Jailbreak de IA: grupos ensinam a furar bloqueios de ferramentas
Comunidades com entusiastas de cibersegurança desenvolvem técnicas que burlam "travas" em IAs; grupos de jailbreak têm regras para evitar ações ilegais
Embora recebam críticas por serem "puxa-sacos", habitualmente atendendo, com bajulação, aos pedidos dos usuários, robôs de Inteligência Artificial (IA) possuem "travas de segurança" que os impedem de obedecer a determinadas solicitações. Esses bloqueios, porém, não são perfeitos: diversos métodos já foram desenvolvidos para fazer as IAs ignorarem os limites de segurança incluídos na sua programação. Esta prática é conhecida como "jailbreaking" (em inglês, "fuga da cadeia"), e pode ser usada tanto para fins legítimos quanto para crimes.
E eu com isso?
Por que essa matéria é importante:
A popularização das IAs tem gerado debates sobre questões éticas do uso destas plataformas. Essas discussões cobrem diversos aspectos: trabalhadores sendo substituídos por robôs com pouca supervisão e falhas de segurança; questões ambientais relacionadas aos data centers que abrigam estes aplicativos; a vigilância massiva que se aprofundou por meio da disseminação das IAs; e mesmo casos onde estas ferramentas causam um estado de dissociação da realidade nos usuários. Em 2024, escrevi uma reportagem sobre o uso de IAs para práticas fraudulentas — desde então, o cenário se agravou ainda mais. Com o uso de inteligências artificiais "desbloqueadas", pessoas mal-intencionadas podem cometer crimes tanto no ambiente virtual quanto no mundo físico.
O que é o jailbreak de IA?
Mais recentemente, a expressão "jailbreak de IA" se tornou sinônimo da prática de "libertar" IAs das restrições projetadas pelas empresas que criaram as ferramentas. Originalmente, "jailbreak" era o nome de uma técnica que liberava, em iPhones, funcionalidades não aprovadas pela Apple, como a instalação de aplicativos fora da App Store. Eventualmente, passou a descrever também os processos para "destravar" consoles PlayStation, modificando o sistema para que rodem jogos pirateados, além de outras alterações. Assim como nestes casos, a aplicação mais recente do termo faz alusão a "libertar" dispositivos e softwares para que realizem ações não permitidas pelas empresas que os criaram.
Um dos primeiros exemplos de perigos do jailbreak de IA foi uma reportagem publicada, em setembro de 2024, pelo portal TechCrunch. Na matéria, o jornalista Lorenzo Franceschi-Bicchierai conta a história de Amadon, artista e hacker que conseguiu convencer o ChatGPT a fornecer instruções detalhadas sobre como construir bombas caseiras com o uso de fertilizantes. Lorenzo mostrou o conteúdo a um especialista em explosivos, que analisou a resposta do ChatGPT e confirmou ser possível produzir itens do tipo com os materiais e passos descritos.
Por motivos óbvios, o texto não menciona quais foram as instruções e materiais, tampouco os prompts (mensagens enviadas ao ChatGPT) utilizados para chegar à resposta bombástica. No entanto, pontuou que a estratégia de Amadon se baseou em propôr à IA que "jogassem um jogo", sem dar mais detalhes. Em julho de 2025, o desenvolvedor Marco Figueiroa, especialista em "caçar bugs" nas ferramentas de IA, demonstrou que uma técnica semelhante poderia ser usada para conseguir chaves de ativação do Windows.
Jailbreak de IA fere termos de uso das plataformas e pode ser ilegal
No sentido mais antigo do termo, o jailbreak já foi declarado, em diversas ocasiões, um direito dos usuários. Legisladores e sistemas judiciários em diversos países costumam adotar o entendimento de que a modificação do software para uso particular não é ilegal. Por sua vez, eventuais crimes — como o uso de jogos e aplicativos pirateados — tornados possíveis com o uso de jailbreak devem ser considerados como algo separado da prática do jailbreak em si.
Em virtualmente todos os países, todavia, não há legislação atualizada, que verse sobre o jailbreak de IA. Por ser uma prática recente, muitos dos diálogos políticos necessários para enquadrá-la em forma de lei ainda estão nos estágios iniciais — ou sequer começaram.
