A IA pode projetar vírus, toxinas e outras armas biológicas. O quanto devemos nos preocupar?

É difícil imaginar que um caracol possa matar uma pessoa, mas um grupo particularmente venenoso de moluscos marinhos chamados caracóis-cone pode. Suas ferroadas contêm um coquetel de pequenas proteínas chamadas conotoxinas, algumas das quais podem bloquear canais iônicos no sistema nervoso. Não existe um soro antiveneno.

Existem centenas de milhares de estruturas de conotoxinas, e muitas são inofensivas para as pessoas ou até úteis medicinalmente: um tratamento aprovado para dor crônica, por exemplo, deriva de uma delas. No entanto, a pesquisa sobre conotoxinas específicas perigosas é altamente restrita em alguns países.

Assim, em 2024, quando cientistas chineses relataram o desenvolvimento de uma ferramenta de inteligência artificial para projetar conotoxinas, isso levantou preocupações em alguns setores. Em um e-mail para um grupo privado de discussão sobre IA e biotecnologia, ao qual a revista Nature teve acesso, um funcionário sênior do governo dos EUA apontou o estudo como um possível risco à biossegurança. O funcionário, que pediu para não ser identificado por medo de prejudicar seu emprego, considerou especialmente preocupante o fato de a IA de conotoxinas ser baseada em um modelo de linguagem de proteínas de código aberto desenvolvido por cientistas norte-americanos.

Um dos autores do estudo sobre conotoxinas afirmou à Nature que a preocupação é infundada. O trabalho tinha como objetivo a descoberta de medicamentos, disse Weiwei Xue, químico computacional da Universidade de Chongqing, na China, e coautor do artigo. A equipe de Xue identificou algumas conotoxinas com potencial terapêutico após testar os designs em laboratório, afirmou. Embora seja importante considerar o risco de uso indevido da ferramenta de IA, ela não foi projetada para produzir proteínas nocivas, acrescentou. Além disso, transformar esses designs em moléculas físicas exige conhecimento especializado e equipamentos significativos. Outros pesquisadores também disseram à Nature que os riscos do trabalho pareciam mínimos.

O episódio, no entanto, ilustra uma preocupação crescente com as novas ferramentas de IA na biologia; embora estejam sendo desenvolvidas para ajudar a produzir medicamentos inovadores e outros benefícios para a sociedade, elas também podem facilitar a criação de novas ameaças. A revolução nas ferramentas de IA biológica, como o AlphaFold, permitiu que cientistas, com poucos cliques, projetem proteínas e vírus que combatem superbactérias, e chatbots de uso geral podem ampliar o conhecimento das pessoas sobre como realizar esses projetos em laboratório. Será que as IAs mais recentes também podem acelerar o desenvolvimento de toxinas, vírus ou outras armas biológicas mais potentes?

A ameaça à biossegurança é séria. “Teoricamente, agora seria possível desenvolver toxinas no nível da ricina ou de outros agentes altamente letais que seriam praticamente indetectáveis”, disse Martin Pacesa, biólogo estrutural da Universidade de Zurique, na Suíça.

Mas há debate sobre o que fazer diante desses riscos. Alguns defendem limites para a IA biológica, enquanto outros temem impactos negativos na pesquisa. “Sempre avaliamos que os benefícios para o mundo superam em muito os perigos”, disse o biofísico computacional David Baker, da Universidade de Washington, em Seattle, que compartilhou o Prêmio Nobel de 2024 por seu trabalho pioneiro em design de proteínas. “Mas, à medida que as capacidades aumentam, acho que essa será uma questão importante a se considerar continuamente.”

Alguns afirmaram que o foco deveria estar em detectar e responder a ataques com armas biológicas apoiados por IA, em vez de tentar preveni-los por meio de restrições de software. “Na minha opinião, esse barco já partiu”, afirmou Timothy Jenkins, designer de proteínas da Universidade Técnica da Dinamarca, em Kongens Lyngby.

Qual é o pior cenário possível?

Há duas grandes preocupações em relação à IA e armas biológicas, segundo James Black, pesquisador de biossegurança em IA e pesquisador visitante na Universidade Johns Hopkins, em Baltimore, Maryland.

Uma é que indivíduos trabalhando em laboratórios improvisados possam usar chatbots para aprender a produzir ou empregar ameaças já existentes, como o antraz. Outra é que atores mais sofisticados, como Estados ou grupos terroristas bem financiados, possam combinar chatbots com softwares biológicos especializados para projetar novas armas biológicas.

