Hackers usam IA para ataques: como se proteger no Brasil

Nas últimas semanas, notícias envolvendo agentes de inteligência artificial trouxeram preocupação para o mercado e os consumidores. Empresas como a OpenAI, responsável pelo ChatGPT, e a Anthropic, criadora do Claude, relataram incidentes semelhantes em que modelos em ambiente de testes conseguiram acessar a internet e invadiram diversas companhias na tentativa de cumprir suas tarefas.

Esse cenário levanta uma questão importante: se uma IA pode realizar ataques cibernéticos e capturar dados, ela pode ser usada por criminosos para esses fins?

Para Felipe Buchbinder, professor da FGV EBAPE nas áreas de IA e Novas Tecnologias, a resposta é afirmativa. Ele destaca o Project Glasswing da Anthropic, que trabalha com o Claude Mythos Preview junto a parceiros restritos para identificar e corrigir vulnerabilidades críticas em softwares essenciais antes que agentes maliciosos possam explorá-las.

— Com as IAs capazes de detectar e explorar falhas nos sistemas, os hackers ganham escala e eficiência. Facilita muito encontrar pontos fracos em sistemas corporativos e tirar proveito disso. Empresas menores e pessoas comuns também têm motivo para preocupação. Se um desses modelos comprometer a infraestrutura financeira ou governamental da qual todos dependemos, o impacto será coletivo — alerta o professor, que faz uma comparação geopolítica: — Em alguns aspectos, é como ter uma arma nuclear. É vantajoso ser exclusivo, ruim ser excluído, e preocupante quando muitos a possuem.

Contudo, nem tudo é negativo. Se a inteligência artificial aumenta a capacidade dos hackers, ela também oferece melhores recursos para a defesa de pessoas e empresas. Buchbinder observa que ainda são poucas as organizações que utilizam defesas baseadas em IA, ao contrário dos atacantes.

— Alguns indivíduos e empresas tornam-se alvos fáceis por adotarem comportamentos arriscados no uso da IA, como compartilhar dados pessoais, senhas ou conceder poderes excessivos aos agentes de IA. Multinacionais já limitam o uso desses sistemas para seus colaboradores, temendo vazamento de informações sigilosas. Se as grandes estão preocupadas, empresas menores, com mais vulnerabilidades e menos recursos para defesa, devem ficar ainda mais alertas — completa Buchbinder.

Regulamentação brasileira avança

No fim de 2024, o Projeto de Lei 2338/2023, conhecido como PL da IA, foi aprovado pelo Senado e enviado à Câmara dos Deputados. A proposta regulamenta o uso dessas plataformas no Brasil e visa esclarecer sanções para crimes cibernéticos envolvendo IA.

Fábio Pereira, advogado especializado em Tecnologia e Privacidade do escritório Veirano Advogados e membro do Comitê de Inovação, destaca a importância de definir responsabilidades entre desenvolvedores, fornecedores, empresas e usuários.

— É fundamental repartir a responsabilidade. As empresas precisam se defender e mostrar seus limites de responsabilidade — diz Pereira.

Embora a regulamentação ainda esteja em andamento, consumidores e empresas já contam com proteções legais atuais, como o Código de Defesa do Consumidor, Código Penal e Marco Civil da Internet, que podem ser usados para buscar justiça em casos de crimes com apoio da IA.

Pereira também ressalta que a complexidade dos algoritmos não pode servir de desculpa para criminosos.

— Quem desenvolve e treina o modelo assume o risco dos resultados. Complexidade do algoritmo não é escudo — completa.

O Brasil tem avançado na infraestrutura regulatória. A Lei Geral de Proteção de Dados (LGPD) foi promulgada em 2018, e a Agência Nacional de Proteção de Dados (ANPD) iniciou atividades em 2020, antes da popularização das ferramentas de IA.

A ANPD já anunciou a abertura de 200 vagas para especialistas em proteção de dados e deve lançar edital de concurso em breve, demonstrando preparação para lidar com o aumento dos casos relacionados.

Como se proteger?

Para empresas, Pereira recomenda ter um plano de resposta a incidentes e apoio jurídico e técnico especializado em segurança cibernética. Em casos de ataque, ele alerta para cautela nas primeiras ações.

— A tendência é desligar sistemas e restaurar backups, mas isso pode eliminar provas essenciais para processos legais. É importante preservar evidências, como capturas de tela e registros, e comunicar clientes e autoridades — explica advogado.

Buchbinder destaca quatro práticas essenciais ao utilizar agentes de IA:

• Manter os softwares atualizados. Grandes empresas de tecnologia usam esses modelos para reforçar a segurança antes que ataques ocorram. Foi o que aconteceu no caso do Firefox, quando o Mythos identificou 271 vulnerabilidades que a Mozilla corrigiu antes que fossem exploradas.
• Adotar boas práticas de segurança digital, como autenticação em dois fatores e cautela ao compartilhar informações ou conceder acessos aos agentes de IA. A segurança é uma linha de proteção.
• Guardar registros físicos de dados importantes, como extratos bancários e comprovantes fiscais. Embora não previna ataques, o papel serve como uma prova alternativa se os dados digitais forem corrompidos.
• Distribuir recursos entre instituições diferentes para reduzir riscos. Caso uma instituição sofra ataque, outras continuam acessíveis. Essa diversidade também é importante para a segurança do setor financeiro, que não deve depender de poucos modelos de IA.