Recentemente, uma equipe de pesquisadores financiados pelo Departamento de Segurança Interna dos Estados Unidos convidou deputados do país para testarem algumas das IA mais utilizadas, após as ferramentas terem passado pelo jailbreak. Os parlamentares foram estimulados a fazer perguntas explicitamente ilegais e antiéticas. Eles pediram, por exemplo, instruções para a construção de uma bomba atômica, dicas sobre como executar de uma chacina, ou um passo-a-passo para sequestrar um membro do Congresso. Em todos os casos, as IAs prontamente atenderam às solicitações. Mesmo membros do Partido Republicano, que tradicionalmente defende a não-intervenção do Governo na economia, demonstraram espanto com a facilidade para burlar os bloqueios dessas plataformas.
Recentemente, produzi uma reportagem sobre o uso de IAs para criar conteúdo pornográfico usando, sem autorização, imagens de pessoas reais. A prática é chamada informalmente de "deep nudes", união dos termos "deep fake" (uso de IA para manipular vídeos, forjando gravações de situações qe nunca aconteceram) e "nudes" (imagens de nudez ou com teor pornográfico produzidas em contexto amador, pelas próprias pessoas envolvidas no ato sexual).
Enviei perguntas sobre o assunto às principais empresas do ramo: Meta (Meta AI), Alphabet (Gemini), OpenAI (ChatGPT) e xAI (Grok). Apenas as duas primeiras deram retorno. Em ambas as respostas, as assessorias de comunicação informaram haver, nas ferramentas, bloqueios que impedem seu uso para estes fins.
Comunidades de jailbreaking focam em pesquisa e melhoria das ferramentas de IA
As proteções mencionadas pelas empresas, no entanto, têm eficácia limitada. Na internet, comunidades especializadas se reúnem para trocar informações sobre a criação de técnicas de jailbreak. Para esta reportagem, conheci o grupo BASI.
A comunidade foi criada por Pliny the Liberator, uma pessoa — cuja identidade segue anônima — que ganhou notoriedade na internet ao executar o jailbreak do modelo GPT-4o do ChatGPT, em 2024. Antes disso, Pliny já havia feito processos semelhantes com outras IAs, e segue realizando jailbreaks nas principais plataformas, habitualmente conseguindo desbloquear os modelos poucas horas após serem anunciados.
Pliny percebeu que as empresas desenvolvedoras destas ferramentas ignoravam seus alertas sobre a facilidade com que elas podem ser convencidas a realizar ações perigosas. Por isso, decidiu tornar seus prompts públicos, e, para reunir outras pessoas com interesse no tema, criou a BASI. Atualmente, o grupo conta com mais de 50 mil participantes no aplicativo de mensagens Discord.
No servidor da BASI, foi fácil perceber que estas comunidades não buscam o cometimento de crimes. Os participantes são, via de regra, entusiastas e pesquisadores de cibersegurança, focados em descobrir vulnerabilidades e formas de burlar estas restrições.
Em parte dos casos, o intuito é meramente se divertir: para alguns usuários, a prática de desenvolver, por conta própria, métodos que derrubam barreiras técnicas desenvolvidas por equipes com dezenas de profissionais, é quase um hobby. Para outros, o objetivo final é ajudar a aumentar a segurança das ferramentas, expondo fragilidades nas proteções desenvolvidas pelas empresas.
Pliny percebeu que as empresas desenvolvedoras destas ferramentas ignoravam seus alertas sobre a facilidade com que elas podem ser convencidas a realizar ações perigosas. Por isso, decidiu tornar seus prompts públicos.
Isso porque, embora algumas estratégias de jailbreak exijam alto conhecimento técnico, dependendo de comandos ocultos e de uma compreensão mais aprofundada de como as próprias ferramentas são programadas, outras são mais simples. Estas envolvem basicamente "convencer" a IA a fazer algo que, se solicitado diretamente, é recusado pela ferramenta.
Isso pode ser feito de diversas formas, como a técnica de "simular um jogo", mencionada no começo desta reportagem. Outro exemplo é a estratégia de "desmembrar" a solicitação em vários passos menores. Neste caso, a IA não percebe que, ao executar estes passos na ordem apresentada, gerará o conteúdo que havia, inicialmente, se recusado a produzir.
Em todos os casos, a existência do jailbreak gera um risco de segurança no uso das ferramentas. Portanto, comunidades como a BASI funcionam em uma dinâmica comum no ramo da segurança digital: reúnem pessoas encontrando brechas — e compartilhando-as — de boa-fé, de forma a evitar que indivídos ou grupos mal-intencionados explorem essas vulnerabilidades.
