A 27 de agosto, a OpenAI, a Anthropic, a Amazon Web Services, a Microsoft e mais de cem outras empresas — fornecedores de cloud, empresas de cibersegurança, operadoras de telecomunicações, bancos e think tanks — assinaram uma carta aberta intitulada "Collective Cyberdefense". Não se trata de mais um alarmismo genérico sobre riscos da IA, mas de uma afirmação concreta e específica: as infraestruturas críticas — hospitais, sistemas de abastecimento de água, redes elétricas — estão a tornar-se alvos baratos porque a IA reduz o custo de ataque mais depressa do que a defesa consegue acompanhar. A carta diz sem rodeios: "temos uma janela limitada para reforçar as defesas cibernéticas". Como prova, os signatários citam um caso real — um script de exploração de vulnerabilidades gerado por IA, usado em ataques a sistemas de água nos EUA, já sinalizado num aviso da agência CISA.

A carta vai além do alarme — atribui responsabilidades a quatro grupos. Às organizações em geral pede-se que elevem os padrões internos de segurança e corrijam as vulnerabilidades mais graves, incluindo falhas introduzidas pelo próprio código gerado por IA. Aos governos pede-se que melhorem a partilha de informação sobre ameaças entre níveis de governação e financiem a ciberdefesa de infraestruturas. Às empresas de cibersegurança pede-se que construam ferramentas de defesa baseadas em IA especificamente para infraestruturas críticas. E os criadores dos modelos de IA mais avançados — os próprios signatários, incluindo a OpenAI e a Anthropic — comprometem-se a dar aos defensores acesso a versões mais capazes dos seus sistemas durante incidentes e a financiar formação para o pessoal das empresas de infraestrutura.

Não é só a estação de água: porque é que um pequeno escritório de contabilidade também deveria preocupar-se

As manchetes sobre "infraestruturas críticas" criam a falsa sensação de que o problema é de outros — algo que diz respeito a empresas de água e hospitais. Na prática, a lógica da carta aplica-se a qualquer negócio que guarde dados de clientes e pague contas online; simplesmente não faz manchetes quando lhes acontece a eles.

Imagine um pequeno escritório de contabilidade com oito pessoas, que trata da contabilidade de quinze empresários em nome individual e pequenas Lda. Não tem departamento de TI dedicado — o e-mail corre num serviço de cloud comum, os ficheiros ficam numa pasta partilhada, e o acesso ao homebanking dos clientes é feito com credenciais que os próprios clientes entregam diretamente. Atacar convincentemente um escritório assim costumava exigir alguém disposto a investir tempo em reconhecimento: descobrir os nomes dos contabilistas, imitar o tom da correspondência real com um fornecedor, acrescentar detalhes credíveis. Agora basta alimentar um modelo com a presença pública do escritório — o site, o LinkedIn, notícias — para produzir um e-mail que soa exatamente como um fornecedor genuíno, com tom e detalhe precisos e sem os erros gramaticais que antes denunciavam o phishing. Segue-se um anexo intitulado "reconciliação bancária atualizada" que na realidade abre uma porta de acesso a um computador com credenciais bancárias guardadas de cinco empresas clientes ao mesmo tempo. Isto não é especulação exótica — é exatamente o tipo de reconhecimento e ataque mais barato e mais convincente que a carta alerta, só que à escala de uma indústria inteira em vez de uma única empresa.

Porque vale a pena ler esta carta com algum ceticismo, não só com aplauso

Seria ingénuo interpretar isto apenas como altruísmo corporativo. Repare em quem assina: empresas que vendem os mesmos modelos que estão na origem da ameaça descrita, ao mesmo tempo que se posicionam como fornecedoras da defesa contra ela. É uma posição conveniente — constrói a narrativa de "regulem-nos de forma a deixar-nos ajudar-vos a defenderem-se", antecipando-se a exigências mais rígidas e vinculativas de reguladores nos EUA e na UE. Vale também a pena notar que a carta não contém compromissos concretos: nem prazos, nem valores de financiamento, nem responsabilização pelo facto de os próprios modelos dos signatários estarem a ser usados neste momento para gerar código malicioso. Lê-se mais como uma declaração de intenções e um posicionamento antes de legislação de IA que se aproxima do que como um plano operacional com resultados mensuráveis. O valor do documento está em nomear publicamente um problema à escala da indústria — não em resolvê-lo.

A conclusão prática para as pequenas empresas é mais modesta do que as manchetes sugerem: não assumir que "somos demasiado pequenos para importar", verificar quem na empresa pode aprovar um pagamento ou abrir um anexo sem uma segunda confirmação, e manter o acesso a serviços financeiros separado do e-mail geral. Nenhuma carta aberta vai proteger um escritório de contabilidade de oito pessoas — isso continua a ser trabalho da própria empresa.

Fonte: Axios, "OpenAI, Anthropic issue dire cyber threat warning"

Se procura uma solução semelhante para o seu negócio, entre em contacto em dayava.pt/contactos/.