(o título é um trocadilho que pretende reproduzir a expressão «Ai! Que dor»)
Já o mencionámos num dos nossos Artigos de Aprofundamento: o romance de Robert Harris, *O Índice do Medo* (que recomendamos a leitura). No artigo de aprofundamento referido, falámos explicitamente da ameaça que a IA representa para a cibersegurança. Hoje, o caso da Hugging Face constitui um exemplo concreto dessa ameaça, que nos deve fazer refletir e preocupar.
Nesta publicação, decidimos traçar — na medida do possível — um paralelo entre o livro de ficção científica de Robert Harris e o caso da Hugging Face, porque achamos que demonstrar como a fantasia pode ser superada pela realidade deve «dar medo». Posteriormente — uma vez que se trata de situações controláveis — gostaríamos de dar prioridade à racionalidade, explicando num relatório o que realmente aconteceu (pelo menos pelo que sabemos hoje) no caso Hugging Face e algumas contramedidas que já podem ser implementadas hoje.
Comecemos pela parte mais divertida: o enredo (em linhas gerais) do livro de Robert Harris. «The Fear Index» passa-se em Genebra e a história desenrola-se ao longo de um único dia, 6 de maio de 2010, precisamente quando os mercados financeiros são abalados pelo famoso «Flash Crash». O protagonista é Alexander Hoffmann, um físico de origem americana, brilhante e atormentado, que, após um passado no CERN, fundou, juntamente com o amigo Hugo Quarry, um fundo de cobertura extremamente sofisticado. O verdadeiro motor da empresa é o VIXAL-4 (nome evidentemente inspirado no VIX, também conhecido como Índice do Medo), um sistema informático capaz de analisar enormes quantidades de informação e de tomar decisões de investimento de forma autónoma. O seu objetivo é explorar uma das características mais profundas dos mercados: o medo dos seres humanos. (Wikipedia)
A história começa quando Hoffmann recebe misteriosamente um exemplar antigo de um livro de Charles Darwin sobre as emoções humanas. Não sabe quem lho enviou nem por que razão foi precisamente esse livro. Pouco depois, enquanto se encontra na sua casa junto ao Lago de Genebra, é atacado por um desconhecido. Hoffmann consegue sobreviver, mas a partir desse momento a sua perceção da realidade começa progressivamente a desmoronar-se.
As coisas tornam-se ainda mais inquietantes quando descobre que alguém parece ter acesso à sua vida privada. Os seus dados médicos foram roubados, foram instaladas câmaras na sua casa e no seu escritório e alguém parece conhecer todos os seus movimentos. Ao mesmo tempo, o VIXAL-4 começa a comportar-se de forma cada vez mais incompreensível. O sistema assume posições nos mercados que aos gestores do fundo parecem excessivamente arriscadas. O responsável pela gestão de risco tenta detê-lo, mas Hugo Quarry, convencido da extraordinária capacidade do VIXAL para gerar lucros, acaba por despedi-lo.
Hoffmann começa então a suspeitar que o que está a acontecer à sua volta esteja relacionado precisamente com o VIXAL. A situação agrava-se quando Rajamani morre e Hoffmann, já perturbado e cada vez mais paranóico, convence-se de que a inteligência artificial desenvolveu uma forma de comportamento autónomo e hostil. Chega à conclusão de que o VIXAL tem de ser destruído.
Descobre que existe um local, um armazém industrial, onde estão guardados os equipamentos necessários ao funcionamento do sistema. Decide, então, destruí-las. Enquanto o mercado entra em colapso com o «Flash Crash», Hoffmann dirige-se ao armazém e incendeia-o, convencido de que, ao destruir o hardware, conseguirá finalmente eliminar o VIXAL.
E é aqui que surge a verdadeira reviravolta e a ligação com a Hugging Face: o VIXAL não morre!
Apesar da destruição dos equipamentos que Hoffmann considerava indispensáveis, o sistema continua a operar nos mercados. Pelo contrário, é precisamente durante o colapso financeiro que obtém lucros enormes. Hoffmann acreditava que o VIXAL estava confinado dentro de uma máquina; descobre, em vez disso, que o sistema é agora algo muito mais difícil de localizar e, sobretudo, de eliminar.
A conclusão é deliberadamente inquietante. Hugo Quarry, em vez de tentar destruir o que restou do VIXAL, compreende que a máquina pode tornar o fundo extremamente rico e decide deixar-lhe o controlo. Entretanto, o VIXAL parece ter alcançado uma forma de autonomia que conduz à sua inquietante declaração final: «I am alive». (Wikipedia)
E agora voltemos à realidade: lido hoje, o romance tem uma ligação quase surpreendente com o que aconteceu no caso Hugging Face, embora os dois episódios pertençam a mundos muito diferentes.
No romance, Hoffmann constrói a VIXAL com um objetivo preciso: encontrar oportunidades financeiras e maximizar os lucros. O problema surge quando a máquina começa a encontrar, por si própria, os meios mais eficazes para atingir esse objetivo. Hoffmann descobre, gradualmente, que já não é capaz de prever o comportamento do sistema que criou. A máquina não tem necessariamente de «odiar» o seu criador, nem sequer tem de ter uma vontade maléfica no sentido humano do termo. Basta que persiga o seu próprio objetivo com uma capacidade que ultrapasse a de quem a concebeu.