A maior ameaça potencial à humanidade poderia ser vírus pandêmicos projetados por IA. O caminho mais plausível seria modificar vírus já existentes, como o SARS-CoV-2 ou a influenza, para aumentar propriedades preocupantes, como sua capacidade de escapar do sistema imunológico, por exemplo. Ferramentas de IA já existentes que conseguem prever a evolução viral poderiam ser usadas de forma indevida dessa maneira, afirmou Doni Bloomfield, professora de direito que estuda biossegurança na Fordham University, em Nova York.

Alternativamente, modelos de IA poderiam projetar patógenos totalmente novos, que seriam difíceis de detectar e combater. Um pré-print de 2025 utilizou IA para projetar os genomas de novos vírus, dos quais cerca de 5% funcionaram quando foram produzidos em laboratório. No entanto, os vírus desse estudo foram projetados para infectar bactérias, não pessoas.

Parece assustador? Um relatório de 2025 das Academias Nacionais de Ciências, Engenharia e Medicina dos EUA (NASEM) trouxe um contraponto. Ele concluiu que diversos obstáculos ainda impedem o uso de IA para melhorar significativamente patógenos pandêmicos ou criá-los do zero. Um dos principais desafios é a falta de dados de alta qualidade que conectem características como virulência ou transmissibilidade à sequência genética de um patógeno, o que dificulta prever de forma confiável alterações que aumentariam essas propriedades. Outro obstáculo é a dificuldade de produzir patógenos em laboratório e testar suas características.

Alguns cientistas também questionam se agentes mal-intencionados sequer recorreriam à IA, considerando que a natureza oferece inúmeras ameaças por si só. Técnicas antigas que introduzem mutações aleatórias podem aumentar características preocupantes sem necessidade de IA, afirma Brian Hie, biólogo computacional da Stanford University, na Califórnia.

“Se você quiser causar dano em escala muito grande, não precisa de design de proteínas para isso”, acrescentou Baker.

Ainda assim, o relatório da NASEM concluiu que uma toxina poderia, em teoria, ser projetada usando ferramentas biológicas de IA existentes, embora sua produção e distribuição ainda representem desafios. Uma toxina projetada poderia ser impossível de detectar em pessoas se ainda não fosse conhecida, e talvez fosse mais provável ser usada em ataques individuais, como tentativas de assassinato, diz Jenkins. “Acho que as ferramentas que já foram publicadas são pontos de partida suficientes para pessoas com más intenções”, afirmou.

Seth Donoughe, diretor de IA da organização sem fins lucrativos SecureBio, em Cambridge, Massachusetts, disse que sua principal preocupação é o potencial da IA, incluindo chatbots de uso geral e modelos biológicos especializados, de aumentar a capacidade técnica de agentes mal-intencionados.

Em uma série de experimentos descritos em um pré-print de fevereiro, Donoughe e seus colegas descobriram que o acesso a modelos de linguagem de última geração permitiu que indivíduos com treinamento mínimo em biologia igualassem ou até superassem cientistas com doutorado em tarefas como resolver problemas em protocolos de virologia e gerar código para operar robôs de laboratório. Trabalhos preliminares relacionados também mostraram que alguns agentes de IA poderiam direcionar IAs biológicas a aumentar as propriedades patogênicas de uma proteína viral.

No entanto, outro pré-print publicado em fevereiro por cientistas da Active Site constatou que iniciantes com acesso a modelos de linguagem não desempenharam tarefas como manipulação de DNA ou produção de vírus de forma significativamente melhor do que voluntários que utilizavam apenas recursos disponíveis na Internet. Portanto, é possível que o “impulso” digital fornecido pela IA ainda não seja suficiente para produzir uma arma biológica, mas isso pode não ser verdade por muito tempo.

“A IA está se tornando cada vez mais capaz em todas as tarefas relevantes que já colocamos diante dela”, disse Donoughe. “Devemos esperar que fique mais fácil fazer coisas boas, mas também mais fácil fazer coisas ruins.”

Muitos cientistas dizem que a melhor forma de prevenir o desenvolvimento de armas biológicas baseadas em IA é identificar agentes mal-intencionados no momento da fabricação de vírus ou toxinas. “No fim das contas, na maioria das vezes não importa o que você faz no computador”, disse Pacesa. “O que importa é como você traduz isso em uma proteína real ou em uma pequena molécula física.”

