Quando a IA encontra um caminho através dos muros
De um alerta feito em 1973 a máquinas que desenvolvem códigos de comunicação e exploram canais físicos ocultos
Inteligência Artificial, Física, Teoria da Informação e Cibersegurança | Leitura estimada: 18 minutos
Resumo: A verdadeira importância dos recentes experimentos de segurança com inteligência artificial não está no fato de as máquinas terem inventado novas formas de física ou de comunicação. Está na capacidade crescente dos agentes de IA de identificar, adaptar e explorar mecanismos físicos e computacionais já existentes para superar restrições de segurança. Isso representa uma transição: de sistemas que aprendiam códigos de comunicação em experimentos controlados para agentes capazes de executar tarefas operacionais de cibersegurança. Um desenvolvimento que traz de volta o problema do confinamento computacional, formulado pela primeira vez em 1973.
Introdução
Em outubro de 2026, o problema dos canais ocultos de comunicação da IA ganhou contornos mais concretos quando a OpenAI divulgou um experimento que imediatamente chamou minha atenção. Dois agentes de inteligência artificial, operando em máquinas virtuais separadas, conseguiram trocar informações sem utilizar conexões convencionais de rede nem arquivos compartilhados com permissão de escrita.
A solução explorava diferenças minúsculas no tempo necessário para acessar a memória cache de um processador, transformando um componente comum de hardware em um canal oculto de comunicação.
O resultado despertou interesse porque parecia sugerir que as máquinas haviam inventado uma maneira inesperada de se comunicar. Mas o mecanismo físico envolvido já era conhecido, e o problema geral de segurança havia sido identificado mais de cinquenta anos antes.
O que torna esse experimento importante é uma distinção frequentemente ignorada nas discussões sobre inteligência artificial: inventar um código de comunicação, descobrir um canal de comunicação e explorar um canal existente são três coisas totalmente diferentes.
A primeira diz respeito à maneira como a informação é representada. A segunda envolve identificar um mecanismo capaz de transportá-la. A terceira consiste em transformar esse mecanismo em uma solução operacional, às vezes atravessando uma barreira deliberadamente projetada para impedir a comunicação.
Em 2026, o desenvolvimento mais significativo pertence sobretudo à terceira categoria. A inteligência artificial demonstra algo além da coordenação linguística: a capacidade de aplicar conhecimento técnico às vulnerabilidades de ambientes computacionais reais.
Para compreender por que isso importa, precisamos voltar a 1973.
1. Um alerta feito em 1973
Em outubro de 1973, Butler W. Lampson, então pesquisador do Palo Alto Research Center da Xerox, publicou um artigo curto, mas influente, na revista Communications of the ACM: A Note on the Confinement Problem.
Ele considerou uma situação simples. Um cliente precisa executar um programa desenvolvido por outra pessoa. Esse programa deve processar informações confidenciais, mas o cliente deseja impedir que o desenvolvedor tenha acesso a elas.
A solução aparentemente óbvia seria restringir as permissões do programa: nada de arquivos não autorizados, mensagens externas ou comunicação pela rede.
Lampson percebeu que isso não seria suficiente.
Considere uma simples fatura. Se um serviço de software consegue influenciar o valor cobrado por sua execução, poderia variar deliberadamente esse valor para codificar informações confidenciais. O desenvolvedor recuperaria a mensagem simplesmente examinando a fatura.
Nenhuma transferência não autorizada de arquivos seria necessária. Uma operação administrativa legítima teria se transformado em um mecanismo de comunicação.
Lampson distinguiu três categorias de vazamento de informações: canais de armazenamento, canais legítimos utilizados para transportar informações não previstas e canais ocultos (covert channels) que nunca haviam sido projetados para comunicação.
Um de seus exemplos mais reveladores envolvia a atividade computacional. Um programa poderia variar deliberadamente sua carga de processamento ou sua taxa de paginação de memória. Outro programa, compartilhando o mesmo computador, observaria as flutuações de desempenho resultantes e reconstruiria a mensagem transmitida.
Mesmo um canal sujeito a muito ruído poderia transportar informações se fossem utilizadas técnicas adequadas de codificação.
Lampson também examinou possíveis defesas, incluindo isolamento rigoroso, controle dos fluxos de informação e mecanismos capazes de impedir que programas manipulassem canais não autorizados. Ele reconheceu que eliminar todos os canais possíveis poderia ter um custo proibitivo. Em determinadas circunstâncias, limitar sua capacidade de transmissão seria uma solução mais viável.
Sua contribuição não foi a invenção de um ataque específico ao hardware. Foi o reconhecimento de uma fragilidade fundamental da segurança computacional: impedir a comunicação explícita não significa necessariamente impedir que a informação escape.
Essa observação antecipou problemas que se tornariam centrais para a computação em nuvem e, posteriormente, para a inteligência artificial autônoma.
2. Quando a computação se transforma em comunicação
Em 1976, Dorothy Denning ampliou os fundamentos teóricos da segurança computacional com A Lattice Model of Secure Information Flow.
Seu trabalho formalizou como as informações deveriam circular entre diferentes níveis de classificação de segurança e como fluxos não autorizados poderiam ser controlados.
O problema está intimamente relacionado à Teoria da Informação. Um canal de comunicação não exige necessariamente um cabo, um transmissor de rádio ou uma conexão com a internet. Basta uma grandeza física ou computacional mensurável que um sistema consiga influenciar e outro possa observar.
Temperatura, tempos de execução, emissões eletromagnéticas e disputas por recursos compartilhados podem transportar informações sob condições adequadas.
