De acordo com notícias de 23 de junho, Meta suspendeu indefinidamente um projeto interno de treinamento em IA. O projeto registra entradas do teclado, operações do mouse e conteúdo da tela nos computadores de trabalho dos funcionários para treinar a IA para aprender a operar o software; o motivo da suspensão foi que os direitos de acesso aos dados do projeto foram configurados incorretamente e cerca de 45.000 tabelas de dados já foram abertas ao pessoal interno da Meta.

WIRED e Business Insider relataram separadamente sobre o incidente de permissões internas. De acordo com o aviso de segurança interna da Meta, os dados em questão pertencem à Model Capability Initiative (MCI), que contém vestígios de operações nos computadores de trabalho dos funcionários, bem como conteúdo confidencial, como “prompts e transcrições completas de IA, conversas privadas, pessoal e dados de desempenho”. Os dados mencionados no relatório da WIRED envolvem principalmente equipamentos da empresa pertencentes a funcionários da Meta nos EUA.

A porta-voz da Meta, Tracy Clayton, confirmou que a empresa está investigando o incidente de segurança e disse que a MCI foi suspensa indefinidamente enquanto a investigação prossegue. Ela também enfatizou que a Meta “atualmente não tem indicação de que os dados tenham sido acessados ​​indevidamente pelos funcionários”. No entanto, esta é apenas uma afirmação no atual estágio de investigação e não equivale à conclusão final.

Os riscos que preocupavam 1.600 funcionários revelaram-se verdadeiros.

O MCI foi lançado em abril deste ano com o objetivo de coletar dados de comportamento de trabalho dos funcionários em computadores para treinamento de sistemas de IA. O CEO da Meta, Mark Zuckerberg, explicou anteriormente esta ideia em reuniões internas: os modelos de IA podem aprender observando como bons funcionários trabalham, e os funcionários da Meta são mais adequados para fornecer amostras de alta qualidade do que pessoal terceirizado contratado especificamente para produzir esse tipo de dados.

Esta explicação não convenceu a maioria dos funcionários. Em maio, mais de 1.600 funcionários da Meta assinaram uma petição interna pedindo o fim do rastreamento do comportamento do computador. A petição afirma que a coleta de tais dados apresenta riscos regulatórios e de segurança, incluindo violações de dados e divulgação não autorizada.

O diretor de tecnologia da Meta, Andrew Bosworth, disse anteriormente aos funcionários que o gerenciamento de dados da MCI é “estritamente controlado”, usando os mesmos padrões de proteção, sistemas de armazenamento e controles de acesso que outros conjuntos de dados confidenciais da empresa. Mas após este incidente, Bosworth admitiu que a implementação real do projeto não atendeu aos padrões listados no documento de revisão de privacidade. Ele disse em postagem interna que o problema estava em uma lista de controle de acesso mal configurada e que a empresa precisava descobrir a causa e rastrear o caminho de acesso aos dados.

Não é um ataque externo, mas as permissões internas não estão bloqueadas corretamente.

Este incidente foi classificado como SEV2 internamente pela Meta. De acordo com a explicação do relatório, o nível de gravidade interno do Meta varia de 0 a 5, sendo 0 o mais grave e SEV 2 o nível mais elevado. Postagens internas vistas pela WIRED mostram que o incidente foi marcado como “fechado”, o que significa que o problema de permissão pode ter sido corrigido, mas Meta ainda não declarou publicamente as correções específicas e o cronograma completo.

Para os funcionários, o ponto de disputa não é apenas se alguém realmente visualizou os dados de outras pessoas, mas sim que a empresa prometeu anteriormente “controlar estritamente” conjuntos de dados sensíveis e, de facto, tem havido problemas com permissões de acesso que são demasiado amplas. Um funcionário escreveu em um fórum interno que não via nenhuma evidência de acesso malicioso, mas estava “zangado” porque os dados não foram bloqueados conforme prometido. O BusinessInsider também relatou que os funcionários internos reagiram fortemente ao projeto e a este incidente.

O incidente também aborda as restrições regulatórias de longo prazo que a Meta enfrenta. A Meta continua sujeita a uma ordem de consentimento da Comissão Federal de Comércio dos EUA (FTC) que exige que a empresa mantenha processos para evitar violações de dados até 2040. A WIRED também mencionou que a Meta começou a envolver a IA em alguns trabalhos de revisão de privacidade e segurança; no entanto, atualmente não há evidências de que a IA esteja envolvida neste erro de configuração de permissão MCI.

Os sprints de IA estão atingindo um custo de confiança nas empresas

O MCI não é um projeto isolado. A Meta criou uma nova equipe de “Applied AI” (IA Aplicada) em março deste ano, atribuindo aproximadamente 6.500 funcionários a cargos relevantes, com o objetivo de melhorar os modelos de IA. O Business Insider relatou que alguns funcionários achavam que os projetos que lhes foram atribuídos eram triviais e com o moral esgotado; Bosworth pediu desculpas aos funcionários na semana passada por problemas de comunicação durante a reorganização da IA ​​e prometeu melhorar a comunicação e restaurar alguns benefícios do escritório.

Desta vez a MCI é suspensa, o custo interno do sprint do Meta em direção à IA fica mais concretamente exposto. A empresa pode dizer que não encontrou sinais de acesso indevido até agora, mas enquanto este tipo de dados for aberto por engano, será difícil reparar a confiança dos funcionários em "treinar a IA com seus próprios comportamentos de trabalho" apenas com promessas internas. Os funcionários não são apenas os fornecedores de dados de formação em IA, mas também os portadores diretos dos riscos de privacidade e segurança. Essa dupla identidade é o que realmente incomoda neste incidente.