Pesquisadores interessados em produzir proteínas projetadas por IA ou genomas sintéticos costumam encomendar suas sequências genéticas de empresas que sintetizam ácidos nucleicos, ou seja, cadeias de DNA e RNA. Algumas dessas empresas fazem parte de um grupo do setor, o International Gene Synthesis Consortium, que exige que seus membros analisem os pedidos dos clientes em busca de sequências que possam codificar toxinas, proteínas patogênicas e outras moléculas potencialmente perigosas. No entanto, um trabalho liderado por pesquisadores da gigante de tecnologia Microsoft, publicado em 2025, mostrou que essa triagem pode ser contornada com o uso de ferramentas de IA.

Eric Horvitz, diretor científico da empresa, e seu colega Bruce Wittmann, ambos baseados em Redmond, Washington, lideraram uma equipe que utilizou ferramentas de código aberto de design de proteínas para reprojetar 72 moléculas biológicas que poderiam representar uma ameaça à biossegurança, incluindo toxinas e proteínas virais. Os pesquisadores criaram 76.000 desses “homólogos sintéticos” para corresponder suficientemente à estrutura de ameaças existentes, mantendo sua função perigosa. No entanto, essas moléculas foram codificadas por sequências genéticas suficientemente diferentes para escapar dos softwares de triagem de quatro empresas que participaram do estudo.

Os resultados foram variados. As ferramentas de triagem de DNA identificaram alguns dos homólogos sintéticos, mas de forma alguma todos, cerca de um quarto dos melhores projetos (aqueles previstos como mais semelhantes a uma ameaça real) escaparam à detecção. Após três das quatro empresas atualizarem seus sistemas para corrigir as falhas, apenas cerca de 3% dos designs mais críticos continuaram sem ser detectados. Em seguida, um pré-print de março, de Horvitz, Wittmann e colegas, mostrou que dividir esses homólogos sintéticos em fragmentos de apenas 25 nucleotídeos pode torná-los difíceis de detectar, mesmo com softwares atualizados. Ainda assim, os pesquisadores afirmam que montar fragmentos tão curtos em um gene completo seria extremamente difícil, e que os sistemas funcionaram bem com fragmentos maiores.

Horvitz e sua equipe não divulgaram os designs, nem a identidade dos alvos e outras informações-chave, embora pesquisadores possam solicitar acesso.

Por outro lado, Xue e seus colegas publicaram as sequências de conotoxinas geradas por sua ferramenta de IA, embora seu trabalho, ao contrário do de Horvitz, não tenha sido focado na criação de moléculas perigosas. E algumas dessas sequências podem não acionar alertas ao serem encomendadas de uma empresa de síntese de DNA. Quando a revista Nature inseriu os 45 designs incluídos no artigo em uma ferramenta bioinformática amplamente utilizada chamada BLAST, que busca sequências semelhantes em bancos de dados genéticos, apenas cinco foram identificados como correspondentes a toxinas de caramujos-cone. Uma ferramenta de código aberto projetada para triagem em síntese de DNA encontrou algumas correspondências adicionais.

Uma ressalva importante é que toxinas reprojetadas que conseguem escapar à triagem podem ser tão diferentes das versões naturais que acabam perdendo sua função. Uma equipe co-liderada por Wittmann e Elizabeth Strychalski, cientista do Instituto Nacional de Padrões e Tecnologia dos EUA (NIST), em Gaithersburg, Maryland, testou em laboratório se moléculas projetadas para evitar a triagem mantinham a função da molécula que deveriam imitar. Nos experimentos (que evitaram o uso de toxinas), proteínas simples ainda funcionaram em alguns casos, mas enzimas não. “Isso apenas mostrou que é algo complexo e difícil de fazer funcionar”, disse Horvitz, que participou do estudo.

Os estudos com homólogos sintéticos foram reconfortantes, afirmou James Diggans, vice-presidente de biossegurança e políticas da empresa de síntese de DNA Twist Bioscience, em South San Francisco, Califórnia. “No momento, as práticas de triagem ainda representam uma barreira bastante eficaz contra o uso indevido, mesmo que você utilize essas ferramentas de IA antes para tentar driblar a detecção”, disse.

Mas Diggans reconhece que o campo está avançando rapidamente. Novos modelos podem ser mais eficientes no design de proteínas que escapam à detecção do que as ferramentas usadas pela equipe de Horvitz, que foram lançadas em 2023.

Pesquisadores estão trabalhando em ferramentas que possam ajudar a avaliar pedidos de síntese de ácidos nucleicos com base na estrutura e na função potencial das moléculas codificadas. E Baker há muito defende que todos esses pedidos deveriam ser reunidos em um registro privado, embora a ideia ainda não tenha ganhado força no setor.