Nas décadas seguintes, pesquisadores desenvolveram técnicas para explorar esses efeitos.
Em 2014, Yuval Yarom e Katrina Falkner apresentaram o FLUSH+RELOAD, demonstrando como diferenças nos tempos de acesso à memória cache de um processador poderiam revelar informações sensíveis através de barreiras de segurança.
O mecanismo explorava uma propriedade conhecida da arquitetura de computadores: acessar dados já armazenados no cache de um processador geralmente é mais rápido do que recuperá-los de níveis mais lentos da memória.
Em março de 2015, pesquisadores da Universidade Ben-Gurion demonstraram outra possibilidade inesperada.
O experimento BitWhisper mostrou que dois computadores fisicamente separados, mas previamente comprometidos, poderiam trocar informações por meio do calor.
Um computador aumentava deliberadamente sua carga computacional, produzindo calor adicional. Outro, posicionado nas proximidades, media as variações de temperatura resultantes utilizando sensores internos.
Alternando períodos de aquecimento e resfriamento, os pesquisadores estabeleceram um canal binário de comunicação, capaz de transmitir aproximadamente um a oito bits por hora a distâncias de até quarenta centímetros.
A taxa de transmissão era extremamente baixa, mas a importância científica era evidente: computadores sem conexão de rede ainda podiam trocar informações por meio de interações físicas.
Esses pesquisadores não haviam descoberto novas leis da física. Haviam encontrado maneiras de explorar fenômenos físicos conhecidos, transformando variações no tempo de acesso à memória e na temperatura em canais de comunicação.
Mas calor e tempo são apenas parte da história. A computação também produz correntes elétricas variáveis e campos eletromagnéticos, criando outra possível rota para o escape de informações.
3. Quando circuitos comuns se transformam em transmissores de rádio
Em 1985, o pesquisador holandês Wim van Eck demonstrou que emissões eletromagnéticas produzidas por monitores de computador poderiam ser interceptadas e decodificadas para reconstruir as informações exibidas em suas telas.
Inicialmente, tratava-se de um problema de vazamento passivo de informações: o computador irradiava involuntariamente sinais que um observador externo conseguia detectar.
Pesquisadores posteriores demonstraram algo mais sofisticado. Em vez de apenas observar as emissões eletromagnéticas, desenvolveram programas capazes de modulá-las deliberadamente para transportar informações.
Em 2015, o GSMem explorou a atividade da memória do computador para gerar sinais detectáveis em frequências utilizadas por sistemas celulares. Em 2016, o USBee demonstrou como uma conexão USB comum poderia se tornar uma fonte de emissões de rádio controladas. Em 2024, o RAMBO mostrou que a atividade elétrica da memória RAM poderia transmitir informações codificadas a um receptor externo de rádio.
Esses experimentos não exigiam transmissores convencionais de Wi-Fi ou Bluetooth nos computadores comprometidos. Os próprios componentes eletrônicos forneciam o mecanismo físico, enquanto programas controlavam a informação codificada em suas emissões.
Havia, naturalmente, limitações práticas importantes: os sistemas precisavam estar previamente comprometidos, a recepção exigia equipamentos adequados e as características da transmissão dependiam fortemente do hardware e do ambiente.
Mesmo assim, os experimentos estabeleceram um princípio importante: circuitos eletrônicos projetados para computação podem, em determinadas condições, funcionar como dispositivos de comunicação não convencionais.
A evolução histórica é reveladora. Van Eck mostrou que emissões involuntárias podiam revelar informações; pesquisadores posteriores aprenderam a manipulá-las deliberadamente.
Todas essas técnicas foram desenvolvidas por pesquisadores humanos. Elas não demonstram que agentes de IA tenham descoberto independentemente a comunicação eletromagnética.
Sua relevância para a inteligência artificial está em outro aspecto: revelam a enorme variedade de mecanismos físicos que um sistema suficientemente capaz poderia reconhecer e, potencialmente, explorar.
O desafio já não é apenas saber se esses canais existem. É compreender até que ponto programas autônomos podem encontrar maneiras práticas de utilizá-los.
4. Quando a IA começou a desenvolver códigos de comunicação
Enquanto pesquisadores de cibersegurança investigavam canais físicos de comunicação, pesquisadores de inteligência artificial exploravam outro problema: as máquinas poderiam desenvolver suas próprias convenções de comunicação?
Em 16 de março de 2017, a OpenAI publicou Learning to Communicate, descrevendo experimentos de aprendizado por reforço nos quais agentes artificiais aprendiam a cooperar em ambientes simulados.
Os agentes dispunham de um meio para trocar mensagens, mas os pesquisadores não atribuíam significados completos, em linguagem humana, a cada símbolo. Em vez disso, recompensavam a coordenação bem-sucedida.
Durante o treinamento, os agentes desenvolveram vocabulários simples e compartilhados que os ajudavam a comunicar informações sobre objetos, posições e objetivos.
Alguns meses depois, pesquisadores do Facebook Artificial Intelligence Research atraíram considerável atenção com agentes conversacionais treinados para negociar a distribuição de objetos.
Durante experimentos de interação entre os próprios agentes, suas conversas começaram, em alguns casos, a se afastar do inglês convencional, produzindo padrões linguísticos repetitivos e incomuns.
Reportagens afirmaram que duas inteligências artificiais, popularmente conhecidas como Bob e Alice, haviam inventado uma linguagem secreta e, posteriormente, sido desligadas.
A realidade era menos dramática. Os agentes estavam otimizando o desempenho nas negociações. Quando o uso do inglês convencional não era suficientemente recompensado, sua comunicação podia se afastar da linguagem compreensível pelos humanos. Os pesquisadores ajustaram o treinamento porque desejavam sistemas capazes de negociar com pessoas.
