.webp){kind=small}
Análise: Durante anos, a cibersegurança se baseou em uma ficção cômoda: sistemas de ataque complexos exigem talento, tempo, paciência e conhecimento profundo.
Durante anos, a cibersegurança se baseou em uma ficção cômoda: sistemas de ataque complexos exigem talento, tempo, paciência e conhecimento profundo. Um atacante avançado era escasso, caro e limitado por uma variável humana: o cansancio. Eu tive que ler o código, entender arquiteturas, testar hipóteses e voltar a empreender.
Essa fricção nunca garantiu a segurança, mas manteve um certo equilíbrio. Esse equilíbrio está rompendo. Não porque você tenha aparecido uma inteligência artificial malvada, mas sim porque a busca de vulnerabilidades empieza a deixar de depender da paciência humana. Um modelo não se quebra, não se frustra, não se duela, não abandona um repositório mal documentado e não consegue mirar a mesma função em vários ângulos diferentes.
Você pode cair quilômetros de vezes e seguir tentando combinações até encontrar uma grieta. A paciência infinita é uma das propriedades mais preocupantes da automação. Por esses modelos como Claude Mythos importam muito mais além de seu nome concreto. A Anthropic apresentou o Projeto Glasswing como uma forma de dar às organizações críticas e uma ventaja defensiva através do Preview de Claude Mythos.
Sentido: se um modelo puder encontrar vulnerabilidades antes que os atacantes, convide-o a usá-lo para corregiras. Mas essa mesma capacidade também é ofensiva. A ferramenta que descobre uma porta para cerrarla pode ser descoberta para explotarla. A fronteira não é o modelo, sino em quem o usa e com quais incentivos.
O que mudou: Um atacante avançado era escasso, caro e limitado por uma variável humana: o cansancio.
De fato, a China afirma ter suas ferramentas qualificadas para contrarrestar ao Mythos. A advertência de Five Eyes no The Guardian, “Modelos de IA capazes de ataques devastadores a governos e empresas a meses de distância, rara declaração da Five Eyes alerta” deve ler assim: não como uma profecia apocalíptica, mas também a constatação de que o relógio foi acelerado.
Quando as agências de inteligência dizem que o horizonte não é anos, sino meses, admitem que o suposto monopólio ocidental dessas capacidades pode durar muito pouco. O AI Security Institute britânico observou os melhores episódios de Claude Mythos Preview em captura de bandera e ataques multietapa. Não é o mesmo que comprometer uma infraestrutura crítica bem defendida, mas o que funciona em um ambiente controlado pode aparecer em ferramentas acessíveis.
O Google Threat Intelligence Group descreveu essa transição para a industrialização do ataque, com adversários que usam inteligência artificial para explorar vulnerabilidades e acesso inicial. Não há necessidade de criar máquinas onipotentes. Basta observar a queda da costa marginal. O atacante não precisa ser um gênio: basta formular objetivos, encadear ferramentas e deixar que o sistema funcione.
Pensar que deter Mythos resolve o problema é como tentar conter a caudal de um rio com as mãos. Se você pode ralentizar ou classificar temporalmente um modelo, mas a capacidade se deslocará para outros modelos, outros países e, tarde ou tarde, para versões abertas. Bruce Schneier plantou sua análise sobre Fable: o problema não é um produto isolado, mas também a tendência geral de aumento de capacidades.
A ordem executiva da Casa Blanca sobre inovação e segurança em inteligência artificial avançada confirma esta palestra: os modelos de fronteira já são tratados como tecnologia estratégica, não como simples software. Para a Europa, a conclusão é incômoda. Depender de modelos estaduais unidenses para defender bancos, hospitais, redes energéticas ou administrações públicas não é uma estratégia: é subordinação.
Para lembrar: Eu tive que ler o código, entender arquiteturas, testar hipóteses e voltar a empreender.
Se o acesso às capacidades críticas pode ser condicionado a partir de Washington, a soberania tecnológica europeia é mais um discurso que realidade. A guerra híbrida que viemos não será necessariamente um grande anúncio cinematográfico. Será algo mais viscoso: intenções constantes sobre fornecedores pequenos, ayuntamientos, hospitais, universidades, cadeias de abastecimento, bibliotecas esquecidas, firmware abandonado e sistemas industriais obsoletos.
Não faltará destruir tudo. Bastará degradar a confiança, aumentar o custo de operação, manipular dados e obrigar a defender tudo, todo o tempo. A investigação acadêmica, com benchmarks como ExploitGym, aponta na mesma direção: embora as vulnerabilidades explotar continuem sendo difíceis, os modelos de fronteira já obtiveram resultados não triviais.
Em cibersegurança, com isso basta. A defesa tenderá a usar inteligência artificial para sobreviver à inteligência artificial. Como o sinal do BCG ao falar de cibersegurança à velocidade da inteligência artificial, o reto não é apenas tecnológico, sino organizacional. Saber o que os sistemas têm, o que você usa, o que você acessa, o que você pode aislar e o que você pode recuperar, deixará de ser uma auditoria ocasional para se transformar em uma função contínua.
A pergunta não é que o Mythos deva nos dar medo. A pergunta é se nossas instituições são qualificadas para um mundo em busca de vulnerabilidades, se convertidas em uma atividade permanente, automatizada e distribuída. A resposta honesta é que não. Seguimos pensando em murallas quando deveríamos pensar em sistemas imunológicos.
Seguimos tentando proibir o rio quando deveríamos redesenhar a cidade para conviver com a crecida. O rio está caindo, e a questão será construída por diques, seguirá vendendo paraguas e descobrirá tarde demais que vive em zona inundável. Este artigo também está disponível em inglês na minha página do Medium, «O futuro da segurança cibernética é IA contra IA».
Fonte original:
El enemigo que no duerme: cuando la inteligencia artificial puede convertir el hacking en una guerra híbrida permanente
Categorias: Tecnologia, Futuro, Negócios Digitais
Marcador: Notícias
