Quando a IA deixa o Laboratório: Modelos de Fronteira na Defesa Cibernética do Governo do Reino Unido
Quando a IA Deixa o Laboratório: Modelos de Fronteira na Defesa Cibernética do Governo do Reino Unido
Em 12 de junho de 2026, o Departamento de Ciência, Inovação e Tecnologia [DSIT] e o Centro Nacional de Segurança Cibernética [NCSC] do Reino Unido publicaram o estudo de caso "When AI Leaves the Lab". O texto registra 407 achados de vulnerabilidade em repositórios de código do governo, obtidos em um mês de testes com modelos de IA de fronteira, ao custo de £13.000 em tokens. A publicação descreve os resultados do teste de modelos fora do ambiente de simulação, em código em operação.
O Problema do Benchmark
O AI Security Institute [AISI], organização de pesquisa dentro do DSIT, publicou em 13 de abril de 2026 a avaliação do Claude Mythos Preview. Em desafios de captura de bandeira [capture the flag, CTF] de nível expert, tarefas que nenhum modelo concluía antes de abril de 2025, o modelo acerta 73%. Na simulação "The Last Ones" [TLO], um ataque de 32 etapas a uma rede corporativa, com estimativa de 20 horas de trabalho humano, o modelo resolve o percurso completo em 3 de 10 tentativas e conclui, em média, 22 etapas. O Claude Opus 4.6, segundo colocado, conclui, em média, 16 etapas.
O AISI registra os limites da medição. As simulações excluem defensores ativos e ferramentas de defesa. Ações que disparam alertas ficam isentas de penalidade. O instituto declara incerteza sobre o desempenho do Mythos Preview contra sistemas protegidos por defesa ativa. O estudo de caso parte da mesma lacuna: pontuação em benchmark e correção de vulnerabilidade em código real são resultados distintos.
Hackathons em Repositórios de Código Aberto
O Government Cyber Coordination Centre [GC3] conduziu hackathons presenciais semanalmente. Equipes usaram modelos de fronteira para varrer repositórios públicos de código de órgãos do governo, com apoio de especialistas do AISI e do NCSC. O objetivo era localizar e mitigar vulnerabilidades desconhecidas antes da exploração. O GC3 concedeu acesso aos modelos, deixou cada equipe construir a própria ferramenta e registrou, a cada semana, as abordagens que funcionaram.
A política do Reino Unido define código novo como aberto por padrão, com exceções justificadas. A abertura amplia a visibilidade que o atacante também usa. A abertura reduz duplicação e produz código de manutenção simples. Código publicado passou por escrutínio prévio. O envio a provedores de modelos dispensa uma revisão adicional extensa. Departamentos implantam capacidades com rapidez e confiança.
Três Arquiteturas de Pipeline
O GC3 deixou o método a cargo das equipes. O estudo descreve três estruturas.
Cadeia adversarial. Uma equipe passou cada repositório por um pipeline de agentes em seis estágios: triagem, validador, auditor, rastreador, juiz e resumo. Cada estágio lê e contesta o anterior. Em um caso, o agente rebaixou um achado ao constatar a existência de um mecanismo de backup. O pipeline era agêntico. O escalonamento era manual: um integrante da equipe verificou cada linha, reconfirmou a exposição e tratou os falsos positivos.
Scanners determinísticos alimentando um modelo. Outra equipe executou primeiro ferramentas tradicionais: Gitleaks, Trivy, Semgrep e Hadolint. O resultado formou um documento de achados ordenado por prioridade. Três estágios de modelo se sobrepuseram ao documento. O estágio de descoberta tratou a saída dos scanners como pistas e leu o código-fonte à luz dos referenciais OWASP e CWE. O estágio de investigação de cadeias compôs achados individuais em caminhos de ataque, por meio de subagentes por cadeia. O estágio de triagem confirmou a viabilidade do achado.
Skills reutilizáveis. Um departamento desenvolveu cinco Claude Skills de domínio específico. As Skills condensam uma auditoria de toda a organização, sobre centenas de serviços, em procedimento repetível. O procedimento padroniza escopo e método em cada repositório e para cada operador.
Abordagem | Estrutura | Controle |
|---|---|---|
Cadeia Adversarial | Seis estágios de agentes: triagem, validador, auditor, rastreador, juiz, resumo | Escalonamento manual com verificação linha a linha |
Scanners com Modelo | Gitleaks, Trivy, Semgrep e Hadolint, seguidos de três estágios de modelo: descoberta, investigação de cadeias, triagem | Estágio de triagem confirma a viabilidade do achado |
Skills Reutilizáveis | Cinco Skills de domínio, derivadas de auditoria sobre centenas de serviços | Escopo e método padronizados por repositório e por operador |
Resultados: 407 Achados em Nove Organizações
Os participantes identificaram 407 achados. O conjunto inclui fragilidades que expunham serviços a contorno de autenticação, exposição de dados e execução remota de código. Parte dos achados já tinha mitigação por controles compensatórios. Outra parte era desconhecida. O governo remediou todas as fragilidades críticas. A apuração registrou ausência de evidência de exploração em todos os achados.
Os modelos rastrearam vulnerabilidades entre fronteiras de serviço, tarefa fora do alcance dos scanners tradicionais. Os modelos ligaram a lógica de negócio ao detalhe técnico. Os departamentos priorizaram validação e remediação por meio de frameworks existentes e corrigiram as falhas de risco crítico e alto avaliadas como exploráveis. O custo somou £13.000 em tokens, em um mês, com nove organizações do governo.
