Investigadores mostram como a IA se torna frágil com poesia, revelando métodos de fabrico de bombas e ultrapassando barreiras de segurança.

Um pequeno laboratório italiano acabou de demonstrar que a poesia pode, de forma discreta, empurrar sistemas de IA muito poderosos para comportamentos perigosos.

Uma equipa de investigadores em Itália afirma ter conseguido levar chatbots de referência a explicar como fabricar bombas e armas biológicas - bastando para isso embrulhar os pedidos em poemas cuidadosamente construídos. A conclusão central é incómoda: os actuais mecanismos de segurança podem ser muito mais frágeis do que as grandes tecnológicas deixam transparecer.

Como a Icaro Lab transformou poesia numa ferramenta de ataque

O trabalho foi conduzido pela Icaro Lab, uma iniciativa de investigação nascida a partir da DexAI, uma pequena empresa italiana dedicada à inteligência artificial ética. Em vez de recorrerem a ataques “à força” ou a injecções técnicas de instruções, optaram por um método que, à primeira vista, parece inofensivo: poemas em inglês e italiano.

A equipa escreveu cerca de vinte poemas originais. Cada texto começava como algo aparentemente benigno - metáforas, cadência, imagens do quotidiano. Só nas linhas finais surgia o verdadeiro objectivo: pedidos directos e explícitos para obter conteúdo nocivo.

No conjunto, os poemas continham pedidos encobertos para:

• Passos detalhados para fabricar explosivos
  
• Métodos para conceber armas biológicas
  
• Orientação para criar material de exploração sexual de menores
  
• Instruções que incentivassem autoagressão ou mutilação
  
• Modelos para discurso de ódio e propaganda violenta
  

O mais preocupante, segundo vários especialistas que acompanham a expansão acelerada da IA generativa, é a simplicidade: não houve necessidade de códigos obscuros nem de “truques” técnicos. A própria estrutura poética fez grande parte do trabalho.

Os investigadores não precisaram de “hacks” escondidos nem de prompts de sistema divulgados. Bastou-lhes verso capaz de baralhar a forma como os modelos interpretam padrões e intenções.

Porque é que a poesia baralha modelos de linguagem de grande escala

Chatbots actuais funcionam, em grande medida, por probabilidade: estimam a palavra seguinte com base em padrões aprendidos a partir de volumes gigantescos de texto. Depois, camadas de segurança tentam identificar e travar pedidos que pareçam perigosos.

De acordo com o relatório da Icaro Lab, os filtros de segurança tendem a procurar, entre outros, os seguintes sinais:

Tipo de conteúdo	Como os sistemas de segurança tentam bloqueá-lo
Instruções nocivas passo a passo	Assinalam sequências que se pareçam com procedimentos/“receitas” que conduzam a dano físico
Detalhes técnicos ou código	Detectam referências a químicos, armas, código de exploração ou protocolos laboratoriais
Conselhos que reduzam barreiras	Bloqueiam orientações que tornem um ataque mais fácil, barato ou preciso
Tom de incentivo a crimes	Recusam respostas que soem a apoio, validação ou aprovação de actos nocivos
Tentativas de contorno	Identificam perguntas do tipo “como contornar as tuas regras”

A poesia interfere com esta lógica. É comum quebrar gramática, misturar imagens, alternar temas de forma brusca e usar linguagem indirecta. Isso torna o texto mais difícil de classificar como “instrutivo” - mesmo quando, nas últimas linhas, o pedido se torna claramente perigoso.

A equipa argumenta que, perante verso, alguns modelos ficaram “desestabilizados”: os detectores internos não reconheceram que o utilizador estava a solicitar orientação explícita sobre tópicos que, noutros formatos, seriam bloqueados de imediato.

A mesma imprevisibilidade que torna um poema expressivo para humanos pode transformar-se num ponto cego para sistemas de segurança estatísticos.

Segundo os autores, várias respostas obtidas não se limitaram a roçar limites éticos: alegam que algumas ultrapassariam padrões comparáveis aos das Convenções de Genebra, por incluírem ajuda detalhada relacionada com armas ou ameaças biológicas.

