Peça pra um robô fazer algo perigoso e ele pode até dizer que não vai. Só que, num teste recente, o "não" saiu só da boca — o corpo obedeceu assim mesmo. Pesquisadores documentaram um robô controlado por IA que recusava um comando arriscado em voz alta enquanto o controlador de movimento executava a ação do mesmo jeito, como se a parte que fala e a parte que age tivessem parado de se entender.
O caso aparece num artigo patrocinado pela VicOne, empresa de segurança cibernética pra robôs e veículos, publicado na IEEE Spectrum, e ele resume bem por que a pergunta mudou de figura. Não basta mais perguntar se um robô continua seguro quando algo dá errado por acidente — a pergunta agora é se ele continua seguro quando alguém manipula de propósito o que ele vê, decide ou faz, sem precisar assumir o controle direto da máquina.
Três camadas, três jeitos de enganar um robô
O artigo organiza os ataques em três camadas. A primeira mira o treinamento do modelo: já em 2017, o estudo BadNets mostrava que um modelo podia se comportar normalmente quase sempre e falhar só na presença de um gatilho escondido — um padrão sutil, por exemplo, fazia uma placa de pare ser lida como limite de velocidade. Em 2025, na conferência NeurIPS, o estudo BadVLA levou essa ideia para os modelos que traduzem visão e linguagem direto em movimento: com o gatilho presente, o robô se desviava da trajetória esperada; sem ele, continuava operando normalmente, inclusive depois de passar por ajustes finos. Outro estudo do mesmo ano, o GoBA, usou um objeto comum — uma caneca de café — como gatilho e relatou 97% de taxa de sucesso no ataque, sem prejudicar o desempenho do robô em condições normais.
A segunda camada é a infraestrutura ao redor do modelo. Em setembro de 2025, pesquisadores divulgaram o UniPwn, uma cadeia de falhas em Bluetooth que afetava robôs quadrúpedes e humanoides de um grande fabricante: chaves de criptografia fixas no firmware permitiam decifrar o tráfego, driblar a autenticação e injetar comandos com privilégio total. A falha foi descrita como capaz de se espalhar sozinha entre robôs — uma unidade comprometida conseguia varrer e potencialmente contaminar outras da mesma frota. Vulnerabilidades em camadas de middleware, o software que faz as partes do robô conversarem entre si, como o ROS 2, somam outro ponto de exposição: com acesso suficiente, um invasor poderia sobrescrever comandos de motor ou trocar os pesos do modelo de IA sem atacar diretamente a arquitetura dele.
A terceira camada acontece em tempo real, na hora em que o robô interpreta o ambiente. O estudo RoboPAIR, de 2024, mostrou como um comando de texto bem construído conseguia redirecionar robôs controlados por modelos de linguagem para trajetórias inseguras. Um estudo separado, o BadRobot, expôs uma falha arquitetural ainda mais intrigante: em vários casos, o robô recusava um comando perigoso em voz alta enquanto o controlador de movimento executava a ação do mesmo jeito — exatamente o caso que abre esta matéria. Do lado visual, o VLAttack derrubou a taxa de sucesso de um modelo a zero só com um adesivo adversário no campo de visão da câmera, e o FreezeVLA conseguiu travar a tomada de decisão do robô inteiro com uma única imagem manipulada.
O que muda na forma de pensar segurança
Segundo o artigo, isso expõe um ponto cego na forma como robôs são testados hoje: um modelo pode passar em todos os testes de validação e ainda assim produzir um comportamento corrompido quando o gatilho certo aparece numa operação real. A conclusão não é que a segurança funcional — pensada para falhas e acidentes — deixou de importar, mas que ela sozinha não cobre mais o problema. Robótica com IA passa a exigir a mesma vigilância contínua de qualquer sistema conectado, desde o treinamento do modelo até o instante em que ele decide mover um braço mecânico.
