Nas últimas semanas, notícias relacionadas a agentes de inteligência artificial preocuparam o mercado e consumidores. A OpenAI, do ChatGPT, e a Anthropic, do Claude, relataram casos parecidos em que modelos que estavam em um ambiente de testes conseguiram acessar a internet e hackearam diferentes empresas, na tentativa de conseguirem cumprir a tarefa que lhes foi dada. O caso alerta para uma dúvida óbvia: Se uma IA é capaz de hackear sistemas e descobrir dados, ela pode ser usadas por criminosos para isso?
Veja preços: Novos dobráveis da Samsung chegam por até R$ 19,4 mil e revelam inflação da era da IA
Entenda: Palavra-código entre familiares pode ajudar a evitar golpes com clonagem de voz por IA, alertam especialistas
Para Felipe Buchbinder, professor da FGV EBAPE ( Escola Brasileira de Administração Pública e de Empresas) para disciplinas de IA e Novas Tecnologias, a resposta é sim. Ele cita o Project Glasswing, onde a própria Anthropic trabalha com o Claude Mythos Preview apenas com alguns parceiros, com o objetivo de corrigir vulnerabilidades críticas em softwares essenciais antes que agentes mal-intencionados.
— Com IAs capazes de identificar e explorar fraquezas em sistemas, o hacker ganha escala e eficiência. Fica muito mais fácil descobrir fragilidades no sistema de uma empresa e tirar proveito delas. Existe ainda outro motivo para empresas menores e mesmo pessoas físicas ficarem preocupadas. Se um desses modelos conseguir comprometer a infraestrutura financeira ou governamental da qual todos dependemos, todos nós podemos ser afetados — pontua o professor, que faz uma comparação prevendo um impacto também na geopolítica: — Em certos aspectos, é como uma bomba atômica. É ótimo ser o único país que a tem, é péssimo ser o único a não tê-la, e é bem preocupante quando muitos a possuem.
Disputa acirrada: apps da OpenAI e da Anthropic brigam pela liderança
Nicolas TUCAT / AFP
Mas nem tudo é má notícia ruim. Se a inteligência artificial aumenta o “poder de fogo” de hackers mal-intencionados, ela também tende a oferecer maiores possibilidades de pessoas físicas e, principalmente, empresas de se defenderem. No entanto, Buchbinder observa que ainda são poucas as empresas que implementam defesa baseada em IA até agora. O mesmo não acontece necessariamente com quem pretende fazer os ataques.
— Algumas empresas e pessoas podem se tornar alvos ainda mais fáceis por adotarem comportamentos imprudentes no uso da IA, compartilhando dados pessoais, senhas, segredos, ou dando poderes excessivos a agentes de IA. Grandes empresas internacionais já restringiram, em maior ou menor grau, o uso de IAs para seus funcionários, temendo o vazamento de informações confidenciais. Se mesmo as gigantes já estão preocupadas, empresas menores, que têm fragilidades maiores e muito menos condições de se defender, têm ainda mais motivo para isso — completa Buchbinder.
Legislação brasileira vem avançando
No fim de 2024, o Projeto de Lei 2338/2023, conhecido como o PL da IA, foi aprovado pelo Senado Federal e o texto seguiu para a Câmara dos Deputados. A nova legislação pretende regulamentar o uso da plataforma no Brasil. A partir dele, a expectativa é que fique mais claro na letra da lei as sanções decorrentes de crimes cibernéticos feitos com o auxílio dessas ferramentas.
— É importante definir com maior clareza a responsabilidade entre desenvolvedores, fornecedores, empresas e pessoas físicas. Todo mundo é parcialmente responsável. Cabe a empresa se defender e dizer que a sua responsabilidade foi até ali — avalia o advogado Fábio Pereira, sócio das áreas de Tecnologia e Privacidade do escritório Veirano advogados e membro do Comitê de Inovação da empresa.
No entanto, os consumidores e empresas não estão totalmente desprotegidos no atual momento. Para Pereira, O Código de Defesa do Consumidor, o Código Penal e o Marco Civil da Internet, por exemplo, já oferecem um arcabouço para levar diferentes casos para a Justiça. O temor de que criminosos tentem terceirizar a culpa de uma ação para a IA também é algo que pode ser contestado.
— Essa complexidade do algoritmo não pode servir como escudo. Quem desenvolve e treina o modelo acaba assumindo o risco. Como falamos na faculdade de Direito, é o risco de assumir o resultado — completa o advogado.
Assistentes de IA abrem portas para novas ameaças hacker
Freepik
Os novos órgãos também estão se adaptando aos avanços tecnológicos no Brasil. A Lei Geral de Proteção de Dados (LGPD) foi promulgada em 2018, enquanto a Agência Nacional de Proteção de Dados (ANPD) iniciou oficialmente suas atividades no fim de 2020, quando as ferramentas de IA ainda não eram usadas pelo grande público.
A ANPD já solicitou a abertura de 200 vagas na carreira de especialista em regulação de proteção de dados no último mês de maio e deve publicar o edital para concurso nos próximos meses. O movimento já mostra uma preparação para investigar com mais celeridade os casos que devem se avolumar.
Como se defender?
Para as empresas, Pereira recomenda ter um plano de respostas a incidentes, além de uma assessoria jurídica e outra forense em segurança cibernética. No caso de detectar um ataque hacker, ele recomenda cautela nas primeiras respostas.
— Quando acontece algum ataque, com pessoas físicas ou jurídicas, a tendência é a gente baixar tudo, desligar os aparelhos e subir o backup. Mas isso pode fazer com que se perca as evidências. E essas evidências forenses são importantíssimas para levar o caso ao judiciário. É importante preservar documentos, como capturas de tela, registro de mensagens, além de comunicar clientes e autoridades — pontua o advogado.
Já Buchbinder elenca quatro cuidados principais no uso de agentes de inteligência artificial:
Manter softwares atualizados. “As grandes empresas de tecnologia têm acesso a esses modelos de IA e os utilizam para melhorar a segurança de seus produtos antes que atacantes explorem as falhas. Foi exatamente isso que vimos no caso do Firefox, quando o Mythos encontrou 271 vulnerabilidades e a Mozilla corrigiu antes que alguém as explorasse”.
Aderindo a boas práticas de segurança digital. “Autenticação em dois fatores, cuidado com o que se compartilha e com os poderes que se dá a agentes de IA. Em questões de segurança, a fronteira é o lugar mais seguro de se estar”.
Mantendo também registros físicos de informações sensíveis. “Extratos bancários, declarações de imposto de renda, comprovantes de investimento… Isso não impede um ataque, mas funciona como um backup de outra natureza. Se os registros digitais forem comprometidos, apagados ou ficarem inacessíveis, o papel continua servindo como prova do que existia”.
Diversificando entre instituições. “Ter contas em bancos diferentes reduz o que a indústria financeira chama de ‘risco de concentração’. Se uma delas for comprometida, você não perde acesso a tudo de uma vez. É a mesma lógica, aliás, que preocupa reguladores em relação à própria IA: poucos modelos dominantes sendo adotados amplamente pelo setor financeiro significa que uma falha num desses modelos pode afetar várias instituições ao mesmo tempo, não apenas uma”.
Ataque hacker de OpenAI e Anthropic: Especialistas apontam riscos e como se proteger no Brasil
