Você deu acesso ao seu cartão e suas redes sociais para uma IA: sabe quem construiu esse sistema?

Nos últimos dois anos se multiplicou a quantidade de produtos que prometem "automatizar sua vida com IA": agendar por você, responder suas mensagens, montar seu currículo, otimizar suas finanças, gerar conteúdo para suas redes. Para isso, quase todos pedem a mesma coisa: acesso à sua conta do Google, permissões sobre seu Instagram ou LinkedIn, ou diretamente o número do seu cartão de crédito.

A pergunta que quase ninguém se faz antes de clicar em "autorizar" é simples: quem construiu esse sistema, onde ele roda e o que faz com o que você está entregando?

O padrão se repete em todo lugar

Um formulário bem-feito, um logo com gradiente, um botão que diz "conectar com Google" ou "entrar com Instagram". Por trás dessa tela pode haver uma empresa com equipe de segurança, contrato claro e servidores auditados, ou podem ser duas pessoas que montaram o produto em um fim de semana com um modelo de IA, conectaram algumas APIs e subiram tudo para uma hospedagem gratuita sem pensar duas vezes em como as credenciais recebidas são armazenadas.

De fora, os dois casos parecem exatamente iguais. A interface não diz nada sobre a infraestrutura por trás dela.

O que você está realmente entregando

Quando você conecta uma conta ou cadastra um cartão em um desses serviços, não está entregando um dado isolado. Está entregando:

• Um token de acesso que em muitos casos continua válido mesmo depois de você parar de usar o app, se ninguém se preocupou em revogá-lo.
• Tudo o que esse token permite ler: contatos, mensagens, publicações, localização, hábitos de consumo.
• A confiança de que esse dado é processado e armazenado de forma responsável, algo que você não consegue verificar olhando a página inicial.

O problema não é a IA em si. O problema é que a facilidade para construir esses serviços caiu tanto que qualquer pessoa pode lançar um em poucos dias, e essa velocidade de lançamento quase nunca vem acompanhada da mesma velocidade em segurança, conformidade ou transparência.

Perguntas simples antes de dar acesso

Não é preciso ser especialista em segurança para filtrar a maior parte do risco. Três perguntas antes de autorizar qualquer serviço já resolvem boa parte do problema:

1. Quem está por trás? Uma empresa real tem uma página "sobre nós", termos de serviço e uma forma de contato que não seja apenas um formulário. Se você não encontrar nada disso em dois minutos, é um sinal de alerta.
2. Está pedindo mais acesso do que precisa? Um serviço que só deveria ler sua agenda mas pede permissão para enviar mensagens em seu nome está pedindo além do necessário. Quanto mais amplo o acesso, maior o dano possível se algo der errado.
3. Consigo revogar o acesso facilmente depois? Google, Meta e a maioria dos bancos têm um painel de "aplicativos conectados". Se você nunca conferiu o seu, provavelmente há serviços aí que você parou de usar há meses e ainda têm acesso ativo.

Por que isso importa para nós na Manivela

Estamos acompanhando de perto o ângulo de cibersegurança aplicada a organizações que hoje não têm nenhum tipo de auditoria ativa, e esse fenômeno é a versão do usuário final do mesmo problema: a IA baixou a barreira de entrada para construir software, mas não baixou a barreira de entrada para construí-lo bem. Qualquer pessoa pode montar um sistema funcional em um fim de semana. Muito poucas param para pensar em como proteger as credenciais que esse sistema vai receber.

Quando desenvolvemos um sistema para um cliente, seja um painel interno, uma integração com redes sociais ou qualquer fluxo que toque dados sensíveis, o critério é o mesmo: pedir só o acesso necessário, deixar claro onde cada dado é armazenado e documentar como pode ser revogado. Não como um extra, mas porque é a diferença entre um sistema confiável e um que funciona até parar de funcionar.

Se você está prestes a integrar IA no seu negócio ou simplesmente quer entender o que já está dando acesso nas suas ferramentas atuais, vamos conversar.