Quem guarda o portão?

Na segurança, quem guarda o portão acaba por mandar na casa. Juvenal já perguntava quem guarda os guardas, e a Inteligência Artificial deu à pergunta uma actualidade inesperada.

A 21 de Outubro, vários governos europeus desligaram à pressa sites públicos. Duas falhas críticas no PHP, linguagem que sustenta boa parte da web, descobertas com ajuda da IA, permitiam controlar um servidor sem palavra-passe. Nos Países Baixos saíram do ar os sites do Porto de Roterdão e de hospitais, e até o centro nacional de cibersegurança fechou a porta.

Paul Krugman viu no episódio um aviso. Num texto que abre com a oligarquia, explica que a IA lê código com uma paciência que nenhum pirata tem, encontra falhas com décadas e faz de cada correcção publicada um mapa contra quem ainda não actualizou. A internet aberta tornar-se-ia insustentável e fechar-se-ia em condomínios, como o dos pais dele, onde só entrava quem estivesse na lista do porteiro. E ficaríamos mais pobres.

O diagnóstico exagera. A IA que encontra falhas é a mesma que as corrige. Descobertas em Agosto, só foram divulgadas com a correcção, em Outubro. O sistema reagiu, não colapsou.

A questão não é se a IA favorece o atacante, mas quem a adopta mais depressa. Quatro dias antes da divulgação, já alguém tentava explorar estas falhas. E os atacantes que contam não são piratas solitários, são serviços de Estados que usam as mesmas ferramentas. Num ponto, Krugman acerta: quem actualiza devagar, municípios, hospitais, pequenas empresas, fica cada vez mais exposto. A correcção tem um preço que nem todos podem pagar.

Falta-lhe, porém, o essencial. Fala de oligarquia e de condomínios sem os ligar, e não pergunta quem será o porteiro. A resposta já existe. À porta, a Cloudflare filtra o tráfego de cerca de um em cada cinco sites. Por baixo, três empresas, Amazon, Microsoft e Google, controlam perto de dois terços da nuvem. A desordem dos ataques empurra para a concentração, porque a segurança é um custo fixo alto que um gigante dilui por milhões de clientes e uma autarquia ou uma pequena loja não suporta. Resta-lhes entregar o portão a um gigante ou esperar pelo próximo ataque. Cada vaga acelera a migração, e cada migração reforça quem a recebe. Anarquia e oligarquia não são opostos: uma alimenta a outra.

Repare-se no circuito. A Wiz, que ajudou a encontrar as falhas com a IA da casa-mãe, pertence desde Março à Google, que vende a nuvem onde os sites, assustados, se abrigam. Quem descobre e quem vende o abrigo são cada vez mais os mesmos. Não é preciso imaginar conspirações. Basta seguir os incentivos.

Dir-se-á que os grandes protegem melhor, e no dia-a-dia é verdade. Mas um condomínio de portão único é mais fácil de vigiar, e de bloquear. Em Outubro de 2025, uma avaria na nuvem da Amazon parou bancos e aplicações; em Novembro, um ficheiro defeituoso na Cloudflare deitou abaixo o X, o ChatGPT e muitos outros. Trocam-se milhões de pequenas vulnerabilidades por meia dúzia de riscos sistémicos.

Para a Europa, o problema não é só a nacionalidade do porteiro, é a falta de alternativa. Bruxelas, que em Fevereiro aprovou a compra da Wiz pela Google, chega tarde e pela metade: propôs em Junho tratar as nuvens da Amazon e da Microsoft como guardiões dos mercados digitais, com decisão prevista para Novembro, mas deixa de fora a Google e a Cloudflare. As respostas são políticas: financiar a segurança do software aberto como bem público, garantir que é possível mudar de porteiro, estender a lógica dos guardiões a toda a cadeia e criar um serviço público partilhado de actualização rápida para autarquias e hospitais, onde o portão está mais aberto.

Krugman esqueceu um pormenor do condomínio dos pais. Ali, o porteiro trabalhava para os moradores e, se falhasse, era despedido. No condomínio digital que se desenha, o porteiro é o dono: decide quem entra, quanto paga e em que condições. E ao dono ninguém o despede. É isto, mais do que o PIB perdido, que devia inquietar quem teme a deriva oligárquica.

Escreve sem aplicação do Acordo Ortográfico