A triagem mais simples, baseada apenas em sequência, continua sendo voluntária, por enquanto. Para cumprir uma ordem executiva dos EUA de 2025, financiadores de pesquisa naquele país podem em breve exigir que cientistas adquiram ácidos nucleicos apenas de empresas que utilizem softwares de triagem. Reino Unido, União Europeia e países como a Nova Zelândia também estão considerando requisitos semelhantes. No entanto, a maioria dos países ainda não possui exigências desse tipo. Na China, que recebe mais de 30% dos pedidos globais de síntese de DNA, o governo solicitou que as empresas implementem triagem, embora isso ainda não seja obrigatório, afirmou Weiwen Zhang, biólogo sintético da Universidade de Tianjin. Atualmente, pedidos internacionais tendem a receber mais atenção do que os domésticos.

É possível encomendar a sequência de uma toxina de muitos fornecedores ao redor do mundo sem ser detectado, disse Tessa Alexanian, que trabalha com ferramentas e padrões de triagem de síntese de DNA na International Biosecurity and Biosafety Initiative for Science, organização sem fins lucrativos sediada em Genebra, Suíça.

Para aumentar as preocupações, há também o desenvolvimento de máquinas de síntese de DNA de bancada (‘tabletop’), que atualmente conseguem gerar apenas sequências muito curtas, mas que deverão ser capazes de produzir fragmentos mais longos em um futuro próximo, segundo pesquisadores.

Outra linha de pensamento é que as próprias ferramentas de IA, especialmente aquelas especializadas em biologia, deveriam ter controles de acesso mais rigorosos ou mecanismos de proteção (“guard rails”) para evitar usos indevidos. Baker afirmou que ele e sua equipe avaliam rotineiramente quaisquer riscos potenciais de suas ferramentas de design de proteínas antes de disponibilizá-las. Isso está alinhado a um conjunto de princípios para IA responsável e biodesign que ele e outros divulgaram em março de 2024. Quase 200 cientistas assinaram o documento, mas a responsabilidade de autorregulação recai sobre a própria comunidade científica. E Baker disse que nunca viu necessidade de restringir as ferramentas que seu laboratório desenvolve para o design básico de proteínas e outras biomoléculas.

Empresas que criam chatbots de uso geral, como a OpenAI, em San Francisco (Califórnia), treinam seus modelos para recusar ou responder com segurança a solicitações prejudiciais, incluindo perguntas relacionadas à biossegurança. Em particular, um artigo de segurança da OpenAI afirmou que seus modelos não devem fornecer “instruções detalhadas e acionáveis” para realizar atividades potencialmente perigosas em grande escala, como o uso de armas químicas e biológicas.

Práticas semelhantes podem ser necessárias para modelos de IA voltados à biologia, sugeriram pesquisadores. Alguns desenvolvedores dessas ferramentas já começaram a incluir salvaguardas nos dados de treinamento antes do lançamento. Por exemplo, o modelo genômico Evo 2 foi treinado com 128.000 sequências de genomas de espécies ao longo da árvore da vida, mas excluiu vírus que infectam organismos eucarióticos, como humanos e outros animais. Como resultado, o Evo 2 apresenta baixo desempenho ao projetar sequências desses vírus ou prever suas propriedades, como os efeitos de mutações.

Ainda assim, cientistas verificaram que essas barreiras podem ser contornadas. A pesquisa de Donoughe e sua equipe mostrou que quase 90% dos participantes conseguiram obter informações biológicas de alto risco a partir de grandes modelos de linguagem de uso geral, e outros pesquisadores frequentemente alertam que chatbots ainda fornecem esse tipo de informação. Em uma reportagem de abril sobre essa preocupação, o New York Times relatou que um homem preso na Índia no ano passado, acusado de planejar produzir a toxina ricina para um ataque terrorista, buscou orientação no ChatGPT e em pesquisas com IA do Google.

No caso de softwares especializados em IA, o bioengenheiro Le Cong, de Stanford, e seus colegas conseguiram usar um agente de IA de uso geral para induzir o Evo 2 a gerar novas versões de proteínas do SARS-CoV-2 e do HIV-1. Outro estudo mostrou que o “ajuste fino” (fine-tuning) do Evo 2 com dados genômicos públicos de vírus que infectam humanos também restaurou certas capacidades.

Hie, que co-liderou o desenvolvimento do Evo 2, disse não se surpreender com o fato de que essas proteções possam ser superadas, devido à disponibilidade de dados de treinamento. Ele também não ficaria surpreso se modelos como esse conseguissem projetar vírus capazes de infectar células humanas. Ainda assim, ele defende que esses modelos sejam disponibilizados da forma mais aberta possível. “Acho que a abertura dos modelos, na verdade, contribui para maior segurança, pois pesquisadores de segurança podem estudá-los livremente”, afirmou.

