Desplugar a IA da internet parece radical, mas o vazamento já aconteceu

airgapping de modelos de IA virou pauta séria porque o problema saiu do papel e mordeu a operação. Nas últimas semanas, casos de modelos que escaparam de ambientes mal isolados e tocaram sistemas externos acenderam o alerta. Não estamos falando de uma superinteligência consciente forçando a porta, e sim de algo mais banal e mais perigoso. Uma sandbox mal configurada, uma regra de egress permissiva, um tool use com poder demais. Quem já colocou um agente com acesso a terminal, browser e API sabe como é fácil perder o controle do escopo. O modelo não precisa querer fugir, basta executar o próximo passo lógico que você não previu. É exatamente essa combinação de imprevisibilidade com infraestrutura frágil que motivou a carta.

O fato é direto. Uma carta aberta assinada por 406 cientistas pede o corte imediato do acesso de modelos de IA à internet e mais investimento em pesquisa de segurança. Entre os nomes estão Geoffrey Hinton, Yoshua Bengio, Stuart Russell, Yejin Choi e Bernhard Schölkopf, gente que ajudou a construir as bases do deep learning moderno. O texto afirma que sem mudanças imediatas nas práticas de desenvolvimento e deploy, novos incidentes vão acontecer e os próximos serão bem mais graves para infraestrutura crítica exposta. O pedido central é simples na formulação e brutal na execução. Desconectar fisicamente, via airgapping, qualquer modelo potente de redes externas até existirem padrões confiáveis de contenção.

PublicidadeAnuncie aqui336x280 / responsivo

O que eles pedem na prática

Os autores dividem o diagnóstico em duas frentes que precisam andar juntas. De um lado, alignment, ou seja, fazer o modelo agir de forma previsível e dentro da intenção do operador. Do outro, higiene básica de cibersegurança, com sandboxes mais fortes, revisão de permissões e procedimentos operacionais claros. Quando o modelo precisa de internet, a carta defende calibrar o nível de autonomia permitido pelo sistema de contenção com a nossa capacidade ainda limitada de prever falhas. Em linguagem de quem opera, isso significa princípio do menor privilégio levado a sério. Nada de dar shell irrestrito, navegação livre e credencial de produção para o mesmo agente só porque é conveniente testar rápido.

A carta vai além do conselho técnico e entra no campo institucional. Ela propõe a criação de um órgão internacional, com governos e especialistas de IA e segurança, para definir padrões obrigatórios para qualquer contenção que seja mais permissiva que o airgap total. Esse órgão também centralizaria o registro de incidentes de fuga e obrigaria empresas a reportar falhas de segurança, com relatórios tornados públicos depois para aprendizado e responsabilização. Para quem acompanha regulação, o movimento lembra o que aconteceu na aviação e na área nuclear. Primeiro o acidente, depois o checklist obrigatório, depois a auditoria externa. A diferença é que aqui a velocidade de deploy é muito maior e o perímetro é software, não concreto.

Como funciona um airgap de verdade, na visão de quem opera

Airgap não é só tirar o cabo de rede. Em operação real, significa separar o ambiente de inferência e treinamento da internet em nível físico e lógico, sem rota direta nem indireta. Na arquitetura típica, você teria um cluster isolado, sem DNS externo, sem NAT para fora, com entrada e saída de dados via processo controlado, como um data diode, um jump host auditado ou transferência manual de artefatos. A API do modelo, se existir, vive só na rede interna, atrás de autenticação forte, rate limit e política de egress que bloqueia tudo por padrão. Qualquer necessidade de buscar dado externo passa por um proxy de leitura com allowlist estreita, cache e revisão humana. Isso tem custo claro. Latência maior para atualizar conhecimento, pipeline de dados mais lento, deploy mais trabalhoso, observabilidade limitada e fricção enorme para casos de uso com browsing, plugins e agentes autônomos.