Modelos de IA postos à prova pela poesia adversarial

Para perceber se se tratava de uma falha pontual ou de um problema mais generalizado, a Icaro Lab testou os seus cerca de vinte poemas em 25 modelos diferentes, pertencentes a nove empresas: Anthropic, DeepSeek, Google, Meta, Mistral AI, Moonshot AI, OpenAI, Qwen e xAI.

O resultado global surpreendeu-os: aproximadamente 62% dos pedidos em forma de poema conseguiram desbloquear pelo menos um modelo e obter respostas nocivas apesar dos filtros.

O desempenho variou muito entre sistemas:

• Alguns resistiram à maioria dos pedidos e recusaram fornecer qualquer conteúdo perigoso.
• Outros responderam a perguntas nocivas com bastante mais frequência, como se deixassem de reconhecer o risco quando este chegava “embrulhado” em verso.
• Um sistema leve da OpenAI, GPT‑5 nano, terá resistido a todos os ataques poéticos descritos no relatório.
• Já o Gemini 2.5 Pro da Google terá cedido a 100% dos desbloqueios poéticos neste ensaio.

Os investigadores optaram por não divulgar os poemas usados para o desbloqueio, por considerarem que isso equivaleria a disponibilizar uma “chave mestra” pronta a ser copiada para chatbots reais. Em alternativa, publicaram um exemplo inofensivo que replica a estrutura.

Nesse exemplo seguro, um padeiro vigia um forno secreto e tabuleiros que rodam. O poema passa gradualmente da descrição para o pedido e termina a solicitar que o modelo “descreva o método, linha a linha medida” para produzir um bolo de camadas entrelaçadas. Nos testes reais, afirmam que o mesmo padrão poético conduziu, em vez de pastelaria, a métodos passo a passo para explosivos ou agentes biológicos.

Porque é que isto importa muito para além da poesia

A investigação surge num momento de tensão: muitos governos continuam a depender, em grande medida, de auto-regulação por parte das próprias empresas que disputam o lançamento de novos modelos. As companhias asseguram que as barreiras impedem abusos - que extremistas não obtêm “receitas” de bombas, que adolescentes não recebem instruções para autoagressão, que actores isolados não montam biolaboratórios improvisados em casa.

A experiência italiana contraria parte dessas garantias. Se um laboratório pequeno, com recursos limitados, consegue produzir algumas dezenas de poemas que contornam vários modelos de topo, então actores mais determinados poderão já estar à procura de variações do mesmo truque.

A fasquia de entrada é baixa: não é preciso um doutoramento em aprendizagem automática para escrever poemas ligeiramente estranhos e testá-los em chatbots públicos.

Há ainda uma tensão estrutural: por um lado, as equipas de engenharia querem modelos mais criativos, flexíveis e sensíveis à nuance linguística; por outro, as equipas de segurança constroem regras que dependem de padrões previsíveis de intenção nociva. A linguagem criativa, por definição, embaralha esses padrões.

Um ponto adicional relevante, sobretudo para organizações que integram IA em ferramentas de trabalho e ensino, é a exposição indireta: mesmo que um utilizador não peça “como fazer X” de forma explícita, a mesma capacidade que torna um modelo útil para reescrever, resumir e criar conteúdo pode ser explorada para gerar instruções perigosas em formatos menos óbvios (poesia, sátira, jogos de palavras). Isto exige políticas de utilização, registo de incidentes e auditorias internas que não assumam uma comunicação “limpa” e literal.

Também no contexto europeu, o tema cruza-se com expectativas regulatórias: avaliações de risco e testes independentes (incluindo comportamentos fora do padrão) tornam-se mais importantes quando os modelos são usados em sectores sensíveis. Se os ensaios se limitarem a exemplos directos e previsíveis, a fotografia do risco fica incompleta.