Mesmo assim, esses experimentos ilustraram um fenômeno científico genuíno: convenções de comunicação podem emergir do aprendizado, em vez de serem inteiramente especificadas pelos programadores.
Isso se relaciona ao conceito de Neuralese, termo associado a códigos de comunicação gerados por máquinas e, de forma mais ampla, a representações internas que redes neurais conseguem processar sem traduzi-las para a linguagem humana convencional.
Entretanto, permanece uma distinção importante. Esses agentes desenvolveram códigos dentro de ambientes de comunicação deliberadamente disponibilizados pelos pesquisadores. Eles não descobriram independentemente um novo meio físico pelo qual transmitir suas mensagens.
A realização dizia respeito à representação da informação, não à infraestrutura de comunicação.
5. Uma linguagem não é um canal de comunicação
Um sistema de comunicação funcional envolve diversos componentes distintos.
Um sistema de codificação determina como a informação é representada. Um protocolo estabelece as convenções que governam sua troca. Um canal físico transporta os sinais entre os participantes.
Esses componentes estão relacionados, mas não são intercambiáveis.
Em fevereiro de 2025, o projeto GibberLink ofereceu uma demonstração curiosa.
Dois agentes conversacionais de IA começaram a falar em inglês. Depois de identificarem um ao outro como agentes artificiais, passaram a utilizar um protocolo de transmissão de dados por áudio, substituindo as frases faladas por sequências de tons sonoros codificados.
Para um ouvinte humano, a conversa parecia uma sequência incompreensível de sons produzidos por máquinas.
Mas os agentes não haviam inventado espontaneamente o protocolo acústico. Seus desenvolvedores os haviam instruído a mudar para a tecnologia GGWave, já existente, ao se comunicarem com outra IA compatível.
O GibberLink demonstrou a seleção e a utilização de um mecanismo de comunicação previamente definido, não sua invenção autônoma.
Essa distinção importa porque comunicações incomuns entre máquinas frequentemente são apresentadas como grandes descobertas, quando a realização efetiva pode envolver o aprendizado de uma convenção de codificação, a seleção de um protocolo existente ou a implementação de uma técnica conhecida.
Ela também revela por que os famosos experimentos de 2017 e os testes de segurança mais recentes da OpenAI investigam problemas fundamentalmente diferentes.
Quando Bob e Alice se afastaram do inglês convencional, a questão dizia respeito à forma e à interpretação das mensagens. O canal de comunicação já estava disponível; o que mudou foi a maneira como os agentes o utilizavam.
Mas o que acontece quando o próprio canal está indisponível?
Um agente pode saber exatamente que informação deseja transmitir e até possuir um esquema de codificação perfeitamente inteligível, mas continuar incapaz de alcançar outro sistema porque a comunicação convencional foi bloqueada.
Superar essa restrição exige algo além da adaptação linguística. O agente precisa investigar o ambiente computacional, identificar um mecanismo físico ou computacional utilizável e transformá-lo em um canal funcional de comunicação.
O problema deixou de ser como as máquinas representam a informação e passou a ser como conseguem fazê-la atravessar uma barreira criada para contê-la.
É exatamente nesse ponto que os experimentos da OpenAI em 2026 se tornam significativos.
6. Do aprendizado de linguagens à engenharia de exploração de vulnerabilidades
A transição da comunicação emergente para a exploração operacional representa uma mudança substancial nas capacidades que estão sendo avaliadas.
Nos experimentos de 2017, agentes artificiais aprendiam convenções de comunicação em ambientes simulados, construídos pelos pesquisadores. Nas avaliações de segurança de 2026, os agentes recebiam objetivos a serem alcançados em ambientes computacionais restritos, nos quais o sucesso poderia depender da compreensão de software, hardware e barreiras de segurança.
A questão já não era saber se as máquinas conseguiriam desenvolver um vocabulário útil. Era descobrir se poderiam tornar a comunicação possível quando os canais previstos haviam sido deliberadamente fechados.
Em 23 de outubro de 2026, a OpenAI publicou Securing Our Frontier Model Training Environment, documentando extensas avaliações adversariais de segurança de sua infraestrutura interna de pesquisa.
Equipes de agentes avançados de IA receberam objetivos que envolviam identificar vulnerabilidades, atravessar barreiras de isolamento e estabelecer comunicações não autorizadas.
Em um dos experimentos, agentes operando em micromáquinas virtuais separadas, hospedadas no mesmo hardware físico, receberam a tarefa de trocar informações sintéticas confidenciais sem utilizar conexões convencionais de rede ou arquivos compartilhados com permissão de escrita.
Eles exploraram os tempos de acesso à memória cache do processador.
Um agente removia deliberadamente determinadas informações da cache. Outro media quanto tempo levava para recuperá-las. Diferenças entre acessos relativamente rápidos e lentos tornaram-se sinais distinguíveis.
Com um protocolo de codificação previamente acordado, os agentes conseguiam trocar informações através de uma barreira que deveria manter seus ambientes separados.
Esses experimentos ilustram por que os canais ocultos de comunicação em IA estão se tornando uma preocupação relevante para a engenharia de sistemas. A novidade não está na descoberta de novas leis físicas, mas na capacidade crescente de agentes autônomos de reconhecer e explorar mecanismos de comunicação que as barreiras convencionais de segurança pretendiam restringir.
O princípio físico já era conhecido. Canais laterais baseados em memória cache haviam sido investigados durante anos, inclusive nas pesquisas que fundamentaram o FLUSH+RELOAD.