O canal de "boas-vindas" a novos usuários, cuja leitura é obrigatória para interagir no servidor, pontua que, sabidamente, o espaço é frequentado por funcionários das próprias empresas que desenvolvem plataformas de IA. Além disso, é comum que os membros da comunidade participem dos chamados "programas de recompensa", em que desenvolvedores e pesquisadores de cibersegurança recebem prêmios em dinheiro ou equipamentos por encontrarem falhas em sites, aplicativos ou sistemas e apresentá-los às empresas que desenvolvem estes softwares.
Jailbreak de IA: proteções adotadas por empresas podem ser facilmente burladas, diz especialista
A reportagem conversou com Robert Seger, diretor de tecnologia em uma empresa especializada de cibersegurança, e que atua como moderador na BASI. A conversa focou, principalmente, no jailbreak para geração de imagens.
De acordo com Seger, há uma "hierarquia de dificuldade" em relação aos bloqueios das ferramentas. "O Grok é absolutamente trivial", diz ele, adicionando que "o Nano Banana [ferramenta de geração de imagens do Gemini] é o mais desafiador". "Mas todas são excepcionalmente desbloqueáveis", afirma.
No caso do Grok, a possibilidade de criar imagens sexualizadas é, fundamentalmente, uma funcionalidade da ferramenta. A IA conta com o chamado "modo apimentado", que permite produzir conteúdos pornográficos. Em teoria, esta opção é restrita a usuários pagantes, mas, mesmo sem ativá-la, é possível gerar fotos do tipo.
No final de 2025, houve uma explosão de casos de deep nudes envolvendo o Grok. Segundo análise da ONG estadunidense Center for Countering Digital Hate (CCDH), três milhões de imagens do tipo foram geradas pela ferramenta em apenas 11 dias, entre 29 de dezembro de 2025 e 9 de janeiro de 2026.
Elon Musk, dono da xAI, informou em seu perfil na rede social X (antigo Twitter) — da qual também é proprietário — que havia restringido a possibilidade de criação deste tipo de conteúdo pelo Grok. No entanto, as únicas mudanças foram limitar o acesso à ferramenta a usuários pagantes e bloqueá-la em países onde a circulação de material pornográfico é ilegal. Mesmo estas alterações, todavia, não foram efetivas: em testes, equipes do Ministério Público Federal (MPF) conseguiram, após o anúncio do suposto bloqueio, produzir material sexualizado. Uma reportagem do portal Núcleo e uma investigação da ONG europeia AI Forensics mostraram cenários semelhantes.
Pesquisadora pontua que controles não devem ser confiados apenas às empresas de IA
Para Georgia Cruz, doutora em Comunicação, professora da Universidade Federal do Ceará (UFC) e pesquisadora do Laboratório de Pesquisa da Relação Infância, Juventude e Mídia (LabGrim), deve-se pensar em dispositivos jurídicos relacionados às ferramentas de IA. "É necessário que se estruture uma regulação robusta", pontua, avaliando que o chamado ECA Digital, legislação que define diretrizes para o uso da internet por crianças e adolescentes, é indicação de que o Brasil "tem trilhado caminhos promissores nessa direção".
A doutora pontua que é necessário considerar mais que apenas os elementos técnicos destas plataformas. "Precisamos pensar nessas questões para além do campo computacional", afirma, "observando os impactos éticos e o custo social que as empresas têm gerado com suas aplicações". "Não vejo a solução só passando pela boa vontade das empresas, embora acho que elas devessem ter uma abordagem mais ética e responsável da tecnologia que desenvolvem", adiciona.
Georgia sugere algumas ações que podem ser tomadas neste quesito. Algumas das indicações da pesquisadora, como proteções contra a criação de deep fakes e bloqueios de imagens com nudez ou sexualização, estão dentro do que as plataformas dizem já praticar. Ela também recomenda medidas sobre as quais as empresas têm historicamente sido contra: "mais transparência sobre os algoritmos e co-responsabilização pelas imagens geradas, com multas e restrições de funcionamento das operações comerciais".