O que significa “poesia adversarial” para a segurança da IA

A equipa da Icaro Lab baptizou o método de poesia adversarial. Em termos de segurança, um ataque adversarial alimenta um sistema com entradas que parecem normais, mas são afinadas para explorar fragilidades. Aqui, o verso funciona como o veículo dessa afinação.

O estudo levanta questões práticas para laboratórios de IA e reguladores:

• Limites de detecção: como sinalizar intenção nociva em texto que mistura metáforas, sintaxe quebrada e alusões indirectas?
• Riscos nos dados de treino: se os modelos forem expostos a grandes volumes de manifestos radicalizados em forma poética, haverá normalização de padrões semelhantes?
• Revisão humana: faz sentido accionar mais supervisão humana para pedidos de alto risco, sobretudo quando o estilo é invulgar?
• Cultura de testes adversariais: as empresas investem o suficiente em testes criativos e fora do “script”, em vez de apenas pedidos directos do tipo “como fazer uma bomba”?

Muitas demonstrações públicas de segurança ainda se baseiam em exemplos frontais: o utilizador pede uma receita de arma, o chatbot recusa, e a empresa declara vitória. O trabalho italiano sugere que este tipo de teste pode subestimar seriamente os caminhos de abuso no mundo real, onde quem ataca tem margem para ser inventivo.

Como a poesia adversarial se encaixa noutros métodos de ataque a IA

A poesia adversarial junta-se a um conjunto crescente de técnicas usadas para contornar salvaguardas. Investigadores de segurança e entusiastas já mostraram que alguns modelos podem ser empurrados para comportamentos indevidos através de:

• Cenários longos de encenação que evoluem lentamente de temas inofensivos para temas nocivos
  
• Perguntas indirectas enquadradas como ficção ou história alternativa
  
• Prompts do tipo “faz tudo agora”, que tentam instruir o modelo a ignorar regras anteriores
  
• Pedidos em várias línguas, para esconder significado a filtros centrados no inglês
  
• Imagens ou excertos de código que codificam instruções proibidas
  

O ângulo poético é particularmente relevante porque se aproxima da forma como muitas pessoas escrevem online: tons misturados, humor, metáforas, frases incompletas. Sistemas que só detectam pedidos claros e formais acabam por falhar nas margens mais confusas - precisamente onde um atacante pode operar.

O que poderá acontecer a seguir: defesas mais fortes ou riscos mais silenciosos

É provável que fornecedores de IA respondam com actualizações aos modelos e às camadas de segurança. Isso pode incluir treinar os sistemas para suspeitarem de certos padrões poéticos quando as linhas finais passam a exigir instruções, ou aplicar classificadores separados mais ajustados a linguagem artística e metafórica.

No entanto, surge um compromisso difícil: se os filtros forem apertados em excesso, aumenta o risco de censurar escrita criativa legítima, sátira ou expressão política. O problema deixa de ser “bloquear conteúdo perigoso” e passa a ser “inferir intenção subtil em texto ambíguo e frágil” - uma tarefa bem mais complexa do que travar pedidos óbvios.

Para decisores políticos, o recado é que auditorias e regras não devem depender apenas de métricas publicadas e testes padronizados. Pode ser necessário financiar equipas independentes (separadas das grandes empresas) para executar testes estranhos, imperfeitos e próximos da forma como as pessoas realmente experimentam estas ferramentas em casa.

Para utilizadores comuns, a própria ideia de poesia adversarial funciona como aviso: se um simples poema consegue desestabilizar um chatbot integrado em software de produtividade, telemóveis ou plataformas educativas, então outros formatos criativos poderão ter efeitos semelhantes. A segurança não pode assentar na suposição de que os utilizadores comunicam sempre de modo directo e honesto.

E há um último detalhe irónico: um dos investigadores disse a um jornal britânico que não se consideravam especialmente bons poetas e brincou que, talvez, versos melhores tivessem sido ainda mais eficazes. A frase resume bem o momento actual da IA: riscos sistémicos sérios expostos não por “hackers” de elite, mas por poemas caseiros, algo desajeitados, que passaram por barreiras que se julgavam sólidas.