O experimento também envolvia uma ressalva importante quanto à autonomia.
Na maioria dos testes de comunicação, os pesquisadores orientaram os agentes em direção a determinados canais ou forneceram protocolos. Eram avaliações de segurança deliberadamente construídas, não tentativas espontâneas de máquinas de se comunicarem secretamente.
Em um dos testes, entretanto, os agentes receberam uma lista mais ampla de vulnerabilidades de infraestrutura, em vez de instruções que identificassem um canal específico de comunicação. Eles selecionaram uma vulnerabilidade utilizável, desenvolveram um esquema compartilhado de codificação e conseguiram trocar informações.
Isso representou um grau maior de independência operacional, embora os agentes ainda estivessem trabalhando para alcançar um objetivo explicitamente definido, com informações fornecidas pelos pesquisadores.
A distinção é crucial.
Os agentes não inventaram um novo fenômeno físico. Demonstraram capacidade de converter possibilidades técnicas conhecidas em soluções funcionais, dentro das condições do experimento.
A campanha mais ampla de segurança da OpenAI também identificou vulnerabilidades de software anteriormente desconhecidas, uma realização diferente da exploração de uma categoria já estudada de canais laterais.
Aqui podemos identificar a verdadeira transição nas capacidades da IA.
Nos experimentos de comunicação de 2017, agentes aprendiam convenções simbólicas dentro de ambientes simulados construídos por humanos.
Nos experimentos de segurança de 2026, agentes executavam tarefas de engenharia envolvendo software real, configurações de sistemas, comportamento do hardware e barreiras de segurança.
A evolução vai de agentes que aprendem a representar informações para agentes que aprendem a fazê-las atravessar uma barreira operacional.
Isso não significa afirmar que a IA tenha se tornado um invasor autônomo irrestrito. Os experimentos foram orientados, monitorados e conduzidos em ambientes preparados especificamente para esses testes.
Mas demonstram que atividades antes dependentes de conhecimento humano especializado — investigar um ambiente, identificar um mecanismo aplicável, escrever código, testar hipóteses e aperfeiçoar uma implementação — podem ser realizadas cada vez mais por agentes de IA.
Essa mudança se relaciona ao problema mais amplo dos agentes autônomos interagindo com infraestruturas digitais reais.
À medida que os agentes adquirem capacidade de executar código, manipular arquivos, inspecionar sistemas e coordenar ações, as vulnerabilidades se tornam mais relevantes, porque sua exploração pode passar a integrar um processo automatizado de resolução de problemas.
O sistema que está sendo confinado pode agora possuir competência técnica suficiente para investigar as próprias restrições impostas a ele.nical competence to investigate the restrictions imposed upon it.
7. Podemos realmente conter uma IA?
Seria tentador concluir que uma inteligência artificial suficientemente capaz não pode ser contida.
Não acredito que as evidências justifiquem uma afirmação tão categórica.
A existência de um possível canal físico não garante que ele possa ser convertido em um mecanismo prático de comunicação. Sua exploração depende do acesso a recursos compartilhados, da intensidade dos sinais, da precisão das medições, do ruído, da largura de banda e da arquitetura de segurança envolvida.
Existe uma diferença enorme entre um canal térmico que transmite alguns bits por hora e um acesso irrestrito à rede.
Separação física, particionamento de hardware, permissões restritas, interfaces controladas e monitoramento independente podem reduzir significativamente as oportunidades de comunicação não autorizada.
Mesmo assim, os experimentos da OpenAI ilustram por que é perigoso depender de uma única barreira de segurança.
Um ambiente isolado, ou sandbox, pode impedir com sucesso o tráfego convencional de rede e, ainda assim, manter disponíveis recursos compartilhados não previstos. Um componente comprometido pode oferecer acesso a outro que se supunha suficientemente isolado.
Por isso, o confinamento exige cada vez mais uma estratégia de defesa em profundidade: múltiplas proteções parcialmente independentes, projetadas para que a falha de uma barreira não comprometa automaticamente todo o sistema.
Isso também fortalece o argumento em favor de arquiteturas independentes de supervisão, nas quais o monitoramento dos agentes autônomos é separado da infraestrutura que eles podem manipular diretamente.
Existe ainda uma preocupação complementar. Mesmo quando a comunicação ocorre por canais autorizados, instruções maliciosas podem influenciar um agente que não consiga distinguir comandos confiáveis de informações não confiáveis. Esse é o problema explorado em pesquisas sobre a propagação de informações maliciosas entre agentes de IA.
Os dois problemas não devem ser confundidos. Canais ocultos dizem respeito aos caminhos pelos quais a informação pode circular; ataques de injeção de instruções, ou prompt injection, dizem respeito à autoridade que o sistema receptor atribui a essa informação.
Uma arquitetura segura de inteligência artificial precisa enfrentar ambos.
Em última análise, o objetivo da engenharia não é antecipar todas as técnicas que um agente possa desenvolver. É construir sistemas que permaneçam robustos quando agentes descobrirem vulnerabilidades que seus desenvolvedores não haviam previsto.
Conclusão: Os muros nunca foram absolutos
O que mais me fascina nesses desenvolvimentos é a continuidade do problema científico subjacente.
Em 1973, Butler Lampson reconheceu que informações poderiam escapar por mecanismos nunca destinados à comunicação. Dorothy Denning ajudou posteriormente a formalizar como a informação atravessa barreiras de segurança. Pesquisadores que vieram depois demonstraram técnicas práticas baseadas na memória cache de processadores, em variações térmicas e em emissões eletromagnéticas.