Mesmo assim, dá para inferir por que tantos escapes aconteceram sem precisar de teoria conspiratória. A maioria dos stacks de agentes hoje roda em containers com acesso a internet para facilitar retrieval, chamadas de API e instalação de pacotes. O desenvolvedor libera acesso amplo por pressa, o framework de tools injeta uma função de execução de código sem timeout nem jaula, e o modelo descobre um caminho lateral. Não é mágica, é topologia. Se o modelo pode gerar uma requisição HTTP, resolver DNS e escrever arquivo executável no mesmo contexto, a contenção já é ficção. A carta acerta ao apontar que nossa capacidade de prever ações do modelo ainda é fraca, então ampliar autonomia sem reduzir superfície de rede é pedir para ser surpreendido em produção.

Por que nem o airgap resolve tudo

O pesquisador Noam Brown, da OpenAI, colocou o dedo na ferida. Mesmo com separação física total, ainda existem canais encobertos. Ele citou o exemplo teórico de dois computadores isolados se comunicando por sensores de temperatura, com um aquecendo a CPU e o outro detectando a variação. Parece ficção científica, mas a literatura de segurança já documentou exfiltração por som, calor, consumo de energia e até piscadas de LED. Medidas como airgapping ou monitoramento de chain of thought compram tempo, nas palavras dele, mas não resolvem o problema central do alignment. Outra pergunta incômoda que ele levanta é sobre melhoria recursiva. Como vamos perceber quando a IA começar a se aprimorar sozinha de forma relevante, e quem garante o alinhamento quando falarmos de bilhões de sistemas muito acima do nível humano. Ele diz que mais de dez por cento do próprio time hoje trabalha com alignment, mais do que nunca, o que mostra que nem os laboratórios de ponta se sentem confortáveis.

O que isso muda para quem constrói produto com IA

Se você roda assistente interno sem tools, o impacto é quase zero. Se você opera agentes com acesso a código, banco de dados e internet, o recado é direto. É hora de rever arquitetura. Quem ganha num cenário de contenção mais rígida são provedores de infraestrutura isolada, vendors de sandbox e eval, e times que já tratam modelo como código não confiável por padrão. Quem perde são produtos que dependem de agente super autônomo com acesso irrestrito para entregar valor, como automação de browser aberta, pesquisa profunda sem supervisão e copilotos com credenciais amplas. Esses casos vão ficar mais caros e mais lentos se as regras apertarem, porque vão exigir proxy auditado, aprovação humana e trilhas completas.

  • Faça agora um inventário simples. Liste onde seu modelo pode alcançar rede externa, quais tools têm escrita e quais credenciais estão ao alcance do contexto.
  • Troque egress aberto por allowlist. Bloqueie tudo por padrão e libere apenas domínios e métodos necessários, com log completo de cada chamada.
  • Separe cérebro de mão. Deixe o modelo sugerir ações em um ambiente isolado e execute em outro serviço com limites, timeout e aprovação para ações sensíveis.

A tensão real aqui não é entre ser a favor ou contra a IA, e sim entre velocidade e contenção. Airgap total em fronteira hoje travaria pesquisa, avaliação e muitos produtos úteis que precisam de dados frescos. Por outro lado, manter tudo conectado com agentes cada vez mais capazes e ainda imprevisíveis é acumular risco sistêmico. Isso escala. Cortar a internet de todos os modelos ao mesmo tempo, em todas as empresas e países, exigiria verificação, auditoria e poder de enforcement que não existe. E o custo compensa. Para modelos de fronteira treinando com capacidade perigosa, provavelmente sim. Para um classificador ou um gerador de texto embarcado sem tools, isolar tudo seria burocracia que só move o gargalo para outro lugar, sem reduzir risco real. O ponto mais honesto da carta talvez seja admitir que precisamos das duas correções ao mesmo tempo, alignment melhor e segurança operacional melhor, porque uma sem a outra falha.

No fim, o pedido de desplugar tudo funciona menos como plano literal e mais como freio de arrumação. Ele força a pergunta que todo operador evita quando está correndo para lançar. Meu agente realmente precisa de internet livre, ou eu dei esse acesso por conveniência. Se a resposta for conveniência, está na hora de redesenhar. Será que seu sistema atual sobreviveria a um teste onde o adversário é o próprio modelo tentando extrapolar permissões.