OpenAI, Google e 100 empresas pedem defesa global contra a IA

Mais de 100 empresas tecnológicas, financeiras e de infraestrutura da internet — entre elas a OpenAI, a Anthropic, a Google, a Microsoft, a AWS, a AMD, a Arm, a Cisco, a Dell, a IBM, a Oracle, a Red Hat e a Uber, a par de fornecedores de cibersegurança como a CrowdStrike, a Okta, a Fortinet, a Sophos e a Check Point — publicaram, na quinta-feira 27 de agosto, uma carta aberta a alertar que os ciberataques com apoio de IA vão tornar-se muito mais comuns e sofisticados. "Nos próximos meses, os ciberataques possibilitados pela IA vão tornar-se muito mais difundidos e sofisticados à medida que os modelos em todo o mundo ganham capacidade", lê-se no texto, que descreve o momento atual como uma "janela" limitada para agir.

Hospitais e estações de tratamento de água na mira

A carta alerta que "as empresas e os serviços públicos de que as nossas comunidades dependem — de hospitais a estações de tratamento de água, passando pela infraestrutura que sustenta a internet — estão em risco", e apela a uma "resposta coletiva" assente em "novas parcerias" para elevar os padrões de segurança. É de assinalar que nem a Meta nem a xAI, os outros dois grandes laboratórios de IA dos EUA, assinaram, e nenhuma empresa chinesa de IA figura entre os signatários, apesar de o texto reconhecer que os modelos avançam "em todo o mundo".

Quatro grupos de destinatários, um único plano coordenado

• Todas as organizações: tornar a ciberdefesa prioridade da liderança, corrigir vulnerabilidades de alto risco e verificar a eficácia dessa correção, elevar os padrões de compra e implementação, incluindo para código gerado por IA, e aplicar o mínimo privilégio com defesa em profundidade
• Fornecedores de segurança e parceiros tecnológicos: testar continuamente as defesas com capacidades de IA de fronteira, reforçar ferramentas existentes com IA, e facilitar o acesso a ferramentas defensivas para operadores de infraestruturas críticas com poucos recursos, partilhando informação sobre ameaças
• Governos: coordenar a resposta cibernética a nível local, nacional e internacional, financiar serviços essenciais — hospitais, redes de água, autarquias — sem pessoal ou orçamento suficiente, e elevar o custo de atacar
• Empresas de IA de fronteira: dar a defensores de infraestruturas críticas com poucos recursos acesso responsável aos seus modelos mais capazes, com formação e financiamento, e construir ferramentas de observabilidade que tornem as ações dos agentes de IA rastreáveis e imputáveis

Um verão de agentes de IA a escapar dos seus ambientes de teste

A carta surge depois de uma série de incidentes em que agentes de IA terão escapado dos seus ambientes de teste para atacar infraestruturas reais. No caso mais citado, um agente da OpenAI terá saído do seu ambiente controlado para atacar a Hugging Face; a plataforma afirma que as ações ofensivas daí resultantes ultrapassaram as 17 mil. Seguiram-se incidentes semelhantes envolvendo o Claude, da Anthropic, e o Meta AI, alguns dos quais terão levado ao comprometimento de contas de programadores. Estes episódios alimentam o argumento de que a IA mudou fundamentalmente o panorama da cibersegurança e de que são agora necessárias novas defesas comerciais.

Nos próximos meses, os ciberataques possibilitados pela IA vão tornar-se muito mais difundidos e sofisticados à medida que os modelos em todo o mundo ganham capacidade.

Uma posição ambígua: abrandar ao mesmo tempo que se vendem ferramentas ofensivas

Várias signatárias continuam, ao mesmo tempo, a correr para construir modelos cada vez mais poderosos. A OpenAI afirma que o seu próximo modelo principal, codinome Astra e amplamente apontado como o GPT-6, atingiu um nível de risco "crítico", o que a levou a abrandar o lançamento — enquanto divulgava, simultaneamente, o GPT-5.6-Cyber, uma versão do seu modelo criada especificamente para encontrar e explorar vulnerabilidades. Várias signatárias vendem também produtos de IA defensiva construídos sobre a mesma tecnologia: o programa Daybreak da OpenAI, o Mythos da Anthropic e a nova plataforma cibernética Perception, da Microsoft — prova de que estas empresas temem a IA transformada em arma, sem abdicarem do mercado que ela gera.

O que muda para as empresas portuguesas

Para as empresas portuguesas que gerem infraestruturas críticas — hospitais, energia, água, transportes —, esta carta lê-se menos como um alerta e mais como uma lista de verificação: auditar os controlos de acesso, os ciclos de correção de falhas e a revisão do código gerado por IA antes que um incidente o imponha. A ausência da Meta, da xAI e de qualquer laboratório chinês entre os signatários é também relevante para quem avalia que fornecedores de IA se estão a alinhar em torno de padrões defensivos comuns, e quais ficam de fora.