA na indústria de cibersegurança vinha principalmente de uma lógica simples: a IA reduz barreiras tecnológicas, podendo tanto ajudar empresas a realizarem funções de segurança de forma mais eficiente, como também possibilitar que atacantes lancem ataques a custos mais baixos, enfraquecendo assim o valor dos produtos tradicionais de segurança.

No entanto, à medida que a Agentic AI se desenvolve rapidamente, essa lógica está mudando. Agentes de IA podem executar tarefas entre sistemas, descobrir vulnerabilidades de forma autônoma e operar continuamente sob supervisão humana limitada; o resultante “ataque direcionado por agente” está se tornando um novo tipo de risco prioritário para CISOs de empresas.

Em comparação aos ataques cibernéticos tradicionais, as ameaças impulsionadas por IA não só ampliam a superfície de ataque, como também aumentam simultaneamente a velocidade e complexidade dos ataques. Para as empresas, quanto mais ampla a implantação de IA, mais identidades, permissões, dados e cargas de trabalho precisam ser gerenciados. Se as capacidades de segurança não evoluírem no mesmo ritmo, o ganho de eficiência proporcionado pela IA pode se transformar em novos riscos de segurança.

Assim, a IA está criando um novo ciclo fechado de demanda em segurança: IA aumenta a superfície de ataque — complexidade dos ataques cresce — empresas aumentam investimentos em segurança — fornecedores de segurança são favorecidos.

Cibersegurança de “gasto defensivo” a “infraestrutura para IA”

A mudança mais importante é o papel que a cibersegurança ocupa.

Antes, a cibersegurança era vista, sobretudo, como uma despesa defensiva no orçamento de TI das empresas, e as avaliações do setor eram facilmente influenciadas pelo ciclo econômico e orçamentos de TI corporativos. Na era da IA, no entanto, a segurança está se tornando uma condição necessária para a ampliação do uso de IA nas empresas.

As empresas precisam garantir a autorização correta de agentes de IA, controlar identidades de máquinas e permissões de acesso, proteger dados nos fluxos de trabalho de IA e também realizar monitoramento contínuo de ambientes em nuvem, dispositivos finais e redes. Em outras palavras, sem capacidades de segurança adequadas, é difícil implementar estratégias de IA em larga escala nas empresas.

Isso faz com que a lógica de demanda por cibersegurança evolua de um simples “mitigar riscos” para “garantir o crescimento da IA”. Quanto maior o investimento em IA, maior poderá ser o espaço potencial para gastos em segurança.

O setor está sendo reprecificado

A mudança nessa lógica de demanda já começou a se refletir nos valores de mercado. Dados do Bank of America mostram que, atualmente, o múltiplo mediano de EV/Vendas para 2027 das empresas de cibersegurança está em cerca de 5,8 vezes, comparado a apenas 4,5 vezes dois meses atrás; a avaliação média aumentou de 7,0 vezes para 9,0 vezes.

Enquanto isso, os ETFs de cibersegurança tiveram desempenho notavelmente superior ao mercado nos últimos tempos, indicando que o capital está aumentando seu interesse pelo setor. Do ponto de vista da avaliação, o cerne da reprecificação do setor não é apenas a melhora dos resultados no curto prazo, mas que o mercado está começando a conceder maior previsibilidade de crescimento para a cibersegurança.

Se a IA continuar a expandir os ativos digitais, identidades de máquinas e fluxos de trabalho automatizados das empresas, a demanda por segurança crescerá proporcionalmente. Isso significa que o TAM de longo prazo do setor de cibersegurança está sendo redefinido pela IA.

A expansão de avaliação ainda requer comprovação de resultados

No entanto, a expansão das avaliações já é clara, o que implica que o mercado está exigindo um crescimento igualmente elevado no futuro.

Segundo o Bank of America, a avaliação atual do setor de software de cibersegurança está na faixa de aproximadamente 5 a 10 vezes EV/Vendas; a diferença entre empresas reflete, essencialmente, ritmo de crescimento, capacidade de expansão para novos mercados e previsibilidade do modelo de negócios.

Portanto, o catalisador de demanda trazido pela IA não significa que todas as empresas de cibersegurança terão o mesmo nível de prêmio de avaliação. As empresas que realmente conseguirão reconhecimento constante do mercado precisarão demonstrar que a IA não só trouxe novos riscos de segurança, mas pode ser convertida em pedidos reais, crescimento de ARR e um mercado-alvo maior.

Isso quer dizer que, daqui para frente, o ponto-chave de observação do setor passará de “a IA vai ou não perturbar a cibersegurança”, para “quanto de nova demanda a IA pode realmente trazer para a cibersegurança”.