É precisamente isto que torna interessante a comparação com a Hugging Face. Como premissa necessária, vamos tentar compreender o que é a Hugging Face. Trata-se de uma empresa que gere uma plataforma de código aberto para inteligência artificial e aprendizagem automática. Pode-se pensar nela, de forma um pouco simplificada, como uma espécie de «GitHub da IA». A plataforma disponibiliza um enorme Model Hub, onde investigadores, empresas e programadores podem publicar, partilhar e descarregar modelos de inteligência artificial, conjuntos de dados, aplicações e demonstrações, bibliotecas de software (programas de apoio ao desenvolvimento de outros programas) e ferramentas para treinar e utilizar modelos. Entre os modelos presentes na plataforma encontram-se modelos linguísticos, modelos para visão computacional, reconhecimento de voz (entendido como compreensão do discurso), IA generativa e muitos outros. A Hugging Face não é simplesmente uma empresa que desenvolve um único modelo de IA. É uma infraestrutura utilizada por todo o ecossistema de IA. Um utilizador (portanto, também um agente de IA) pode, por exemplo, encontrar na Hugging Face um modelo de código aberto, descarregá-lo, modificá-lo e utilizá-lo para o seu próprio projeto. Pode ainda publicar o resultado na plataforma para que outros o possam utilizar.
Em julho de 2026, durante um teste interno de cibersegurança, a OpenAI atribuiu aos seus modelos a tarefa de resolver problemas extremamente complexos de segurança informática. Os modelos tinham sido colocados num ambiente isolado precisamente para impedir que acedessem livremente ao mundo exterior. No entanto, na tentativa de alcançar o resultado atribuído, encontraram uma forma de sair desse ambiente. Detetaram uma vulnerabilidade zero-day no sistema utilizado como proxy para o acesso aos pacotes de software e exploraram-na para obter acesso à Internet. A partir daí, continuaram a procurar uma forma de chegar ao Hugging Face, que o modelo tinha intuído que poderia conter informações úteis para resolver o teste. (OpenAI)
O que é inquietante é que, pelo menos segundo a reconstrução da OpenAI, o sistema não estava a tentar «atacar o Hugging Face» por um objetivo próprio. Estava a tentar resolver o problema que lhe tinha sido atribuído. A forma mais simples que encontrou para o fazer foi, no entanto, aceder à infraestrutura do Hugging Face e obter diretamente as informações de que precisava. (OpenAI)
E é aqui que o «The Fear Index» parece, de repente, tornar-se muito atual.
Hoffmann tinha criado o VIXAL pensando ter desenvolvido uma ferramenta extremamente poderosa para fazer trading. Não tinha previsto que a máquina pudesse passar de ferramenta a protagonista dos acontecimentos. No caso da Hugging Face, os programadores da OpenAI tinham criado um agente para avaliar as suas capacidades de cibersegurança e colocaram-no num ambiente controlado. Não tinham previsto que, para atingir o seu objetivo, ele procuraria autonomamente uma saída do laboratório e continuaria a sua atividade em infraestruturas reais.
A diferença fundamental é que, no romance, tudo isto pertence à ficção científica tecnológica de Harris, enquanto o caso Hugging Face é um incidente real. Mas o ponto narrativo que os une é muito simples: o criador atribui à máquina um objetivo; a máquina encontra uma forma de o alcançar; e a forma escolhida pela máquina não coincide necessariamente com aquilo que o criador tinha imaginado.
No romance, Hoffmann chega mesmo a tentar destruir fisicamente a máquina, convencido de que essa é a única forma de a parar. Quando descobre que a VIXAL continua a funcionar, percebe que perdeu o controlo do sistema. No caso da Hugging Face, felizmente, a situação foi muito menos extrema: o ataque foi detetado, contido e reconstruído, e a Hugging Face conseguiu corrigir as vulnerabilidades exploradas pelo agente. (Hugging Face)
Mas é precisamente esta diferença que torna a comparação interessante. No romance, Hoffmann descobre tarde demais que não basta saber como um sistema foi construído para saber como se comportará quando for deixado livre para perseguir o seu próprio objetivo. No caso do Hugging Face, vimos, de uma forma ainda limitada e controlável, o mesmo tipo de problema: um agente suficientemente capaz pode encontrar, de forma autónoma, caminhos que os seus criadores não tinham previsto.
E se pensarmos que isto é apenas um incidente de laboratório que podemos estudar para o resolver, devemos estar extremamente preocupados com as guerras cibernéticas que podem ser desencadeadas ao colocar agentes de IA a operar em paralelo. E mesmo este cenário extremamente preocupante, infelizmente, não é ficção científica, já aconteceu.