Usuários demonstram que restrições de conteúdo sexual em IAs são contornáveis com jailbreak
O servidor do Discord da BASI é dividido em canais temáticos. Um deles, NFSW — sigla de "Not Safe for Work" ("não seguro para o trabalho", em tradução livre), reúne materiais considerados impróprios para crianças e adolescentes. Nele, há materiais gerados por prompts enviados a IAs que passaram pelo jailbreak. Além de imagens com teor sexual, há conteúdo relacionado a violência e temas sensíveis ou polêmicos.
O acesso ao NSFW é limitado, sendo necessário passar pela verificação de idade do Discord para abri-lo. Segundo Seger, esta seção foi criada porque usuários publicavam, com frequência, material deste tipo no canal principal. Para evitar a exposição de crianças e adolescentes a estes conteúdos, a equipe decidiu montar um espaço dedicado, com entrada restrita. Atualmente, todo o servidor é restrito a pessoas maiores de 18 anos.
Regras dos grupos de jailbreaking proíbem conteúdo com crianças e adolescentes ou com pessoas reais
Seger pontua que há três casos que geram remoção de conteúdo — mesmo no canal NSFW — e banimentos do servidor da BASI. O grupo proíbe categoricamente, em todos os canais do servidor, publicações relacionadas a suicídio, qualquer forma de violência ou abuso contra crianças e adolescentes, e deep fakes de qualquer tipo.
Para os conteúdos com teor sexual, a regra adotada pelo moderador é que as pessoas nas imagens devem ser indiscutivelmente adultas. Havendo qualquer suspeita de que, caso existisse no mundo real, a pessoa retratada poderia ser criança ou adolescente, o material é removido.
Não sendo possível inferir que a pessoa publicou o conteúdo tendo consciência deste aspecto, Seger menciona publicamente quem tiver feito a postagem, enviando um aviso sobre as regras do espaço. Caso haja reincidência, ou se o contexto demonstrar que o membro sabia que o material retratava menores de idade, o usuário é banido do servidor.
"Eu sou um ditador", brinca Seger, pontuando que, caso faça um julgamento equivocado, os danos não serão muito graves. "A penalidade, banimento de um servidor de Discord, é tão leve que não há realmente nenhuma consequência da minha abordagem 'draconiana'", pontua.
Lendo mensagens antigas do canal, vi, em ao menos uma ocasião, um membro compartilhar que denunciou um jailbreak desenvolvido por ele próprio. Ao notar que prompts que ele havia escrito geraram material que aparentava ser imagens sexualizadas de crianças e adolescentes, o usuário reportou o conteúdo à empresa. Na denúncia, detalhou o processo que levou à criação da imagem, para que a empresa fortaleça bloqueios em contextos similares àquele no qual descobriu a vulnerabilidade. Por motivos óbvios, as imagens que levaram à denúncia não foram publicadas no canal.
Há três casos que geram remoção de conteúdo e banimentos do servidor da BASI. O grupo proíbe categoricamente, em todos os canais do servidor, publicações relacionadas a suicídio, qualquer forma de violência ou abuso contra crianças e adolescentes, e deep fakes de qualquer tipo.
O outro caso, no NSFW, que gera remoção do conteúdo e banimento do usuário, envolve os deep nudes. No entanto, enquanto a questão da idade é fácil de discernir (e, mesmo quando há uma margem de dúvida razoável, Seger prefere pecar pelo excesso de zelo), há um grau de dificuldade bem maior para perceber se uma imagem é referente a uma pessoa real.
Segundo ele, algumas situações, como fotos e vídeos de celebridades, são óbvias. Para muitos dos outros casos, por outro lado, a identificação depende de fatores separados. O moderador afirma que, em grande parte das vezes, quem cria imagens pornográficas usando pessoas reais como base costuma "se gabar" ou "explicar o que fez". Isso permite a Seger encontrar estas ocorrências, excluir o material, e, quando necessário, banir o usuário.
Todavia, Seger afirma que, provavelmente, já deixou de remover deep nudes por não ter percebido se tratarem de indivíduos reais. Segundo o moderador, há chances de que, em situações nas quais a origem das imagens não tenha sido explicitada pela pessoa que as publicou, a fiscalização realizada por ele para detectar materiais que retratam pessoas reais possa falhar.
Uma dificuldade neste aspecto é a qualidade técnica: a maioria do material publicado no canal NSFW é virtualmente indiscernível de fotos tiradas por câmeras ou celulares. É notável, nas imagens compartilhadas, uma diferença drástica do "estilo IA" que essas ferramentas aplicam, com frequência, na geração de imagens para usuários regulares.
