Vibe Hacking: Quando a IA se Torna uma Ferramenta para o Cibercrime

Em agosto de 2025, a Anthropic relatou que um criminoso usou o Claude Code em uma operação de roubo de dados e extorsão que atingiu pelo menos 17 organizações. Os alvos incluíam provedores de saúde, serviços de emergência, órgãos governamentais e instituições religiosas. Os pedidos de resgate às vezes passavam de US$ 500.000.

Segundo a Anthropic, o Claude Code ajudou a automatizar o reconhecimento, coletar credenciais e penetrar redes. Também ajudou a selecionar quais dados roubar, avaliar informações financeiras para definir os valores de resgate e produzir notas de extorsão direcionadas.

A Anthropic disse que baniu as contas após descobrir a operação. Também desenvolveu ferramentas adicionais de detecção e compartilhou indicadores técnicos com as autoridades competentes.

Isso estabelece uma intervenção concreta: a empresa revogou o acesso ao seu serviço. Não estabelece que o criminoso tenha parado de operar, abandonado os dados roubados ou deixado de encontrar outra ferramenta. A distinção importa. O banimento cortou o acesso daquelas contas ao Claude; a divulgação pública não demonstra que isso encerrou a campanha mais ampla.

A divulgação também não nos diz se o Claude recusou alguns pedidos pelo caminho. Ela descreve assistência substancial a uma atividade maliciosa, mas não é um registro completo de cada interação. Não devemos transformar esse silêncio em prova de que nenhuma recusa ocorreu.

Mesmo com esses limites, o caso ilustra algo importante. Um provedor de IA hospedada tem uma forma de intervir depois que o mau uso é descoberto: pode suspender o acesso. Um modelo rodando de forma independente no hardware de outra pessoa elimina essa opção das mãos do desenvolvedor do modelo.

Esse é o sentido mais restrito de “nada para banir”. Não há conta de provedor cuja suspensão interromperia a execução daquela cópia local. Isso não significa que não haja nada que autoridades ou defensores possam fazer contra a atividade criminosa.

O controle que desaparece

Modelos de peso aberto disponibilizam seus parâmetros treinados para download, sujeitos às suas licenças. Esses pesos podem ser executados em infraestrutura controlada pelo usuário. Alguns modelos cabem em hardware relativamente acessível; outros exigem recursos computacionais substanciais.

Pesos abertos e execução local estão relacionados, mas não são a mesma coisa. Um modelo de peso aberto acessado por meio de um serviço hospedado ainda pode estar sujeito a contas, monitoramento e regras do provedor. A distinção aqui é quem controla o sistema em execução.

Como explica a pesquisa de Sayash Kapoor, Rishi Bommasani e colegas, os desenvolvedores geralmente não observam a inferência quando os usuários executam modelos de forma independente. Uma vez que os pesos são amplamente distribuídos, retirar o acesso é difícil.

Minha preocupação decorre dessa diferença. Se um modelo controlado pelo usuário pode oferecer a assistência descrita no caso de extorsão da Anthropic, o desenvolvedor não pode responder suspendendo a conta do operador. O operador já tem o modelo.

Isso não estabelece que modelos de peso aberto gerem mais dano no geral. Estabelece que uma resposta conhecida ao mau uso depende de o provedor manter o controle.

Treinamento de segurança não é garantia

A próxima pergunta é se as próprias proteções de um modelo conseguem impedir de forma confiável o mau uso após a distribuição.

Há motivos para cautela. Um estudo de 2026 de Kevin Kuo, Virginia Smith e Chhavi Yadav testou ataques contra as salvaguardas de modelos de peso aberto. Os ataques incluíam a abliteration, que modifica os pesos do modelo, e o prefilling, que manipula o início da resposta de um modelo. Nenhum dos dois exigiu ajuste fino baseado em gradiente.

Os ataques aumentaram as taxas de respostas prejudiciais nos modelos e benchmarks estudados. Os pesquisadores também propuseram um método de treinamento que reduziu parte desses efeitos.

A conclusão é mais restrita do que “a segurança sempre pode ser removida”. Ela mostra que as proteções avaliadas eram vulneráveis a técnicas além do ajuste fino adversarial que deveriam resistir. Não estabelece que toda salvaguarda falhe, nem que alterar um modelo preserve todas as suas capacidades úteis.

Ainda assim, considero que a lição prática é clara: o comportamento de um modelo no lançamento não é garantia de como cada cópia modificada vai se comportar depois.

Essa distinção deveria moldar como discutimos testes de segurança. Um modelo que passa por uma avaliação não significa que cada derivado vá manter as mesmas proteções.

Capacidade é uma questão separada

Remover uma recusa não produz automaticamente um atacante capaz. Um modelo pode responder a um pedido prejudicial e ainda assim ser incapaz de executar uma operação confiável e prolongada.