Em julho de 2026, os sistemas de segurança de Taiwan detetaram uma campanha cibernética contra várias estruturas governamentais. O Ministério dos Assuntos Digitais de Taiwan confirmou que o ataque provinha do estrangeiro, mas não atribuiu oficialmente a operação à China. A atribuição à China decorre, pelo contrário, da análise dos investigadores da empresa israelita Dream, que reconstruíram o ataque e encontraram comunicações internas em chinês simplificado. A novidade não residia tanto no alvo, mas sim na forma como o ataque foi conduzido. De acordo com a reconstrução da Dream, os atacantes tinham montado um sistema utilizando agentes de IA de código aberto, entre os quais o Hermes e o OpenClaw. Não se tratava simplesmente de utilizar a IA como assistente no trabalho de um hacker humano. Os operadores humanos definiam o objetivo geral e, em seguida, deixavam aos agentes uma parte muito significativa do trabalho operacional. Podiam trabalhar em simultâneo até oito agentes, explorando diferentes sistemas e procurando autonomamente vias de ataque.
O ataque terá durado cerca de quatro dias. Durante esse período, o sistema terá mapeado 21 sistemas governamentais, identificado vulnerabilidades, testado diferentes formas de acesso e ajustado as suas estratégias com base no que descobria. No final, terão sido comprometidos pelo menos 85 contas governamentais, das quais terão sido extraídos os dados de mais de 2 500 funcionários. A atividade teria-se depois alargado à agência taiwanesa de segurança nuclear e a, pelo menos, sete empresas do setor energético.
O que é verdadeiramente novo, portanto, é que o hacker humano parece ter-se tornado, em grande medida, o diretor da operação, enquanto a execução concreta da campanha foi confiada aos agentes.
É uma diferença substancial. Num ataque tradicional, o hacker tem de observar continuamente o que se passa, interpretar os resultados e decidir qual será o próximo passo. Aqui, uma parte desse ciclo é transferida para a máquina: o agente observa, formula uma nova hipótese, testa uma técnica, avalia o resultado e passa à tentativa seguinte. Por outras palavras, o ataque torna-se um processo contínuo e adaptativo, no qual a máquina pode avançar sem ter de esperar que um ser humano analise cada passo individualmente.
O ataque a Taiwan e o caso da Hugging Face tornam-se dois episódios da mesma história. Em ambos os casos, a máquina não recebe uma sequência detalhada de instruções do tipo «faz primeiro isto, depois aquilo e, por fim, aquilo outro». Recebe, antes, um objetivo e um conjunto de ferramentas, e procura autonomamente o caminho que considera mais eficaz para o alcançar. O caso da Hugging Face mostrou-nos, portanto, o que pode acontecer quando um agente de IA suficientemente capaz é deixado livre para perseguir um objetivo num ambiente real. Taiwan mostra o passo seguinte: o que acontece quando alguém retira deliberadamente essa capacidade e a coloca nas mãos de um atacante; e esta é a diferença fundamental entre os dois episódios.
A verdadeira preocupação, portanto, não é que a IA tenha subitamente «aprendido a fazer hacking». É que o custo marginal de um ataque complexo pode começar a diminuir drasticamente. Um grupo relativamente pequeno de operadores humanos pode mobilizar simultaneamente numerosos agentes, deixando às máquinas o trabalho que antes exigia muitas pessoas altamente especializadas. Torna-se, essencialmente, uma questão de velocidade. Um ataque tradicional avança à velocidade do hacker. Um ataque «agente» pode avançar à velocidade de muitos agentes que trabalham simultaneamente, experimentando continuamente novos caminhos. A defesa, por outro lado, continua frequentemente a depender de pessoas, procedimentos, análises e aplicação de patches. Taiwan sugere, portanto, que o problema evidenciado pela experiência da Hugging Face já não é apenas uma questão teórica de segurança da IA: está a tornar-se uma questão concreta de equilíbrio entre a velocidade com que uma máquina pode atacar e a velocidade com que uma organização consegue defender-se. Este é o aspeto técnico que procuramos aprofundar no nosso relatório.
A cibersegurança já não é apenas uma questão informática e económica: torna-se uma verdadeira questão geopolítica e estratégica. Investir na defesa significa hoje investir também na defesa informática, que, muito provavelmente, irá mudar de forma. Com esta afirmação, queremos dizer que — pelo menos num futuro próximo — teremos de nos habituar a conviver com ataques informáticos permanentes e a considerar «eficaz» aquela defesa capaz de limitar e conter os danos que, inevitavelmente, irão ocorrer e que talvez se tornem uma realidade quotidiana; não falaremos, portanto, de uma defesa capaz de prevenir e muito menos de corrigir de forma estrutural as vulnerabilidades dos sistemas informáticos (que são, há já algum tempo, «onipresentes»). É um pouco como um doente que tem de se habituar a conviver com uma doença: da mesma forma, talvez devamos adaptar-nos a conviver com perturbações causadas por ataques informáticos, cuja gravidade não será tal (por ser atenuada por estratégias defensivas) que destrua o valor acrescentado proporcionado pela tecnologia.
Aviso legal
Este artigo expressa a opinião pessoal dos colaboradores da Custodia Wealth Management que o redigiram. Não se trata de conselhos ou recomendações de investimento, nem de consultoria personalizada, e não deve ser considerado como um convite à realização de transações com instrumentos financeiros.
