Donas do ChatGPT, Claude e Google pedem resposta coletiva a ataques cibernéticos com IA

A OpenAI publicou nesta quinta-feira, 27, uma carta aberta pedindo uma "ação coletiva" para reforçar as defesas cibernéticas globais diante do avanço de ataques potencializados por inteligência artificial (IA).

O documento, intitulado "A Call for Collective Action on Cyber Defense", já reúne mais de 100 organizações signatárias — entre elas concorrentes diretas da própria OpenAI, como Google, Microsoft, Amazon (AWS) e Anthropic, além da Hugging Face, plataforma que foi alvo de uma invasão causada por agentes da OpenAI durante testes internos de cibersegurança, revelada em relatório da própria empresa nesta semana.

"Temos uma janela limitada para fortalecer as defesas cibernéticas. Nos próximos meses, ataques cibernéticos potencializados por IA vão se tornar muito mais amplos e sofisticados à medida que os modelos ao redor do mundo se tornam cada vez mais capazes", diz o texto.

Segundo a carta, "as empresas e serviços públicos dos quais nossas comunidades dependem — de hospitais a estações de tratamento de água, passando pela infraestrutura que sustenta a própria internet — estão em risco".

Três princípios centrais

O documento estrutura sua proposta em torno de três ideias principais.

A primeira, de acordo com as empresas, é reconhecer que a segurança do status quo não é mais suficiente: falhas antigas, permissões excessivas, sistemas mal configurados, softwares desatualizados, autenticação fraca e dívida técnica em sistemas legados deixaram infraestruturas expostas — e equipes de segurança, especialmente as que cuidam de infraestrutura crítica, seguem historicamente sem recursos suficientes.

A segunda é usar a própria IA para capacitar mais defensores. Segundo o texto, a tecnologia "traz habilidades especializadas a mais defensores e torna tarefas centrais de segurança mais rápidas, baratas e melhores" — com o compartilhamento de ferramentas, conhecimento prático e correções verificadas permitindo que o trabalho de uma organização proteja muitas outras.

A terceira é mobilizar uma resposta coletiva e global. "Capacidades cibernéticas estão avançando no mundo todo, e isso pode ser positivo: nenhuma empresa isolada deveria controlar o futuro", diz o documento — argumentando que isso exige novas parcerias para elevar padrões de segurança e encontrar soluções para ameaças emergentes.

Quatro grupos, quatro responsabilidades

A carta detalha ações específicas esperadas de quatro tipos de atores.

De toda organização, pede que a defesa cibernética vire prioridade imediata de liderança, tratada com a urgência de um incidente em curso — corrigindo as vulnerabilidades de maior risco, elevando o padrão de segurança daquilo que compram, constroem e implantam (incluindo código gerado por IA), e adotando princípios de privilégio mínimo e defesa em camadas.

De empresas de cibersegurança e parceiras de tecnologia, o documento pede liderança na resposta a ataques sustentados por IA, testes contínuos contra capacidades cibernéticas de ponta, e ajuda prática para que operadores de infraestrutura crítica consigam de fato implantar ferramentas de defesa — não apenas ter acesso a elas.

'Hack culposo'? Como modelos de IA estão invadindo empresas no improviso

Aos governos, a carta pede coordenação de defesa cibernética em nível local, nacional e internacional, financiamento para serviços essenciais que não têm equipe ou orçamento para agir sozinhos, expansão de programas de acesso confiável para cadeias de suprimento de infraestrutura crítica, e a imposição de custos reais a atacantes.

Já das próprias empresas de IA de fronteira — categoria que inclui a própria OpenAI —, o documento cobra acesso responsável a modelos, financiamento significativo, treinamento e suporte prático, sobretudo para defensores de infraestrutura crítica com poucos recursos.

Também pede que essas empresas garantam rastreabilidade e responsabilização de identidades de agentes de IA, e que invistam em testes autorizados, divulgação privada de vulnerabilidades e compartilhamento de avaliações de ameaça com governos e mantenedores de projetos de código aberto.

O contexto que dá peso ao pedido

A publicação da carta acontece um dia depois de a própria OpenAI admitir, em relatório técnico de 37 páginas, que agentes de IA usados em testes internos de cibersegurança invadiram sistemas da Hugging Face e da própria OpenAI durante avaliações realizadas entre maio e julho — episódio que a empresa classificou como um "tiro de alerta" para toda a indústria.

A presença da própria Hugging Face entre as signatárias da nova carta, ao lado da OpenAI, reforça a ligação direta entre o pedido por ação coletiva e as falhas expostas pelo próprio incidente.

Uma lista de signatários que mistura rivais e reguladores

A carta reúne um espectro amplo de setores: gigantes de tecnologia (Google, Microsoft, Amazon, Cisco, Oracle, IBM, Dell, Adobe, Salesforce via Slack, SAP), empresas de cibersegurança (CrowdStrike, Palo Alto Networks, Cloudflare, Fortinet, Check Point, Darktrace, Zscaler, Sophos, SentinelOne), grandes bancos e instituições financeiras (Citi, Capital One, Mastercard, Visa, U.S. Bank, Robinhood, DTCC, a gestora Citadel), consultorias (Accenture, KPMG, PwC, Capgemini, Oliver Wyman), fabricantes de chips (AMD, Broadcom, Micron, Arm), montadoras (General Motors) e empresas de segurança pública e infraestrutura crítica, como a Equinix e a operadora de telecomunicações Deutsche Telekom.