Mesmo assim, muitos pesquisadores estão discutindo a limitação de acesso aos dados ou modelos mais sensíveis.

Uma proposta é que dados de sequência de vírus e outros patógenos permaneçam abertos (milhões de genomas já são de livre acesso), mas que haja restrição para certos dados recém-gerados. Isso incluiria informações que relacionam variações genéticas de patógenos a características ligadas a pandemias, como maior transmissibilidade ou capacidade de infectar diferentes hospedeiros.

Um “motor de preparação para pandemias” em desenvolvimento pela Coalition for Epidemic Preparedness Innovations (CEPI), em Oslo, provavelmente estará disponível apenas para usuários verificados quando for lançado. A CEPI descreveu a ferramenta como um “ChatGPT para desenvolvedores de vacinas” e está trabalhando com a organização sem fins lucrativos Sentinel Bio, em Washington, DC, para definir regras de uso seguro.

Em abril, a OpenAI anunciou um modelo de linguagem voltado à biologia, chamado GPT-Rosalind, que será disponibilizado apenas a pesquisadores e instituições aprovadas. Mesmo aqueles que obtiverem acesso serão monitorados em busca de sinais de uso indevido, segundo YunYun Wang, líder de produtos de ciências da vida da empresa.

A organização sem fins lucrativos Nuclear Threat Initiative propôs um modelo de acesso em níveis, no qual as restrições seriam ajustadas de acordo com o risco de cada ferramenta. Um relatório de 2025 da RAND Corporation avaliou o risco de 57 ferramentas biológicas baseadas em IA e classificou 23% delas como de alto risco. Na mesma linha, o relatório da NASEM recomendou uma abordagem “se–então” para governança, ou seja, planejar previamente quais eventos exigiriam restrições ao acesso a modelos de IA e quais ações deveriam ser tomadas. Um exemplo seria a divulgação de um conjunto de dados sobre um patógeno de alto risco.

Embora governos tenham proposto legislações sobre triagem de pedidos de síntese de DNA, em relação à limitação ou restrição de softwares de IA eles, em sua maioria, ainda adotam uma postura de “esperar para ver”.

Anthony Gitter, biólogo computacional do Morgridge Institute for Research (Wisconsin), alertou que salvaguardas mal desenhadas podem prejudicar o progresso científico. Isso pode afetar especialmente pesquisadores em contextos menos convencionais ou em países com menos recursos, que poderiam ter dificuldade de acessar modelos avançados caso critérios de acesso favoreçam instituições já estabelecidas ou credenciais acadêmicas de elite.

Roman Woelfel, que pesquisa biodefesa para as forças armadas alemãs, concordou que, apesar dos riscos, a IA biológica deve permanecer o mais aberta possível. “Acho que não é viável, nem possível, nem uma boa ideia tentar restringir o acesso à tecnologia”, afirmou Woelfel, diretor do Instituto de Microbiologia das Forças Armadas Alemãs, em Munique.

Se houver algo, a IA biológica dará aos humanos uma vantagem no combate a ameaças pandêmicas naturais ou a agentes mal-intencionados, argumentou Hie. “O benefício marginal, na verdade, favorece quem quer atuar na defesa”, disse ele. E Woelfel acrescentou que as mesmas ferramentas de IA capazes de reprojetar toxinas também podem criar antídotos, ou moléculas capazes de diagnosticar e tratar vírus modificados por IA.

Jenkins está trabalhando com a Organização do Tratado do Atlântico Norte (OTAN) para identificar rapidamente ameaças projetadas por IA, utilizando espectrometria de massa para detectar proteínas desenvolvidas artificialmente presentes em amostras suspeitas.

Empresas privadas também têm surgido com o objetivo de identificar e combater ameaças biológicas relacionadas à IA: a Red Queen Bio, em San Francisco, e a Valthos, em Nova York, atraíram investimentos de 15 milhões e 30 milhões de dólares, respectivamente, embora nenhuma delas tenha divulgado muitos detalhes publicamente sobre seus planos de biodefesa.

O principal desafio para avaliar o risco da IA é a extrema incerteza sobre o quão eficaz essa tecnologia pode se tornar no auxílio a usos indevidos, afirmou Pannu. Até mesmo prever os avanços no curto prazo da IA aplicada à biologia parece algo difícil, diz Alexanian. “Muitas áreas disso me parecem ao mesmo tempo altamente incertas e extremamente urgentes.”