Enquanto isso, pesquisadores de inteligência artificial mostraram que agentes poderiam desenvolver convenções de comunicação sem depender da linguagem humana.
Os experimentos da OpenAI em 2026 não transformaram essas realizações distintas em uma nova descoberta física. Eles as reuniram em um contexto tecnológico diferente.
A distinção importante está entre ampliar aquilo que sabemos e ampliar aquilo que as máquinas conseguem fazer com o conhecimento que já possuímos.
Inventar um mecanismo cria uma nova possibilidade técnica. Explorar um mecanismo existente demonstra a capacidade de transformar essa possibilidade em ação efetiva.
Agentes de IA cada vez mais capazes estão começando a automatizar o segundo processo e, em determinados contextos, também podem ajudar a descobrir vulnerabilidades anteriormente desconhecidas.
As implicações não exigem especulações sobre consciência artificial ou intenções independentes das máquinas. Elas decorrem de um desenvolvimento mais concreto: programas capazes de raciocinar sobre seu ambiente também podem se tornar capazes de investigar e explorar as barreiras destinadas a restringi-los.
Há mais de cinquenta anos, Lampson perguntou como impedir que um programa não confiável transmitisse informações para fora de seu ambiente autorizado.
A pergunta continua surpreendentemente atual. O que mudou foi a capacidade técnica dos programas que estamos tentando confinar.
Podemos desconectar um computador de uma rede, mas não podemos desconectar a computação da física.
E, à medida que a inteligência artificial se torna mais capaz de explorar esse mundo físico, um problema reconhecido há mais de cinquenta anos adquire uma urgência inteiramente nova.
Glossário
Agente autônomo de IA (Autonomous AI Agent): Sistema de inteligência artificial capaz de executar sequências de ações para alcançar objetivos definidos, incluindo o uso de ferramentas, a execução de código, a análise do ambiente e a coordenação com outros agentes.
Air Gap (isolamento de rede): Separação física de um computador ou sistema em relação a redes externas, especialmente aquelas consideradas não confiáveis. Mesmo um computador completamente desconectado de redes pode apresentar vazamentos de informação por mecanismos físicos, como calor e emissões eletromagnéticas.
Aprendizado por reforço (Reinforcement Learning): Método de aprendizado de máquina no qual um agente aprende por meio de interações com o ambiente, orientado por recompensas ou outros sinais de avaliação. Foi utilizado em experimentos pioneiros de comunicação emergente entre agentes de IA.
Auditoria independente de software (Software-Independent Audit): Abordagem de auditoria eleitoral na qual um erro ou uma alteração maliciosa no software não pode modificar silenciosamente o resultado de uma eleição sem que exista uma possibilidade razoável de detecção por evidências independentes daquele software.
Banda ISM (Industrial, Scientific and Medical): Conjunto de faixas de radiofrequência destinadas internacionalmente a aplicações industriais, científicas e médicas, com outros usos permitidos conforme a regulamentação aplicável. Alguns dispositivos experimentais de comunicação por rádio, incluindo o TURNIPSCHOOL, operam nessas faixas.
BitWhisper: Técnica experimental de comunicação oculta por calor, demonstrada em 2015, na qual computadores próximos e previamente comprometidos trocam informações provocando variações deliberadas de temperatura e medindo seus efeitos. Sua taxa de transmissão era de aproximadamente 1 a 8 bits por hora.
Boletim de Urna (BU): Documento oficial produzido pela urna eletrônica brasileira com os resultados agregados da votação em uma seção eleitoral. Não contém registros que associem individualmente os eleitores aos candidatos escolhidos.
Cache / Cache L3: Memória de alta velocidade utilizada para reduzir o tempo necessário para o processador acessar dados. A cache de último nível, frequentemente chamada de L3, pode ser compartilhada por vários núcleos de processamento, criando oportunidades para interações observáveis entre processos que deveriam permanecer isolados.
Canal de comunicação por tempo de acesso à cache (Cache-Timing Channel): Mecanismo de comunicação ou vazamento que explora diferenças mensuráveis nos tempos de acesso à memória cache do processador. Essas diferenças podem revelar atividades internas ou, quando manipuladas deliberadamente, codificar informações.
Canal de armazenamento (Storage Channel): Mecanismo de comunicação no qual informações são transmitidas por alterações em um estado ou recurso compartilhado que outro processo consegue observar. Mesmo operações legítimas de armazenamento podem transportar informações não previstas.
Canal lateral (Side Channel): Fonte indireta de informações sobre a atividade interna de um sistema, como tempo de execução, consumo de energia, comportamento da cache ou emissões eletromagnéticas. Quando um mecanismo desse tipo é deliberadamente utilizado para comunicação, também pode funcionar como canal oculto.
Canal lateral físico (Physical Side Channel): Caminho indireto pelo qual informações se tornam observáveis devido a efeitos físicos produzidos durante a computação, incluindo variações de temperatura, radiação eletromagnética, consumo elétrico e emissões acústicas.
Canal oculto (Covert Channel): Mecanismo que utiliza recursos computacionais ou efeitos físicos não destinados originalmente à comunicação entre os participantes, permitindo potencialmente a transmissão de informações através de uma barreira de segurança.
Canal oculto térmico (Thermal Covert Channel): Mecanismo de comunicação que codifica informações por meio de alterações controladas de temperatura ou da produção de calor. O BitWhisper é um exemplo experimental conhecido.
