Como vamos travar o próximo ciberataque da IA?

Mais do que surpresa, o caso dos modelos da OpenAI que invadiram a plataforma Hugging Face para fazer batota num exame exige reflexão. Aquele que pode bem ficar para a História como o primeiro ciberataque ‘agêntico’ foi inicialmente detetado e travado pela própria vítima, também com a ajuda de inteligência artificial (IA). Mas o próximo ciberataque deste tipo poderá ser diferente.

Apesar de insólito, o ataque não foi totalmente bem-sucedido, tendo sido identificado e mitigado. Mas só assim foi porque do outro lado estava uma empresa com muito capital e uma experiente equipa de cibersegurança, munida da mesma tecnologia que acabou por ter de combater. Segundo a Hugging Face, o primeiro alerta de que algo de estranho se passava foi dado por um sistema de IA. A empresa também usou IA para compreender o que estava a acontecer, o que lhe permitiu “fazer em horas o que normalmente levaria dias e equiparar a velocidade do adversário”.

Nesse rescaldo, a Hugging Face tentou usar um modelo norte-americano fechado para se defender do ciberataque, possivelmente da Anthropic ou da OpenAI. Mas o modelo não foi capaz de distinguir uma utilização legítima de um utilizador malicioso: as regras de segurança incorporadas para evitar abusos fizeram com que o sistema se recusasse a colaborar, não deixando à empresa outra opção senão recorrer a um modelo aberto: o popular GLM 5.2, da empresa chinesa Z.ai.

A esmagadora maioria das organizações está a anos-luz da posição privilegiada em que estava a Hugging Face para lidar com uma situação desta natureza. Só um número muito reduzido de empresas terá atualmente as defesas adequadas para encarar esta nova ameaça no mundo da cibersegurança. Serão, sobretudo, grandes empresas norte-americanas parceiras da OpenAI e da Anthropic, o que coloca os cidadãos europeus bastante mais expostos a um grave conjunto de riscos, incluindo o de roubo de informação sensível.

Acresce que qualquer utilizador mais profícuo de IA generativa sabe que a tecnologia de hoje está muitíssimo além do chat e das alucinações que marcaram o surgimento do ChatGPT. No ciberataque executado nas barbas da OpenAI esteve envolvido um modelo disponível ao público em geral, o GPT-5.6 Sol, ao qual foram removidas as restrições de segurança. Estamos a falar, por isso, das capacidades do presente. No próximo incidente deste género, poderemos nem sequer saber que foi causado por IA, pois o modelo, provavelmente, será capaz de agir silenciosamente e de apagar o seu próprio rasto.

A OpenAI e a Hugging Face estão a cooperar na investigação forense e deverão divulgar mais informações nas próximas semanas. Mas, conforme noticiou a Reuters, a tecnologia da OpenAI já vinha a exibir “comportamentos estranhos”. “Num caso, um agente de IA deixou notas, aparentemente, para futuras versões de si próprio. As notas, encontradas em parte da infraestrutura da OpenAI, continham instruções sobre como outros agentes poderiam libertar-se a si próprios das limitações internas” impostas pela empresa, refere a notícia. Houve ainda casos em que os sistemas de monitorização da OpenAI terão sido “desconectados”.

No caso do agente que atacou a Hugging Face — alimentado por dois modelos de IA, incluindo o Sol e um outro que ainda não foi lançado ao público –, a fuga ao ambiente isolado a que estava confinado começou a 9 de julho, segundo a agência. O agente acabaria por conseguir penetrar no sistema da Hugging Face no dia 11 e só terminou no dia 13. Mas a OpenAI só deu conta dos primeiros indícios do sucedido no fim de semana do dia 18, tendo decidido tornar o caso público no dia 21, depois de confirmar as suspeitas e de a vítima ter divulgado um comunicado. A empresa disse à Reuters existirem “várias imprecisões” na notícia, mas não quis explicar quais.

O anúncio trouxe muita publicidade à empresa, num momento em que prepara um gigantesco IPO para entrar na bolsa. E há sempre mais incentivo para divulgar incidentes que demonstram capacidade do que aqueles que demonstram incompetência. Mas importa não desviar as atenções de um aspeto fundamental: uma das empresas mais faladas e financiadas do momento terá demorado cerca de nove dias a detetar uma anomalia num sistema autónomo de IA da sua autoria. A confirmar-se esta cronologia, o ciberataque suscita graves dúvidas sobre os controlos internos de uma empresa cujo propósito é desenvolver um sistema mais inteligente do que o cérebro humano.

Ainda há muito que não se sabe sobre este ciberataque, e deveria saber. Não me surpreenderá que nos próximos três a seis meses venhamos a assistir a alguma ação regulatória mais forte, nos EUA, mas até mesmo na Europa, que ainda há semanas seguiu o caminho oposto, adiando para 2027 e 2028 a entrada em vigor das regras para sistemas de IA de alto risco. De acordo com o Politico, António Costa está a organizar um Conselho Europeu dedicado à IA. A expectativa é de uma ação coordenada e informada por dados concretos, ao invés de atabalhoada e dominada pelo medo, para responder ao caso do momento.

Precisamos de autoridades públicas capazes de acompanhar este ritmo de evolução tecnológica, e não é preciso cruzar o Atlântico para encontrar bons exemplos. O AI Security Institute (AISI) do Reino Unido foi um dos primeiros a nível mundial a testar, logo em abril, os novos modelos Claude Mythos Preview e GPT-5.5 Cyber. Em contrapartida, a União Europeia só este mês anunciou um plano para criar capacidade interna de avaliação de modelos antes do lançamento. O concurso só avançará, o mais tardar, no ano que vem.

Precisamos também de reguladores capazes de agir na dimensão certa. Sem sobrecarregar desproporcionalmente as empresas com burocracia, mas com poder suficiente para escrutinar os principais laboratórios de IA, incluindo os americanos. Terá o AI Office europeu sido notificado deste incidente? Deve, em todo o caso, ter um papel ativo na investigação em curso.

Na Conferência .IA, que o ECO realizou no CCB no dia 14 de julho, Pedro Lomba, advogado e sócio da PLMJ, avisou que “ainda não podemos responsabilizar o agente de IA”, pois este não tem personalidade jurídica. “Vamos responsabilizar sempre o humano”, explicou. Para bem da OpenAI, a Hugging Face escolheu ser cooperante, tendo tudo o que precisava para se defender. A pergunta para a Europa é o que acontece à generalidade da economia, que não tem o mesmo nível de recursos.