Hacking impulsionado por IA explodiu em ameaça em escala industrial, diz Google

Em apenas três meses, o hacking impulsionado por IA passou de um problema incipiente para uma ameaça em escala industrial, de acordo com um relatório do Google.

As descobertas do grupo de inteligência de ameaças do Google somam-se a uma discussão global cada vez mais intensa sobre como os modelos de IA mais recentes são extremamente adeptos à codificação – e estão se tornando ferramentas extremamente poderosas para explorar vulnerabilidades em uma ampla gama de sistemas de software.

Descobre que grupos criminosos, bem como atores ligados a estados da China, Coreia do Norte e Rússia, parecem estar usando amplamente modelos comerciais – incluindo Gemini, Claude e ferramentas da OpenAI – para refinar e escalar ataques.

“Há um equívoco de que a corrida por vulnerabilidades de IA está iminente. A realidade é que ela já começou”, disse John Hultquist, analista-chefe do grupo.

“Atores de ameaças estão usando IA para aumentar a velocidade, a escala e a sofisticação de seus ataques. Isso permite que eles testem suas operações, persistam contra alvos, criem malware melhor e façam muitas outras melhorias.”

No mês passado, a empresa de IA Anthropic recusou-se a lançar um de seus modelos mais recentes, Mythos, após afirmar que ele possuía capacidades extremamente poderosas e representava uma ameaça a governos, instituições financeiras e ao mundo em geral se caísse em mãos erradas.

Especificamente, a Anthropic disse que Mythos havia encontrado vulnerabilidades de dia zero em “todos os principais sistemas operacionais e todos os principais navegadores da web” – o termo para uma falha em um produto anteriormente desconhecida por seus desenvolvedores.

A empresa disse que essas descobertas necessitaram de “ação defensiva coordenada substancial em toda a indústria”.

O relatório do Google, no entanto, descobriu que um grupo criminoso estava recentemente à beira de alavancar uma vulnerabilidade de dia zero para conduzir uma campanha de “exploração em massa” – e que esse grupo parecia estar usando um modelo de linguagem grande (LLM) de IA que não era Mythos.

O relatório também descobriu que grupos estavam “experimentando” com OpenClaw, uma ferramenta de IA que se tornou viral em fevereiro por oferecer aos seus usuários a capacidade de entregar grandes partes de suas vidas a um agente de IA sem restrições e com uma tendência infeliz de excluir em massa caixas de entrada de e-mail.

Steven Murdoch, professor de engenharia de segurança na University College London, disse que a ferramenta de IA poderia ajudar o lado defensivo na cibersegurança – assim como os hackers.

“É por isso que não estou em pânico. Em geral, atingimos um estágio em que a antiga maneira de descobrir bugs acabou, e agora tudo será assistido por LLM. Levará um tempo até que as consequências disso sejam resolvidas”, disse ele.

No entanto, se a IA está ajudando hackers ambiciosos a atingir suas metas de produtividade, permanecem dúvidas se ela está impulsionando a economia em geral.

O Ada Lovelace Institute (ALI), um órgão independente de pesquisa em IA, alertou contra suposições de um impulso de produtividade no setor público de bilhões de libras com a IA. O governo do Reino Unido estimou um ganho de £ 45 bilhões em economias e benefícios de produtividade com o investimento do setor público em ferramentas digitais e IA.

Em um relatório publicado na segunda-feira, o ALI disse que a maioria dos estudos sobre aumentos de produtividade relacionados à IA se referia a economia de tempo ou redução de custos, mas não examinava resultados como melhores serviços ou bem-estar aprimorado do trabalhador.

Outros aspectos problemáticos de tais pesquisas incluem: se as projeções de eficiência relacionada à IA em um local de trabalho realmente têm sucesso no mundo real; figuras de manchete obscurecendo resultados variados para o uso de IA em diferentes tarefas; e falha em contabilizar o impacto no emprego do setor público e na prestação de serviços.

“As estimativas de produtividade que moldam grandes decisões governamentais sobre IA às vezes se baseiam em suposições não testadas e dependem de metodologias cujas limitações nem sempre são apreciadas por aqueles que usam os números na prática”, disse o relatório do ALI.

“O resultado é uma lacuna entre a confiança com que as alegações de produtividade são apresentadas e a solidez das evidências por trás delas.”

As recomendações do relatório incluem: incentivar estudos futuros a refletir a incerteza sobre o impacto da tecnologia; garantir que os departamentos governamentais meçam o impacto dos programas de IA “desde o início”; e apoiar estudos de longo prazo que medem ganhos de produtividade ao longo de anos, em vez de semanas.