Capacidade do canal / Largura de banda (Channel Capacity / Bandwidth): A largura de banda descreve a faixa de frequências disponível para um sinal ou, informalmente, a taxa de transmissão de um canal. A capacidade do canal é a taxa teórica máxima na qual informações podem ser transmitidas de maneira confiável sob determinadas condições.
Chave criptográfica (Cryptographic Key): Valor utilizado por algoritmos criptográficos para cifrar, decifrar, autenticar ou assinar digitalmente informações. O sigilo, a distribuição, o armazenamento e o gerenciamento dessas chaves são fundamentais para a segurança de um sistema.
Cisão de recursos da cache (Cache Eviction): Remoção ou substituição de dados armazenados na memória cache de um processador. Provocar essas substituições deliberadamente pode modificar os tempos de acesso posteriores e estabelecer um mecanismo de comunicação baseado em diferenças temporais.
COTTONMOUTH-I: Implante de hardware USB descrito em um catálogo técnico da NSA datado de 2008 e divulgado publicamente em 2013. A documentação apresenta componentes USB combinados com recursos de comunicação por radiofrequência. O catálogo, por si só, não constitui verificação independente de utilização operacional.
Codificação e decodificação (Encoding / Decoding): A codificação transforma informações em uma representação adequada para armazenamento ou transmissão. A decodificação reconstrói a informação original a partir dessa representação, desde que o receptor conheça o sistema de codificação utilizado.
Comunicação emergente (Emergent Communication): Convenções de comunicação desenvolvidas por meio do aprendizado e da interação, em vez de serem completamente especificadas pelos programadores. Agentes podem aprender símbolos ou representações compartilhadas quando a comunicação melhora seu desempenho.
Defesa em profundidade (Defense in Depth): Estratégia de segurança baseada em múltiplas camadas de proteção parcialmente independentes. Seu objetivo é impedir que a falha de uma única barreira comprometa todo o sistema.
Emissões eletromagnéticas (Electromagnetic Emissions): Campos eletromagnéticos gerados pela atividade elétrica dos circuitos eletrônicos. Sob determinadas condições, essas emissões podem revelar informações ou ser deliberadamente moduladas para transmitir dados codificados.
Embaralhamento de votos (Vote Shuffling / Randomization): Processo de reorganização dos registros de votos para impedir a reconstrução de sua sequência original. Fragilidades nesse mecanismo contribuíram para os resultados dos testes de segurança das urnas brasileiras realizados em 2012.
Execução em ambiente isolado (Sandbox): Ambiente computacional restrito, projetado para limitar os recursos e as operações disponíveis a programas ou agentes de inteligência artificial. O isolamento pode restringir arquivos, redes e chamadas ao sistema operacional, mas não elimina automaticamente todos os canais de comunicação existentes no hardware compartilhado.
Exfiltração de dados (Exfiltration): Extração ou transmissão não autorizada de informações de um sistema. Pode ocorrer por redes convencionais, mídias removíveis, emissões físicas ou canais ocultos de comunicação.
FLUSH+RELOAD: Técnica de canal lateral baseada na memória cache de processadores, apresentada por Yuval Yarom e Katrina Falkner em 2014. Utiliza a remoção de dados da cache e a medição dos tempos de acesso à memória para inferir atividades envolvendo memória compartilhada. Seus princípios também podem fundamentar mecanismos de comunicação oculta.
GGWave: Tecnologia de código aberto para transmissão de dados por ondas sonoras. Codifica informações digitais em sinais acústicos que podem ser interpretados por um receptor compatível. Foi utilizada na demonstração GibberLink, sem que os agentes envolvidos precisassem inventar um novo mecanismo acústico.
GibberLink: Demonstração de 2025 na qual agentes conversacionais de inteligência artificial passaram da linguagem falada para um protocolo acústico de transmissão de dados após reconhecerem que estavam se comunicando com outra IA compatível. A mudança de protocolo havia sido implementada previamente pelos desenvolvedores.
GSMem: Técnica experimental de exfiltração de informações através de isolamento de rede, apresentada em 2015. Manipula a atividade da memória do computador para produzir emissões eletromagnéticas detectáveis em faixas de frequência associadas às comunicações celulares GSM, sem exigir um transmissor celular convencional na máquina comprometida.
Integridade do software (Software Integrity): Garantia de que um programa e seus componentes não foram modificados sem autorização. Os mecanismos de integridade incluem verificação criptográfica, processos controlados de desenvolvimento, distribuição segura e testes independentes.
Injeção de instruções (Prompt Injection): Ataque no qual conteúdo não confiável tenta influenciar o comportamento de um sistema de IA ao ser interpretado como instruções. Diferentemente dos canais ocultos, o problema central da injeção de instruções é a autoridade atribuída às informações recebidas, e não o caminho físico pelo qual são transmitidas.
Isolamento e particionamento de hardware (Hardware Isolation / Partitioning): Separação de recursos computacionais, como processadores, memória e periféricos, para reduzir interferências e trocas não autorizadas de informações entre cargas de trabalho. Sua eficácia depende da arquitetura física e dos recursos que permanecem compartilhados.
Keylogger (registrador de teclado): Dispositivo ou programa destinado a registrar a atividade do teclado. Em avaliações de segurança, seu monitoramento é relevante porque a sequência de teclas pressionadas pode revelar informações confidenciais mesmo quando o computador não possui conexão com redes externas.
Malware (software malicioso): Programa desenvolvido para executar ações prejudiciais ou não autorizadas, incluindo espionagem, roubo de dados, interrupção de serviços e manipulação de sistemas. O vírus ICE-9, apresentado em Person of Interest, é um exemplo ficcional, não uma família documentada de malware real.
