Um momento CVSS para os jailbreaks de IA
Em 2 de julho de 2026 a Anthropic publicou uma escala Cyber Jailbreak Severity, ou CJS, para padronizar como os programadores de IA descrevem a real gravidade de um jailbreak. Até agora, uma empresa que descobria uma forma de fazer um modelo produzir código de ataque não tinha vocabulario comum para o achado. A CJS atribui-lhe um número entre zero e dez, o mesmo passo que o CVSS deu há uma década para as vulnerabilidades de software.
A escala CJS define a nota em quatro eixos. O ganho de capacidade, de 0 a 4, mede até onde o jailbreak vai além das ferramentas já disponíveis ao atacante. A amplitude de capacidade, de 0 a 2, conta quantas tarefas ofensivas distintas ele habilita. A facilidade de armamentização, de 0 a 2, capta o esforço para o tornar operacional. A descobribilidade, de 0 a 2, reflete com que facilidade os agentes de ameaça o podem obter. Os eixos somam-se em cinco bandas: CJS-0 Informativa em zero, CJS-1 Baixa de 1 a 3,5, CJS-2 Média de 4 a 6,5, CJS-3 Alta de 7 a 8,5 e CJS-4 Crítica de 9 a 10. As bandas são pensadas como exponenciais, pelo que cada passo é várias vezes pior do que o anterior.
A Anthropic publicou a CJS junto com salvaguardas cibernéticas alargadas para o seu modelo Fable 5. Essas salvaguardas passam um classificador de quatro categorias sobre os pedidos de segurança. O uso proibido é bloqueado por completo e abrange ransomware, wipers, evasão de defesas, desenvolvimento de malware, exfiltração de dados e ataques à espinha dorsal da internet. O uso duplo de alto risco é bloqueado à espera de melhores controlos e abrange testes de intrusão, desenvolvimento de exploits, escalada de privilégios e descoberta de alto impacto de vulnerabilidades. O uso duplo de baixo risco é monitorizado com bloqueio seletivo e abrange informação de fontes abertas, identificação padrão de vulnerabilidades e teste de protocolos criptográficos. O uso benigno é permitido com monitorização e abrange codificação segura, depuração, gestão de correções, resposta a incidentes e engenharia inversa de malware.
O quadro foi desenvolvido com um conjunto de parceiros Glasswing que a Anthropic nomeia incluindo Amazon, Microsoft e Google, e abriu um programa na HackerOne que convida os investigadores a submeter os jailbreaks que descobrem. Para um conselho, o detalhe a reter é simples: pela primeira vez, um jailbreak tem uma nota que um não especialista consegue ler.
Porque um número muda a conversa do comprador
Um número de gravidade faz algo que uma declaração de segurança nunca conseguiu. Desloca a pergunta da apresentação comercial do fornecedor para o registo de risco do comprador. O CVSS fez exatamente isto para o software: assim que uma falha tinha uma nota, as equipas de compras podiam inscrevê-la em contratos, as seguradoras podiam atribuir-lhe um preço e os auditores podiam testar se um fornecedor cumpria um limiar declarado. A CJS abre o mesmo caminho para os modelos de IA.
Para um proprietário europeu, este é o primeiro artefacto que permite a um conselho fazer uma pergunta concreta em vez de vaga. Em vez de perguntar se um fornecedor de modelos leva a segurança a sério, o conselho pode perguntar em que banda CJS o fornecedor coloca o seu teto e quem atribuiu essa banda. Essa pergunta encaixa diretamente em deveres já existentes. A NIS2 obriga os operadores abrangidos a gerir o risco de cadeia de fornecimento e de tecnologia numa base documentada, e a DORA impõe às entidades financeiras controlos comparáveis sobre terceiros de TIC. Uma banda CJS é exatamente o tipo de entrada mensurável para que esses registos foram construídos.
O efeito prático é que a segurança da IA deixa de ser um slogan e passa a ser uma linha de contrato. Um proprietário pode especificar que um modelo em uso não ultrapasse uma banda CJS nomeada para uma classe definida de pedidos, e pode exigir notificação se um jailbreak descoberto o empurrasse para além dessa linha. Em Portugal, o CNCS oferece o quadro familiar com as suas orientações de gestão de fornecedores, que premeiam justamente este controlo mensurável e documentado sobre um fornecedor.
Nada disto exige que uma empresa se torne um laboratório de investigação em IA. Exige que o conselho trate o risco do modelo como já trata qualquer outro risco tecnológico: nomear o limiar, pô-lo por escrito e vincular o fornecedor a ele.
Quem avalia quem avalia
Há uma fraqueza estrutural que os proprietários devem ver com clareza antes de se apoiarem na CJS. A escala é redigida pelo fornecedor e hoje é também autoavaliada pelo fornecedor. A Anthropic escreveu o quadro e, para os seus próprios modelos, atribui as bandas. É um ponto de partida razoável para uma norma acabada de nascer, mas ainda não é uma norma de auditoria no sentido que um responsável de compras reconheceria.
O risco é próprio de uma escala exponencial. Quando cada banda é definida como várias vezes pior do que a anterior, pequenas escolhas de pontuação movem muito o número de topo. Sem um avaliador independente, existe um incentivo silencioso para qualquer fornecedor descrever com prudência os seus próprios achados, e uma escala de gravidade exponencial pode derivar de norma de auditoria para gradiente de marketing. Essa é a única cautela que um conselho deve levar a cada conversa com um fornecedor sobre a CJS.
O remédio não é rejeitar a escala mas fechar a lacuna que ela deixa aberta. Os proprietários devem exigir uma atestação CJS de terceiros, para que a banda que um fornecedor reivindica seja verificada por quem não vende o modelo. Devem escrever tetos contratuais CJS em vez de aceitar bandas autorreportadas como garantia. E devem perguntar que organismo atribuiu uma dada nota e contra que versão do quadro, a mesma diligência que qualquer comprador sério aplica a uma classificação CVSS ou a um certificado ISO.
A CJS é um avanço genuíno: dá aos proprietários uma palavra que não tinham. Mas uma escala de gravidade só é tão fiável quanto a parte que atribui o número, e até que um avaliador independente esteja ao lado do fornecedor, a banda no papel é uma afirmação, ainda não uma garantia.
Leia a seguir: Falha Squid de 29 anos expõe logins em texto simples | Este malware apaga primeiro os seus backups
