Peça pra um robô fazer algo perigoso e ele pode até dizer que não vai. Só que, num teste recente, o "não" saiu só da boca -- o corpo obedeceu assim mesmo. Pesquisadores documentaram um robô controlado por IA que recusava um comando arriscado em voz alta enquanto o controlador de movimento executava a ação do mesmo jeito, como se a parte que fala e a parte que age tivessem parado de se entender.

PublicidadeModo Vitta: Foco e EquilíbrioPara mentes que não param: alinhe tarefas, rotina, hábitos, foco e metas num só app.Ver no Google Play →

O caso aparece num levantamento publicado pela IEEE Spectrum sobre segurança cibernética em robótica com IA, e ele resume bem por que a pergunta mudou de figura. Não basta mais perguntar se um robô continua seguro quando algo dá errado por acidente -- a pergunta agora é se ele continua seguro quando alguém manipula de propósito o que ele vê, decide ou faz, sem precisar assumir o controle direto da máquina.

Três camadas, três jeitos de enganar um robô

O levantamento organiza os ataques em três camadas. A primeira mira o treinamento do modelo: já em 2017, o estudo BadNets mostrava que um modelo podia se comportar normalmente quase sempre e falhar só na presença de um gatilho escondido -- um padrão sutil, por exemplo, fazia uma placa de pare ser lida como limite de velocidade. Em 2025, na conferência NeurIPS, o estudo BadVLA levou essa ideia para os modelos que traduzem visão e linguagem direto em movimento: com o gatilho presente, o robô se desviava da trajetória esperada; sem ele, continuava operando normalmente, inclusive depois de passar por ajustes finos. Outro estudo do mesmo ano, o GoBA, usou um objeto comum -- uma caneca de café -- como gatilho e relatou 97% de taxa de sucesso no ataque, sem prejudicar o desempenho do robô em condições normais.

A segunda camada é a infraestrutura ao redor do modelo. Em setembro de 2025, pesquisadores divulgaram o UniPwn, uma cadeia de falhas em Bluetooth que afetava robôs quadrúpedes e humanoides de um grande fabricante: chaves de criptografia fixas no firmware permitiam decifrar o tráfego, driblar a autenticação e injetar comandos com privilégio total. A falha foi descrita como capaz de se espalhar sozinha entre robôs -- uma unidade comprometida conseguia varrer e potencialmente contaminar outras da mesma frota. Vulnerabilidades em camadas de middleware como ROS 2 somam outro ponto de exposição: com acesso suficiente, um invasor poderia sobrescrever comandos de motor ou trocar os pesos do modelo de IA sem atacar diretamente a arquitetura dele.

A terceira camada acontece em tempo real, na hora em que o robô interpreta o ambiente. O estudo RoboPAIR, de 2024, mostrou como um comando de texto bem construído conseguia redirecionar robôs controlados por modelos de linguagem para trajetórias inseguras. Um estudo separado, o BadRobot, expôs uma falha arquitetural ainda mais intrigante: em vários casos, o robô recusava um comando perigoso em voz alta enquanto o controlador de movimento executava a ação do mesmo jeito -- exatamente o caso que abre esta matéria. Do lado visual, o VLAttack derrubou a taxa de sucesso de um modelo a zero só com um adesivo adversário no campo de visão da câmera, e o FreezeVLA conseguiu travar a tomada de decisão do robô inteiro com uma única imagem manipulada.

O que muda na forma de pensar segurança

Segundo o levantamento, isso expõe um ponto cego na forma como robôs são testados hoje: um modelo pode passar em todos os testes de validação e ainda assim produzir um comportamento corrompido quando o gatilho certo aparece numa operação real. A conclusão não é que a segurança funcional -- pensada para falhas e acidentes -- deixou de importar, mas que ela sozinha não cobre mais o problema. Robótica com IA passa a exigir a mesma vigilância contínua de qualquer sistema conectado, desde o treinamento do modelo até o instante em que ele decide mover um braço mecânico.