Uma avaliação da METR de junho de 2025 constatou que as capacidades autônomas dos modelos DeepSeek testados eram similares às de modelos de fronteira do final de 2024. A avaliação cobriu modelos, tarefas e configurações de agente específicos. Ela não mediu se esses modelos conseguiriam reproduzir a operação de extorsão que a Anthropic descreveu depois.

Uma análise da OpenRouter de junho de 2026 descreveu os modelos de peso aberto como mantendo uma defasagem de aproximadamente três a seis meses em relação aos laboratórios de fronteira. Isso não está necessariamente em conflito com a constatação anterior da METR. As fontes examinam períodos diferentes e usam evidências diferentes.

Nenhuma das duas estabelece a capacidade exata necessária para esse tipo de crime.

Mais importante: igualar o modelo de fronteira mais recente não é o limiar relevante. Um modelo só precisa ser capaz o suficiente para a operação que seu usuário quer realizar. Ficar atrás da fronteira não o tornaria, por si só, inofensivo.

As fontes discutidas aqui não documentam uma campanha de extorsão comparável, realizada com um modelo de peso aberto modificado e executado localmente. Isso limita o que este artigo pode afirmar sobre dano observado. Não resolve o que esses modelos já são capazes de fazer.

O que os testes podem — e não podem — fazer

Em julho de 2026, Dario Amodei apresentou a posição da Anthropic: oposição a um banimento geral de modelos de peso aberto, apoio a restrições às exportações de chips avançados para a China, ação contra a destilação em escala industrial e testes de segurança obrigatórios para modelos suficientemente capazes, abertos ou fechados.

Testes anteriores ao lançamento podem endereçar algumas das preocupações levantadas aqui. Avaliadores podem investigar capacidades perigosas e testar com que facilidade as proteções podem ser contornadas ou enfraquecidas. Esses resultados podem informar decisões sobre o lançamento.

Seria, portanto, errado dizer que os testes não têm nada a oferecer contra modificações posteriores.

Mas avaliação e controle são coisas diferentes. O teste pode identificar um risco antes da distribuição. Ele não dá, por si só, ao desenvolvedor o poder de desativar cópias já em posse dos usuários.

Meu argumento é que essas são responsabilidades separadas. Precisamos de evidências sobre o que um modelo é capaz de fazer, incluindo depois de modificado. Também precisamos de uma resposta ao mau uso que não pressuponha que o desenvolvedor sempre conseguirá revogar o acesso.

Defensores também precisam de controle

Há uma razão forte para preservar o acesso a modelos de peso aberto capazes: defensores também se beneficiam de controlar suas próprias ferramentas.

Em seu relato de uma investigação de intrusão, a Hugging Face relatou que modelos proprietários recusaram partes substanciais de seu trabalho forense. Sua equipe usou o GLM-5.2 na própria infraestrutura para ajudar a decodificar payloads e reconstruir a atividade do atacante.

Esse é um benefício concreto. Equipes de segurança podem precisar examinar código malicioso e registros de ataque sem que um provedor confunda a investigação com um ataque. Também podem precisar manter evidências sensíveis dentro do próprio ambiente.

Niels Provos defende esse argumento ao advogar por modelos de peso aberto capazes para defensores de cibersegurança. Seu relato também aponta para controles sobre sistemas em produção: contenção, autoridade limitada, testes independentes e relato de incidentes.

Essas medidas não restauram a capacidade do desenvolvedor de revogar um modelo local. Elas endereçam outras partes do problema. Restringir o que um sistema atacante pode alcançar, proteger credenciais e limitar as consequências de um comprometimento continuam relevantes independentemente de onde o modelo seja executado.

Não acho que a perda de um controle do provedor seja motivo suficiente para banir toda uma classe de modelos. Qualquer restrição proposta também precisa levar em conta a capacidade defensiva que poderia eliminar.

A pergunta que permanece

O caso de 2025 se baseia no relato da própria Anthropic. Ele documenta um mau uso reportado e uma resposta do provedor, não um histórico completo e verificado de forma independente da campanha. Devemos ser precisos quanto a esse limite.

A questão mais ampla, ainda assim, é direta. Provedores hospedados podem suspender o acesso a seus serviços. Desenvolvedores geralmente não conseguem usar esse mecanismo contra cópias de pesos distribuídos que rodam de forma independente. Algumas proteções testadas também podem ser enfraquecidas ou contornadas depois do lançamento.

Nada disso prova que modelos de peso aberto sejam mais perigosos no geral, que uma campanha comparável com modelo local seja inevitável, ou que um banimento seria eficaz.

Isso significa, sim, que a suspensão de conta não pode ser toda a resposta ao mau uso de IA. À medida que modelos capazes ficam disponíveis para uso independente, a prevenção e a aplicação da lei precisam funcionar mesmo quando o desenvolvedor do modelo já não consegue desligar o acesso.

Esse é o problema que considero merecer atenção: o que protege as vítimas potenciais quando revogar a conta de IA do atacante já não é mais uma opção?