Relatório GTIG do Google separa uso indevido de IA por APTs da extração de modelos no setor privado

Duas categorias de ameaça, mantidas deliberadamente separadas

O post faz algo que a maioria das atualizações sobre segurança em IA costuma misturar: traça uma linha entre atores que usam IA para executar ataques e atores que atacam a própria IA. Sobre o primeiro caso, o GTIG diz ter observado atores de ameaça usando IA para coletar informações, criar o que chama de golpes de phishing 'super-realistas' e desenvolver malware.

Sobre o segundo caso, a linguagem é mais precisa. O Google declara não ter observado ataques diretos a modelos de fronteira ou produtos de IA generativa por parte de atores de ameaça persistente avançada (APT). Essa é uma afirmação específica e datada — um resultado negativo — e isso importa porque mostra de onde a pressão não está vindo, ao menos no período coberto pelo GTIG.

Extração de modelos é a ameaça que o Google decidiu nomear

A afirmação concreta do post é sobre ataques de extração de modelos, que o Google caracteriza como uma forma de espionagem corporativa. A empresa diz ter 'observado e mitigado tentativas frequentes' desse tipo, atribuindo-as não a grupos apoiados por Estados, mas a entidades do setor privado espalhadas pelo mundo.

observamos e mitigamos ataques frequentes de extração de modelos (um tipo de espionagem corporativa) por parte de entidades do setor privado em todo o mundo — uma ameaça que outras empresas com modelos de IA provavelmente enfrentarão em breve Montana Labs

Esse enquadramento merece atenção. Quem tenta copiar o modelo é, segundo o relato do Google, muitas vezes outra empresa, e não um governo hostil. E o Google prevê explicitamente que qualquer empresa que opere seus próprios modelos deve esperar a mesma pressão.

As respostas são específicas por modelo e por conta

O Google descreve dois tipos de ação. Primeiro, desativar contas associadas para interromper atividades maliciosas — uma medida operacional ligada ao acesso à plataforma. Segundo, reforçar tanto os controles de segurança quanto os modelos Gemini contra uso indevido, o que indica mudanças nos próprios modelos, não apenas na proteção em torno deles.

O post não traz números sobre quantas contas foram desativadas, com que frequência esses ataques 'frequentes' ocorrem, ou em que consistiu o reforço dos modelos. Esses detalhes, se existirem, ficam para o relatório completo no blog Google Cloud Threat Intelligence. Este post é um resumo e um indicativo.

O que uma equipe que hospeda modelos próprios deve levar disso

A implicação para qualquer organização que treina ou disponibiliza seus próprios modelos é o alerta sobre extração. O Google está avisando que os pesos e o comportamento de um modelo em produção são, em si, um alvo de roubo, independentemente de alguém tentar fazer jailbreak ou envenená-lo — e que os atacantes podem ser concorrentes comerciais.

Na prática, isso separa duas tarefas defensivas que muitas equipes tratam como uma só: proteger-se contra o uso indevido das saídas do modelo e proteger-se contra a reconstrução do próprio modelo por meio de consultas. O Google diz ter mitigado esse segundo caso. O post não explica como, então o aprendizado prático é mais limitado do que sugere o título — vale ler o relatório completo antes de supor que as mitigações se aplicam a uma implantação menor.