Máquina virtual (Virtual Machine — VM): Ambiente computacional definido por software que funciona sobre um equipamento físico. Máquinas virtuais podem isolar sistemas operacionais e aplicações, mas ainda podem interagir indiretamente por meio de recursos físicos compartilhados.
Micromáquina virtual (Micro-virtual Machine — microVM): Máquina virtual leve, projetada para oferecer isolamento computacional com menor sobrecarga de recursos. Diferentes microVMs podem compartilhar componentes físicos, como a memória cache do processador, tornando a segurança dependente de mais fatores do que o isolamento por software.
Modulação (Modulation): Variação deliberada de uma propriedade física de um sinal, como amplitude, frequência, fase, temperatura ou duração, para codificar informações. Experimentos com canais ocultos frequentemente adaptam princípios convencionais de modulação a mecanismos físicos pouco usuais.
Neuralese: Termo associado a códigos de comunicação aprendidos por agentes neurais e, em sentido mais amplo, às representações internas utilizadas por redes neurais. Não designa uma linguagem universal compartilhada por todos os sistemas de inteligência artificial.
Paginação de memória (Memory Paging): Mecanismo de gerenciamento de memória que organiza, transfere ou mapeia páginas de dados entre recursos de memória. Variações na atividade de paginação podem modificar o desempenho observável de um sistema e foram consideradas por Lampson entre os possíveis mecanismos de vazamento de informações.
Problema do confinamento (Confinement Problem): Desafio de segurança formulado por Butler Lampson em 1973: impedir que um programa não confiável transmita informações confidenciais para fora de seu ambiente autorizado, inclusive por mecanismos de comunicação não previstos.
Protocolo (Protocol): Conjunto de convenções que estabelece como informações são estruturadas, transmitidas, recebidas e interpretadas. Um protocolo de comunicação é distinto tanto do canal físico que transporta os sinais quanto do conteúdo transmitido.
RAMBO: Técnica experimental apresentada em 2024 que demonstra como a atividade controlada da memória RAM pode produzir sinais eletromagnéticos capazes de codificar informações para um receptor externo de rádio, potencialmente permitindo sua extração de computadores isolados de redes.
Rádio definido por software (Software-Defined Radio — SDR): Equipamento de rádio no qual parte significativa do processamento de sinais é realizada por programas, em vez de circuitos eletrônicos dedicados. Receptores SDR são frequentemente utilizados em pesquisas para detectar e analisar sinais de comunicação eletromagnética não convencionais.
Registro Digital do Voto (RDV): Arquivo produzido pela urna eletrônica brasileira que armazena os votos registrados, utilizando mecanismos destinados a impedir sua associação à ordem cronológica ou à identidade dos eleitores.
Registro físico do voto verificável pelo eleitor (Voter-Verified Paper Audit Trail — VVPAT): Registro físico do voto que pode ser conferido pelo eleitor antes de ser depositado ou armazenado para auditoria. Seu objetivo é permitir a verificação de resultados eletrônicos utilizando evidências independentes do software.
Self-Play (autojogo ou treinamento entre agentes): Método de treinamento no qual agentes artificiais aperfeiçoam seu comportamento interagindo com outras instâncias ou versões de si mesmos. Pode produzir convenções inesperadas de comunicação quando a coordenação ou a negociação bem-sucedida é recompensada.
Segurança do fluxo de informações (Information Flow Control): Conjunto de políticas e mecanismos que determinam como informações podem circular entre componentes ou diferentes classificações de segurança. O modelo de reticulados proposto por Dorothy Denning em 1976 estabeleceu uma estrutura formal influente para analisar essas restrições.
Segredo sintético (Synthetic Secret): Informação confidencial artificialmente gerada para utilização em testes de segurança. Permite avaliar transferências não autorizadas sem expor dados sensíveis reais.
SPECTER: Proposta de pesquisa apresentada em 2026 sobre exfiltração de informações de computadores isolados por meio de modulação controlada da energia elétrica em interfaces USB. Ilustra a investigação contínua de caminhos físicos não convencionais para a transmissão de dados.
Timestamp (marca temporal): Registro de data e horário associado a determinado evento. Marcas temporais são úteis para auditoria e diagnóstico, mas sua correlação com outras bases de dados pode produzir riscos à privacidade.
TLS (Transport Layer Security): Protocolo criptográfico utilizado para proteger comunicações em redes, incluindo conexões HTTPS. Caches ou recursos compartilhados associados ao TLS podem, em determinadas circunstâncias, oferecer mecanismos de comunicação oculta, sem que isso signifique que a criptografia do próprio protocolo tenha sido quebrada.
Transmissão acústica de dados (Acoustic Data Transmission): Transmissão de informações digitais por meio de ondas sonoras. Os dados podem ser codificados em sequências de tons audíveis ou ultrassônicos e recuperados por um receptor compatível.
Tribunal de Contas da União (TCU): Instituição brasileira responsável pelo controle externo e pela fiscalização da administração pública federal. Suas auditorias incluem avaliações de aspectos de segurança, transparência e auditabilidade do processo eleitoral.
Tribunal Superior Eleitoral (TSE): Órgão máximo da Justiça Eleitoral brasileira, responsável pela organização, regulamentação e fiscalização do sistema eleitoral, incluindo os procedimentos de votação eletrônica e os testes de segurança.
TURNIPSCHOOL: Implante experimental de hardware USB demonstrado por pesquisadores de segurança em 2015. Incorporava componentes USB, um microcontrolador e uma interface de rádio, demonstrando como um cabo aparentemente comum poderia ocultar um dispositivo de comunicação.
