Como a IA poderia dificultar o uso de ferramentas de hacking pelos governos

No início de agosto, o professor de criptografia Matthew Green escreveu um tópico polêmico sobre o X e uma postagem mais longa no blog que se tornou viral na comunidade de segurança cibernética.

Green, que há muito tempo é um observador atento do debate em torno do uso de ferramentas de hacking pelos governos para combater o crime e da necessidade de uma criptografia forte para proteger a privacidade de pessoas inocentes, postulou um pensamento provocativo: e se a IA tornar os bugs tão escassos que as autoridades policiais e as agências de inteligência não consigam mais hackear legalmente os criminosos?

“Estou preocupado que a IA torne o software demasiado seguro”, escreveu Green, alertando que o governo dos EUA pode perder acesso a falhas de segurança para invadir alvos que precisam de vigiar à medida que as empresas corrigem um volume sem precedentes de bugs.

As autoridades policiais há muito afirmam que a criptografia dificultava a captura de criminosos e terroristas. O conceito de “escurecer” foi popularizado em 2014, numa altura em que o então diretor do FBI, James Comey, alertou que a criptografia poderia impedir que as autoridades pudessem ouvir conversas ou aceder a dados em dispositivos.

Nessa época, aplicativos como Signal, WhatsApp e iMessage da Apple lançaram criptografia de ponta a ponta para as massas, tornando quase impossível a tradicional escuta telefônica em tempo real de chamadas e mensagens de texto. Gigantes da tecnologia como a Apple também começaram a criptografar os dados em seus dispositivos por padrão, dificultando a invasão de iPhones protegidos por um código PIN ou senha forte.

Desde então, as autoridades ainda conseguem capturar criminosos – inclusive através da invasão de seus dispositivos – e pessoas inocentes têm conseguido desfrutar de um bom nível de privacidade graças à criptografia. Em parte, como explica Green, isso se deve a “um tipo de trégua desconfortável”. Ou seja, em vez de incorporar backdoors em dispositivos para ajudar as autoridades a obter os dados, os governos investiram dinheiro na compra de ferramentas de hacking e spyware que podem subverter a segurança dos dispositivos e dos seus proprietários.

Para Green, essa trégua está prestes a ser perturbada pela IA, porque, como prometem os proponentes e sugerem alguns dados iniciais, os LLM estão a tornar-se melhores e mais rápidos na detecção de vulnerabilidades de segurança em grande escala. Isso, em teoria, sugere que chegaremos a um ponto em que as empresas poderão tornar seus softwares e sistemas significativamente menos infestados de bugs – e propensos a ataques.

O resultado final, segundo Green, é que os governos poderiam solicitar backdoors novamente, tornando os dispositivos de todos menos seguros por design.

Uma corrida do ouro de insetos

Pedimos a várias pessoas que concordassem com o argumento de Green, desde especialistas em privacidade e segurança cibernética até hackers com experiência no desenvolvimento de ferramentas de hacking para governos. Alguns concordam com Green, alguns discordam e alguns veem as duas coisas.

Luna Tong, pesquisadora que já trabalhou em duas empresas proeminentes que procuram bugs e desenvolvem explorações para ajudar os governos a invadir sistemas, concordou com Green, dizendo que há uma “corrida do ouro de bugs neste momento, mas é um fenômeno temporário e os bugs ficarão escassos novamente em breve”.

Outro pesquisador, que tem mais de uma década de experiência trabalhando em empresas de segurança ofensiva, disse estar preocupado que a IA possa tornar obsoletos os pesquisadores de segurança humana porque será muito mais difícil encontrar bugs e que os defensores acabarão por ter vantagem sobre os pesquisadores ofensivos. A pessoa pediu para não ser identificada para poder falar com mais liberdade.

“É claro que nenhum Estado irá descartar a possibilidade de vigilância”, disse Paolo Stagno, diretor de tecnologia da Crowdfense, uma conhecida empresa que desenvolve, adquire e vende vulnerabilidades desconhecidas – também conhecidas como zero-days – aos governos. Stagno explicou que o processo atual que exige que os governos explorem falhas de segurança para invadir dispositivos é o “sistema mais democrático que temos”, mas que o status quo pode não durar se os bugs se tornarem demasiado difíceis de encontrar.

Três outras pessoas que atualmente trabalham na indústria ofensiva de segurança cibernética, e uma que trabalhava, discordaram. Seus argumentos se resumem a: Bugs fáceis serão mais fáceis de encontrar; bugs mais complexos, que geralmente são mais valiosos e úteis para os governos, não desaparecerão; e a IA pode ajudar ativamente os pesquisadores que vendem bugs às autoridades governamentais.

Hamid Kashfi, que é o fundador da empresa de segurança ofensiva DarkCell e também trabalha na startup de segurança cibernética de IA Xbow, disse que “para cada bug de IA encontrado e relatado, provavelmente há 20 que não são relatados”. Kashfi explicou que os pesquisadores que não desejam relatar bugs aos fornecedores ainda podem encontrar bugs complexos e valiosos.

Dois dos pesquisadores que atualmente ganham a vida procurando bugs para empresas de dia zero disseram ao TechCrunch que estavam menos preocupados com a ascensão da IA ​​do que com uma série de novas proteções de segurança em dispositivos modernos que os tornam mais difíceis de hackear.

Eva Galperin, diretora de segurança cibernética da Electronic Frontier Foundation de direitos digitais e especialista em spyware governamental, disse que o crime tem vantagem hoje devido a uma combinação de IA ser altamente capaz de encontrar bugs e um aumento no número de vulnerabilidades introduzidas pelo “código vibratório” desenvolvido com ferramentas de IA.

Por outro lado, Galperin argumentou que encontrar mais bugs não significa necessariamente que mais bugs serão corrigidos com rapidez suficiente, ou mesmo que sejam corrigidos, visto que a correção pode ser um processo complexo. Galperin disse que ainda haverá um impulso renovado para backdoors em algum momento porque os regimes autoritários querem sempre “acesso excepcional”.

Katie Moussouris, que ajudou empresas grandes e pequenas a lidar com bugs relatados e corrigi-los por décadas, disse que “temos um longo caminho a percorrer antes que os telefones e laptops mais recentes estejam completamente livres de bugs”.

“Chegará um ponto em que será muito mais difícil encontrar bugs e isso poderá desencadear essas pressões para a criação de backdoors”, disse Moussouris, fundador e CEO da Luta Security.

“Acho que temos pelo menos até depois da próxima eleição presidencial antes que a comunidade de inteligência seja materialmente prejudicada o suficiente para forçar a criação de backdoors de forma séria”, disse Moussouris.