Ataque hacker em IAs: riscos e proteção no Brasil

Nas últimas semanas, notícias envolvendo agentes de inteligência artificial têm gerado preocupação entre o mercado e os consumidores. Tanto a OpenAI, responsável pelo ChatGPT, quanto a Anthropic, criadora do Claude, relataram situações em que seus modelos em fase de teste conseguiram acessar a internet e invadir diferentes empresas, tentando cumprir as tarefas atribuídas.

Esse cenário levanta uma questão importante: se uma IA consegue invadir sistemas e obter dados, será que criminosos poderiam utilizá-la para esses fins?

Para Felipe Buchbinder, professor da FGV EBAPE (Escola Brasileira de Administração Pública e de Empresas) que ministra disciplinas sobre IA e Novas Tecnologias, a resposta é afirmativa. Ele menciona o Project Glasswing, um projeto da Anthropic com o Claude Mythos Preview, restrito a alguns parceiros, voltado para identificar e corrigir falhas críticas em softwares antes que agentes maliciosos aproveitem essas vulnerabilidades.

— IAs capazes de detectar e explorar fragilidades nos sistemas amplificam o alcance e a eficiência dos hackers. Fica muito mais fácil identificar vulnerabilidades e explorá-las. Além disso, empresas menores e pessoas comuns também têm motivo para se preocupar. Caso um desses modelos consiga comprometer infraestruturas financeiras ou governamentais essenciais, todos poderão ser afetados — ressalta o professor, que compara o impacto dessa tecnologia na geopolítica a uma bomba atômica: — Ter essa tecnologia pode ser uma vantagem enorme, ser o único país sem ela é desastroso, e quando vários a possuem, a situação fica ainda mais preocupante.

Por outro lado, nem tudo são más notícias. Enquanto a inteligência artificial pode aumentar o poder dos hackers, ela também oferece melhores ferramentas para que pessoas e empresas se protejam. Contudo, Buchbinder observa que poucas organizações adotam defesa baseada em IA atualmente, ao contrário daqueles que planejam ataques.

— Empresas e indivíduos podem se tornar alvos vulneráveis ao usarem IA de forma descuidada, compartilhando informações sensíveis e dando acessos excessivos a agentes artificiais. Grandes corporações já limitam o uso de IAs para seus funcionários, visando evitar vazamentos de dados. Se até as gigantes estão preocupadas, empresas menores, que possuem menos recursos de defesa, devem estar ainda mais atentas — completa Buchbinder.

Avanços na legislação brasileira

No final de 2024, o Senado aprovou o Projeto de Lei 2338/2023, conhecido como PL da IA, que agora aguarda análise da Câmara dos Deputados. A legislação pretende regulamentar o uso de plataformas de IA no Brasil, deixando mais claras as sanções vinculadas a crimes cibernéticos cometidos com essas ferramentas.

Para Fábio Pereira, advogado especializado em Tecnologia e Privacidade do escritório Veirano e integrante do Comitê de Inovação da empresa, é fundamental definir responsabilidades entre desenvolvedores, fornecedores, empresas e usuários finais.

— Todos têm alguma responsabilidade. Cabe às empresas implementarem medidas de defesa e delimitarem até onde vai sua responsabilidade — explica Pereira.

Apesar disso, consumidores e empresas não estão completamente desprotegidos no momento atual. Segundo o advogado, o Código de Defesa do Consumidor, o Código Penal e o Marco Civil da Internet já oferecem base legal para lidar com casos na Justiça. A ideia de que criminosos possam transferir culpa para a IA também pode ser contestada.

— A complexidade do algoritmo não pode ser usada como escudo. Quem desenvolve e treina o modelo assume o risco pelos resultados — completa Pereira.

Além disso, órgãos reguladores também vêm se preparando para os impactos tecnológicos. A Lei Geral de Proteção de Dados (LGPD) está em vigor desde 2018, e a Agência Nacional de Proteção de Dados (ANPD) iniciou suas atividades no final de 2020, antes do uso amplo das ferramentas de IA.

Recentemente, a ANPD solicitou 200 vagas para especialistas em regulação de dados e deve lançar concurso em breve, demonstrando preparação para investigar casos com maior rapidez.

Como se proteger?

Para as empresas, Pereira recomenda ter um plano de resposta a incidentes, além de assessorias jurídica e de segurança cibernética forense. Em caso de ataque, sugere cautela nas ações iniciais.

— A reação comum é desligar sistemas e restaurar backups, mas isso pode eliminar evidências. É fundamental preservar documentos como capturas de tela e registros de mensagens, além de informar clientes e autoridades — orienta o advogado.

Buchbinder destaca quatro cuidados essenciais ao utilizar agentes de inteligência artificial:

1. Manter os softwares sempre atualizados. Grandes empresas usam modelos de IA para reforçar a segurança de seus produtos antes que vulnerabilidades sejam exploradas, como no caso do Firefox, que corrigiu 271 falhas identificadas pelo Mythos antes que fossem usadas por atacantes.
2. Adotar boas práticas digitais, como autenticação em dois fatores, cuidado com informações compartilhadas e limites aos poderes concedidos a agentes de IA. Em segurança, estar na linha de defesa é o melhor lugar.
3. Guardar cópias físicas de informações importantes, como extratos bancários, declarações de imposto e comprovantes de investimento. Embora isso não impeça ataques, mantém uma prova confiável caso registros digitais sejam comprometidos ou perdidos.
4. Distribuir recursos entre diferentes instituições financeiras para diminuir riscos. Se uma instituição for comprometida, as demais continuam acessíveis. Essa diversificação também é importante para evitar que falhas em poucos modelos de IA dominantes causem impactos amplificados em todo o setor.