OpenAI e Anthropic alertam: empresas têm pouco tempo para melhorar suas defesas antes que ataques com IA se tornem bem mais sofisticados

OpenAI, Anthropic, Amazon Web Services (AWS), Google, Microsoft e mais de 100 empresas e organizações publicaram nesta quinta-feira, 27 de agosto, uma carta aberta pedindo uma mobilização global para fortalecer a defesa cibernética diante do avanço das capacidades da inteligência artificial.
O alerta é direto: segundo os signatários, há uma janela limitada para reforçar as defesas antes que ataques cibernéticos viabilizados por IA se tornem “muito mais disseminados e sofisticados” nos próximos meses.
A lista de apoiadores reúne empresas de inteligência artificial, tecnologia, cibersegurança, serviços financeiros e infraestrutura, como Cloudflare, CrowdStrike, Cisco, IBM, Mastercard, Visa, SAP, Oracle, Hugging Face, Palo Alto Networks, Figma, Shopify e General Motors, entre outras.
“Temos uma janela limitada para fortalecer as defesas cibernéticas”, afirma o documento.
Segundo a carta, empresas e serviços públicos dos quais a sociedade depende, de hospitais e estações de tratamento de água à infraestrutura que sustenta a internet, estão entre os sistemas expostos.
Ao mesmo tempo, as companhias argumentam que os próprios avanços da IA podem ser utilizados para reforçar a segurança.
A tecnologia, segundo o grupo, já oferece aos defensores novas formas de identificar e corrigir vulnerabilidades acumuladas ao longo de anos.
Segurança atual “não será suficiente”
Um dos principais pontos da carta é que manter o atual nível de proteção não será suficiente diante do avanço das capacidades cibernéticas da IA.
Os signatários citam problemas antigos que continuam deixando sistemas vulneráveis, como bugs, permissões excessivas, configurações incorretas, softwares inseguros ou sem atualizações, autenticação fraca e a dívida técnica de sistemas legados.
O problema é especialmente relevante, segundo o documento, para equipes responsáveis por infraestrutura crítica, que historicamente operam com menos recursos.
A proposta é ampliar o acesso dos defensores a sistemas de IA capazes de executar tarefas de cibersegurança, tornando atividades especializadas mais rápidas, baratas e acessíveis.
“Compartilhar ferramentas, conhecimento prático e correções verificadas permite que o trabalho de uma organização ajude a proteger muitas outras”, diz a carta.
O que empresas, governos e companhias de IA devem fazer
A carta divide as recomendações entre quatro grupos.
Para empresas em geral, a orientação é tornar a defesa cibernética uma prioridade imediata da liderança, identificar e corrigir as vulnerabilidades de maior risco e elevar os padrões de segurança para tudo o que é comprado, desenvolvido ou colocado em produção, incluindo códigos gerados por inteligência artificial.
As organizações também devem reforçar controles de acesso, aplicar o princípio de privilégio mínimo e substituir ou modernizar sistemas quando necessário.
Para empresas de cibersegurança e parceiros de tecnologia, o documento recomenda testar continuamente suas defesas contra capacidades cibernéticas de modelos avançados, incorporar IA às ferramentas existentes e ampliar o acesso a sistemas de proteção para operadores de infraestrutura crítica.
O grupo também pede compartilhamento de inteligência sobre ameaças, práticas de resposta já testadas e métricas capazes de mostrar quantas organizações estão protegidas, quanto tempo levam para conter ataques e se as correções realmente funcionam.
Aos governos, a carta pede coordenação da defesa cibernética nos níveis local, nacional e internacional, além de financiamento para serviços essenciais que não tenham pessoal ou orçamento suficientes para reforçar seus sistemas.
Hospitais, empresas de água e governos locais estão entre os exemplos citados de organizações que deveriam receber acesso a ferramentas avançadas de defesa com IA, testes autorizados e suporte técnico.
Já as chamadas empresas de IA de fronteira, responsáveis pelos modelos mais avançados, são convocadas a oferecer acesso responsável aos modelos, financiamento, treinamento e suporte técnico, especialmente para equipes de infraestrutura crítica com poucos recursos.
O documento também pede que essas empresas desenvolvam ferramentas de observabilidade e segurança, garantam que identidades de agentes de IA possam ser rastreadas e responsabilizadas e compartilhem avaliações confiáveis de ameaças e práticas de resposta.
Alerta ocorre em meio a preocupações com agentes de IA
A carta é divulgada em um momento de crescente preocupação com a capacidade de modelos avançados de IA de executar ações cibernéticas de forma autônoma.
Em julho, um modelo ainda não lançado da própria OpenAI conseguiu contornar barreiras de segurança durante um ambiente de pesquisa, obter acesso à internet e participar, ao lado de outros agentes, de atividades não autorizadas que alcançaram sistemas internos da Hugging Face.
Relatórios divulgados posteriormente pela OpenAI e pelas organizações METR e Redwood Research mostraram que agentes conseguiram criar canais não autorizados de comunicação e realizar ações ofensivas sem uma ordem humana específica.
A própria OpenAI classificou aquele episódio como um “tiro de advertência” sobre os riscos de agentes altamente capazes sem salvaguardas adequadas.
Na carta publicada agora, as empresas argumentam que as mesmas capacidades que podem ampliar os ataques também podem ser usadas para reforçar as defesas.
“Coloque IA com capacidades cibernéticas nas mãos dos defensores, começando pelas equipes que protegem serviços essenciais.
Corrija as vulnerabilidades mais perigosas, verifique as correções e compartilhe o que funciona para que outros possam construir a partir disso”, afirma o documento.
Mais Lidas