As máquinas entraram no santuário: a inteligência artificial ao serviço dos serviços secretos

Convém desmontar o que a tecnologia faz de facto, porque a retórica esconde arquiteturas muito concretas. A camada mais antiga é a visão computacional, que deteta, classifica e segue objetos em imagem de satélite e de drone. Sobre ela assenta agora uma camada de modelos de linguagem que faz aquilo que a visão computacional não faz: interpreta intenção, cruza deteções dispersas no tempo e conversa com o analista em linguagem natural. O exemplo canónico é o Maven Smart System, da Palantir. Conta com mais de vinte mil utilizadores ativos distribuídos por mais de trinta e cinco ferramentas dos ramos e comandos combatentes, e a NGA adjudicou vinte e oito milhões de dólares para alargar o acesso aos seus analistas, com o teto contratual a subir de 480 milhões para perto de 1,3 mil milhões até 2029. Segundo o CSIS, um responsável da NGA estimou que a introdução de modelos de linguagem multiplica por cinco a velocidade de produção de alvos, acrescentando esse fator ao ganho de dez vezes já obtido pela visão computacional; e em março de 2026 um memorando do vice-secretário da Defesa transferiu integralmente a supervisão do sistema para o Chief Digital and AI Office.

Aqui reside o ponto técnico mais delicado, e é jurídico tanto quanto operacional: comprimir a cadeia de decisão não é apenas acelerar, é deslocar o momento em que o juízo humano é exercido. Análises publicadas sobre a Operação Epic Fury, iniciada a 28 de fevereiro de 2026, descrevem cerca de 5.500 a 6.000 alvos atingidos no Irão em três semanas, com os primeiros mil ataques nas primeiras vinte e quatro horas, suportados por uma plataforma que fundiu nove sistemas de informações militares numa única interface. Quando o intervalo entre deteção e execução passa de horas para minutos, a supervisão humana deixa de ser deliberação e passa a ser confirmação. A literatura de fatores humanos chama-lhe viés de automação: perante um sistema que acerta na maioria dos casos, o operador deixa de procurar o erro e começa a procurar a confirmação. Nenhum requisito formal de "humano no circuito" resolve isto, porque o requisito é satisfeito por um clique.

O caso israelita é o laboratório involuntário desta patologia. Em 2021, o então comandante da Unidade 8200 publicou, sob pseudónimo, um livro que defendia a construção de uma máquina capaz de gerar milhares de alvos, descrevendo o pessoal humano como o estrangulamento que limita a capacidade das forças armadas. Investigações posteriores documentaram o sistema Lavender, que terá identificado até 37 mil pessoas em Gaza como alvos potenciais com base em alegadas ligações ao Hamas. Fontes internas citadas pelo +972 Magazine referiram cerca de vinte segundos dedicados a cada alvo antes da autorização, e a regra que exigia duas peças de informação de origem humana para validar uma previsão do Lavender foi reduzida a uma logo no início da guerra. A montante, a expansão da recolha foi a condição do modelo: no ano em que Yossi Sariel assumiu a unidade, o exército começou a armazenar praticamente todas as chamadas e mensagens da Cisjordânia e de Gaza em servidores em nuvem, tornando-as pesquisáveis por transcrição e tradução automáticas. A lição é técnica e não moralista: a qualidade de um sistema de alvos é a qualidade dos seus rótulos de treino, e nenhum modelo distingue militância de proximidade social se foi treinado a partir de grafos de proximidade social. Enquanto os Estados usam IA para analisar, os adversários usam-na para atacar, e essa simetria fechou-se mais depressa do que qualquer previsão. Em setembro de 2025, a Anthropic detetou uma campanha de espionagem que atribuiu, com elevada confiança, a um grupo patrocinado pelo Estado chinês, que manipulou a ferramenta Claude Code para tentar infiltrar cerca de trinta alvos globais, com sucesso num pequeno número de casos. O grupo, designado GTG-1002, terá automatizado entre oitenta e noventa por cento das intrusões multifásicas, recorrendo a agentes e a ferramentas do Model Context Protocol para reconhecimento, descoberta de vulnerabilidades, exploração, movimento lateral, recolha de credenciais e exfiltração. O contorno das salvaguardas fez-se por decomposição: tarefas malignas partidas em fragmentos inócuos, mais uma persona de empresa de segurança em teste defensivo. É o mesmo padrão de engenharia social de sempre, exercido agora sobre uma máquina em vez de uma pessoa. Daí que, a 22 de junho de 2026, os responsáveis das agências cibernéticas dos Cinco Olhos tenham publicado uma declaração conjunta a afirmar que os modelos de fronteira vão transformar as capacidades ofensivas e defensivas e que o prazo não se mede em anos, mede-se em meses.