Caso Crítico: GitHub Actions Legado
Um achado de destaque atingiu GitHub Actions legados em um repositório que sustenta um serviço digital-chave do governo. A falha permitia que um usuário externo disparasse uma cadeia de workflows com um comentário com estrutura específica em um pull request aberto. O comentário servia de gatilho. O fluxo contornava as proteções usuais para pull requests de contribuidores desconhecidos.
O impacto era a execução remota arbitrária de código no runner do GitHub Actions. O workflow extraía o conteúdo do comentário. O conteúdo seguia para os parâmetros de implantação. Uma etapa de substituição de ambiente, executada durante o fluxo, usava esse conteúdo. Com código executável no campo do comentário, o usuário externo fazia a própria entrada rodar no runner.
A falha abria caminho para a extração de segredos e tokens disponíveis ao workflow, incluindo o token do GitHub usado pela automação. Com acesso de tal nível, o problema poderia sustentar comprometimento do repositório: manipulação de pull requests, aprovação de atividade de workflow, alteração do status de contribuidor confiável, exploração de outros segredos do ambiente de automação.
Lições e Próxima Fase
A arquitetura determina o resultado. O ganho veio de modelos de fronteira usados como componentes de escopo restrito em um pipeline estruturado. A decomposição do fluxo tradicional de gestão de vulnerabilidades em harnesses específicos por tarefa permitiu escalar com controle de falsos positivos e alucinações.
A forma de uso supera a escolha do modelo. A pesquisa do AISI, confirmada no piloto, indica desempenho comparável entre vários modelos de fronteira e próximos da fronteira na varredura de código, quando a arquitetura e o desenho da tarefa são adequados. Os achados de maior valor dependeram de especialistas humanos para decompor o problema e identificar o contexto mais amplo.
A triagem sustenta a revisão humana. Agentes geram candidatos a achado em velocidade superior à da validação humana. A execução com escopo frouxo gasta tokens em alvos de baixo valor. Revisão frágil transfere a carga para equipes de segurança sobrecarregadas. Delimitação prévia e filtragem interna estruturada de achados de baixa confiança mantêm a revisão humana focada. O critério, como na gestão tradicional de vulnerabilidades, é a capacidade da triagem de direcionar o recurso escasso ao ponto relevante; a contagem de achados fica em segundo plano.
Achar difere de corrigir. Os achados precisam entrar no pipeline de correção. A IA promete ganhos na correção. Priorização, revisão e geração de patch precisam se integrar a processos centrados em pessoas e preservar a capacidade de análise humana.
Próxima fase. O GC3 iniciará a segunda fase do piloto, com mais departamentos, modelos adicionais e extensão do código público para acervos de código fechado. AISI e NCSC continuam a participar da avaliação da IA como ferramenta de defesa cibernética em contexto aplicado. A iniciativa implementa o Government Cyber Action Plan, publicado em 6 de janeiro de 2026 pelo DSIT, que define expectativas para a gestão de segurança e resiliência cibernética nas organizações do governo por meio de objetivos e resultados mensuráveis.
Conclusão
O piloto do GC3 mede a distância entre o benchmark e a redução de risco. A estrutura determinou o resultado: modelos como componentes, escopo delimitado, triagem, supervisão de especialista e separação entre achado e correção. O custo de £13.000 em tokens produziu 407 achados. O gargalo migrou para a validação.
Para o processo penal, o caso oferece um termo de comparação. A produção automatizada de indícios requer a separação entre a saída da máquina e a conclusão validada por pessoa, com critério de triagem declarado e verificação independente antes de qualquer efeito sobre direitos.
Mais uma coisa: antes de adotar ferramenta de IA em rotina com efeito sobre terceiros, pergunte quem verifica a saída e por qual critério.
Referências Bibliográficas
AI SECURITY INSTITUTE. Our evaluation of Claude Mythos Preview's cyber capabilities. AISI, [S. l.], 13 abr. 2026. Disponível em: https://www.aisi.gov.uk/blog/our-evaluation-of-claude-mythos-previews-cyber-capabilities. Acesso em: 27 out. 2026.
DEPARTMENT FOR SCIENCE, INNOVATION AND TECHNOLOGY. Government Cyber Action Plan. GOV.UK, [S. l.], 6 jan. 2026. Disponível em: https://www.gov.uk/government/publications/government-cyber-action-plan. Acesso em: 27 out. 2026.
DEPARTMENT FOR SCIENCE, INNOVATION AND TECHNOLOGY; NATIONAL CYBER SECURITY CENTRE. When AI Leaves the Lab: Testing Frontier Models in Government Cyber Defence. GOV.UK, [S. l.], 12 jun. 2026. Disponível em: https://www.gov.uk/government/case-studies/when-ai-leaves-the-lab-testing-frontier-models-in-government-cyber-defence. Acesso em: 27 out. 2026.
GOVERNMENT SECURITY GROUP. Government Cyber Coordination Centre [GC3]. UK Government Security, [S. l.], [s. d.]. Disponível em: https://www.security.gov.uk/services-resources/government-cyber-coordination-centre/. Acesso em: 27 out. 2026.