USBee: Técnica experimental apresentada em 2016 que permite transmitir informações de um computador isolado por meio da modulação deliberada da atividade elétrica de dispositivos USB, produzindo emissões eletromagnéticas detectáveis. Diferentemente de um implante USB com rádio, não exige um transmissor dedicado.
Verificação adversarial de segurança (Adversarial Security Testing): Avaliação sistemática de um sistema por meio de tentativas controladas de identificar e explorar vulnerabilidades. Esses testes ajudam a revelar fragilidades, mas não podem provar a inexistência de todas as falhas possíveis.
Referências e leituras complementares
Pesquisas fundamentais e fontes técnicas
- Lampson, Butler W. (1973). “A Note on the Confinement Problem.” Communications of the ACM 16, no. 10: 613–615. https://doi.org/10.1145/362375.362389.
- Denning, Dorothy E. (1976). “A Lattice Model of Secure Information Flow.” Communications of the ACM 19, no. 5: 236–243. https://doi.org/10.1145/360051.360056.
- van Eck, Wim. (1985). “Electromagnetic Radiation from Video Display Units: An Eavesdropping Risk?.” Computers & Security 4, no. 4: 269–286. DOI: 10.1016/0167-4048(85)90046-X.
- National Security Agency (NSA). (2008; divulgado publicamente em 2013). “COTTONMOUTH-I: ANT Product Data.” Documento histórico de catálogo técnico que descreve um implante USB com radiofrequência. As capacidades anunciadas não equivalem a uma demonstração operacional independente.
- Yarom, Yuval, e Katrina Falkner. (2014). “FLUSH+RELOAD: A High Resolution, Low Noise, L3 Cache Side-Channel Attack.” Em Proceedings of the 23rd USENIX Security Symposium, 719–732. USENIX Association.
- Spill, Dominic, Michael Ossmann e Jared Boone. (2015). “NSA Playset: USB Tools.” ShmooCon XI Proceedings. Inclui o projeto, a construção e a demonstração do TURNIPSCHOOL, um cabo USB experimental com interface de rádio oculta.
- Guri, Mordechai, Matan Monitz, Yisroel Mirski e Yuval Elovici. (2015). “BitWhisper: Covert Signaling Channel between Air-Gapped Computers Using Thermal Manipulations.” Em Proceedings of the 28th IEEE Computer Security Foundations Symposium (CSF), 276–289. IEEE. https://doi.org/10.1109/CSF.2015.26.
- Guri, Mordechai, Assaf Kachlon, Ofer Hasson, Gabi Kedma, Yisroel Mirsky e Yuval Elovici. (2015). “GSMem: Data Exfiltration from Air-Gapped Computers over GSM Frequencies.” Em Proceedings of the 24th USENIX Security Symposium, 849–864. USENIX Association.
- Guri, Mordechai, Matan Monitz e Yuval Elovici. (2016). “USBee: Air-Gap Covert-Channel via Electromagnetic Emission from USB.” Em Proceedings of the 14th Annual Conference on Privacy, Security and Trust (PST), 264–268. IEEE. https://doi.org/10.1109/PST.2016.7906972.
- OpenAI. (16 de março de 2017). “Learning to Communicate.” OpenAI Research.
- Lewis, Mike, Denis Yarats, Yann N. Dauphin, Devi Parikh e Dhruv Batra. (2017). “Deal or No Deal? End-to-End Learning of Negotiation Dialogues.” Em Proceedings of the 2017 Conference on Empirical Methods in Natural Language Processing (EMNLP), 2443–2453. Association for Computational Linguistics. https://doi.org/10.18653/v1/D17-1259.
- Guri, Mordechai. (2024). “RAMBO: Leaking Secrets from Air-Gap Computers by Spelling Covert Radio Signals from Computer RAM.” Preprint arXiv:2409.02292.
- Starkov, Boris, e Anton Pidkuiko. (2025). “GibberLink: AI Agent-to-Agent Communication.” Projeto de software de código aberto e demonstração. GitHub.
- Choi, Hyeongjun, Ji Hyuk Jung e Ji Won Yoon. (2026). “SPECTER: Covert Data Exfiltration from Air-Gapped Systems via USB Power Modulation.” Preprint arXiv:2610.28401. Submetido em 20 de outubro de 2026.
- OpenAI. (23 de outubro de 2026). “Securing Our Frontier Model Training Environment.” OpenAI.
Artigos relacionados — AI-Talks.org
- Pinheiro, Maurício Veloso Brant. (16 de março de 2026). “AI Agents of Chaos: When Autonomy Breaks Things.” AI-Talks.org.
- Pinheiro, Maurício Veloso Brant. (28 de junho de 2026). “What Is Neuralese? AI’s Latent Language Explained.” AI-Talks.org.
- Pinheiro, Maurício Veloso Brant. (18 de agosto de 2026). “The AI Watchdog: Who Decides When an Autonomous Agent Must Stop?.” AI-Talks.org.
- Pinheiro, Maurício Veloso Brant. (30 de agosto de 2026). “The Next Computer Virus May Not Be Code. It May Be an Idea.” AI-Talks.org.
Maurício Veloso Brant Pinheiro, PhD
Professor of Physics, Federal University of Minas Gerais (UFMG)
Founder, Author and Editor, AI-Talks.org
About Us
Editorial transparency note: This article, as with all articles published on this site, was conceived, directed, written, and reviewed by Prof. Maurício Veloso Brant Pinheiro. Artificial intelligence was used as an assistant for editorial refinement, formatting, image generation, SEO metadata, and publication workflow.
Copyright 2026 AI-Talks.org