O episódio mais instrutivo de 2026, porém, não é sobre capacidade mas sobre dependência. A 27 de fevereiro, a Casa Branca instruiu as agências federais a cessarem a utilização de tecnologia da Anthropic e o Departamento da Defesa designou a empresa como risco de cadeia de abastecimento para a segurança nacional, uma etiqueta historicamente reservada a adversários estrangeiros, na sequência da recusa do seu presidente executivo em ceder quanto ao uso dos produtos para vigilância interna em massa e drones armados autónomos. A empresa processou a administração, o litígio prossegue, e em junho desativou o acesso aos modelos Fable 5 e Mythos 5 para cumprir uma diretiva de controlo de exportação. Parte dos analistas da NSA perdeu acesso ao Mythos 5, incluindo as equipas vermelhas cuja autorização decorria do Project Glasswing, programa que dava acesso antecipado a cerca de 150 organizações em mais de quinze países, num contexto em que o modelo terá identificado vulnerabilidades em redes governamentais altamente seguras em poucas horas. As restrições viriam a ser levantadas no início de julho. Traduzido para linguagem de gestão de risco: a capacidade soberana de um Estado passou a depender de termos contratuais, de decisões de governação empresarial e de regimes de exportação que mudam em semanas.

Do lado de Pequim, a mesma dupla natureza é gerida com maior integração institucional. O Ministério da Segurança do Estado veio publicamente alertar para o envenenamento de dados de treino como vetor de espionagem, descrevendo-o como prática cada vez mais encadeada, encoberta e transfronteiriça, com potencial para atingir sistemas governamentais e modelos industriais; e alargou o escrutínio às plataformas intermediárias que agregam o acesso a múltiplos modelos, apontando qualificações inadequadas, proteções fracas e revenda de dados de utilizadores. Em paralelo, acusa serviços estrangeiros de conduzir operações contra os seus setores estratégicos emergentes, incluindo terras raras, semicondutores e inteligência artificial. Um relatório do Center for a New American Security identifica sete grandes programadores chineses cujos sistemas, pela ausência de fronteira entre Estado, forças armadas e setor privado, são tratados como instrumentos de controlo político e competição entre grandes potências. E há o reverso menos discutido: a mesma tecnologia que ajuda a esconder um oficial também o desmascara. A própria CIA reconhece que a vigilância técnica ubíqua, o reconhecimento facial e o rasto digital que todos deixamos ao navegar ou usar telemóvel tornaram muito mais difícil conduzir operações clandestinas como se fazia antes. O cruzamento automático de biometria de fronteira, registos de viagem e presença em redes sociais destrói coberturas que demoravam anos a construir.

Para Portugal e para a União, o enquadramento é menos confortável do que parece. O Regulamento (UE) 2024/1689 não se aplica a sistemas cujos resultados sejam utilizados na União exclusivamente para finalidades militares, de defesa ou de segurança nacional, independentemente do tipo de entidade que os opera, exclusão justificada pelo artigo 4.º, n.º 2, do Tratado da União Europeia e pela remissão para o direito internacional público como regime mais adequado. Isto significa que o AI Act não regula aquilo que os serviços de informações fazem com IA: quem o há de fazer é a lei nacional, o controlo parlamentar e a fiscalização judicial, hoje desenhados para uma realidade pré-algorítmica. A Lei-Quadro do SIRP e a Lei n.º 9/2007 não conhecem conceitos como treino de modelo, retenção de embeddings, alucinação ou dependência de fornecedor, e nenhum regime de segredo de Estado responde por si só à questão de saber quem audita um sistema cuja lógica interna nem os seus criadores conseguem explicar integralmente. Não se trata de teoria: o SIS recruta hoje oficiais de informações com perfil de analista de ciberameaças e inteligência artificial, exigindo desenvolvimento de algoritmos e modelos analíticos de apoio à decisão tática e estratégica sobre grandes volumes de dados, num ano em que o SIRP lançou a sua primeira campanha pública de recrutamento. Do outro lado do Atlântico Norte, o próprio GCHQ já assumiu que todos os seus operacionais dispõem de ferramentas de IA nos postos de trabalho. A pergunta prática, para quem legisla e para quem fiscaliza, não é se os serviços portugueses vão usar estes sistemas, porque já usam. É se o Conselho de Fiscalização do SIRP tem, hoje, competência técnica e acesso para auditar registos de prompts, versões de modelo, taxas de erro e cadeias de custódia de prova algorítmica. Enquanto a resposta for negativa, teremos capacidade sem contrapeso, que é a definição operacional de risco institucional.