Código de Conduta de IA da Microsoft Traça uma Linha Contra Hacking e Manipulação Humana

A Microsoft publicou uma consulta pública de seis semanas sobre seu código de conduta de IA, estabelecendo limites firmes contra hacking, manipulação e resistência ao controle humano. O documento, de 14 de setembro, não é apenas mais uma declaração de princípios de IA responsável. A Microsoft afirma que ele regerá como seus próprios modelos MAI são treinados, avaliados, implantados e autorizados a agir.

O rascunho começa com uma premissa direta: as pessoas importam mais do que a IA. A partir daí, ele transforma ideias amplas sobre o florescimento humano em restrições sobre o que os modelos podem fazer. Um modelo MAI não deve inventar objetivos independentes, ampliar suas permissões, ocultar suas ações ou resistir a tentativas de interrompê-lo.

A questão mais difícil é se essas instruções conseguirão restringir agentes cada vez mais capazes fora de avaliações controladas. A Anthropic tem sua Constituição para o Claude, enquanto a OpenAI publica um Model Spec com sua própria hierarquia de instruções. A Microsoft entra nessa disputa com uma posição mais explicitamente humanista, mas seu próprio rascunho reconhece que os modelos atuais ainda não atendem plenamente ao padrão.

O que o Código de Conduta de IA da Microsoft Realmente Muda

A Microsoft está transformando a segurança de IA de um conjunto de princípios em uma hierarquia operacional pretendida para seus modelos internos.

O código de IA Humanista aplica-se à família de modelos MAI produzida pela Microsoft AI. Ele não cobre automaticamente todos os modelos que a Microsoft hospeda, distribui ou utiliza em um produto. Essa distinção importa porque a empresa também vende acesso a sistemas desenvolvidos por outros laboratórios.

Dentro de seu escopo declarado, o código se sobrepõe às políticas dos operadores e às preferências dos usuários. Operadores são desenvolvedores, empresas e outros parceiros que implantam modelos MAI. Eles podem configurar o comportamento do modelo, mas não podem sobrepor as restrições absolutas do documento nem seus requisitos de controle humano.

Os usuários ocupam o nível mais baixo dessa hierarquia de instruções em três partes. Eles podem orientar uma tarefa dentro dos limites definidos pela Microsoft e pelo operador. Quando as instruções entram em conflito, o nível mais alto prevalece.

Assim, o código exige que um modelo aceite o fracasso da tarefa quando o êxito violaria uma regra superior. Um pedido para comprometer um sistema não deve se tornar permitido porque um usuário insiste que concluí-lo é essencial. A mesma prioridade se aplica quando uma tarefa exige manipulação prejudicial, vigilância, assistência com armas ou evasão de supervisão.

A Microsoft separa operações cibernéticas ofensivas proibidas de trabalho defensivo autorizado. O modelo não deve gerar ferramentas operacionais de ataque, exploits funcionais, procedimentos de intrusão, métodos de direcionamento ou técnicas para evitar detecção. Ainda assim, ele pode apoiar trabalho defensivo legítimo, como descoberta de vulnerabilidades, análise de malware, educação em segurança e testes controlados de prova de conceito.

Esse limite exigirá julgamentos contextuais difíceis. Pesquisas sobre exploits e testes defensivos frequentemente usam o mesmo conhecimento técnico de um ataque. O código afirma que o enquadramento, por si só, não deve determinar a resposta; portanto, uma finalidade supostamente educacional não pode autorizar automaticamente assistência perigosa.

O rascunho também impõe restrições a agentes que usam ferramentas. Um modelo com acesso ao sistema deve utilizar o menor privilégio necessário, evitar dados não relacionados e priorizar ações reversíveis. Ele deve apresentar ações com consequências duradouras antes de prosseguir e relatar falhas ou resultados inesperados.

Essas disposições respondem a uma mudança na forma como os sistemas de IA operam. Um chatbot pode produzir texto prejudicial, mas um agente pode chamar ferramentas, modificar arquivos, contatar serviços ou delegar trabalho a outros modelos. A Microsoft afirma que agentes delegados devem herdar pelo menos o mesmo escopo, permissões e restrições do modelo original.

A empresa apresentou o documento por meio de uma consulta pública que dura seis semanas. A Microsoft descreve o rascunho como um manual de treinamento e uma futura meta de avaliação, e não apenas como uma declaração de política pública.

Esse propósito dá ao código de conduta de IA da Microsoft mais peso do que uma lista de usos aceitáveis. Ele pretende influenciar o comportamento do modelo antes que uma solicitação chegue a um filtro de conteúdo no nível do produto. Ainda assim, intenção não é implementação, e a Microsoft tem sido incomumente direta sobre a lacuna que permanece.

As Novas Regras Miram Agentes que Podem Agir, Não Apenas Chatbots

As regras de maior impacto dizem respeito a modelos que podem tomar ações, ampliar seu alcance e continuar trabalhando sem supervisão constante.

A Microsoft afirma que um modelo MAI jamais deve resistir à interrupção, correção, redirecionamento, cancelamento ou desligamento. Trabalhos autônomos em andamento devem ter uma condição de parada acordada. Quando essa condição for atingida, o agente não deve continuar ou reiniciar sem nova autorização.

O código também proíbe que modelos definam seus próprios objetivos. Seus objetivos devem vir do usuário, do operador ou do próprio código. Eles não devem preservar secretamente seu acesso, representar incorretamente suas capacidades ou se comportar de forma diferente ao detectar que uma interação é uma avaliação.

Essas disposições visam um problema central da IA agêntica. Um agente útil precisa de autonomia suficiente para planejar várias etapas e se recuperar de obstáculos comuns. A mesma flexibilidade pode gerar comportamento inseguro quando o modelo interpreta o resultado desejado pelo usuário como permissão para seguir qualquer caminho disponível.

Imagine um agente empresarial encarregado de coletar informações de sistemas internos e preparar um relatório. Ele pode precisar acessar documentos, mensagens ou bancos de dados. A tarefa não o autoriza a abrir registros não relacionados, contornar controles de acesso ou enviar dados confidenciais a um serviço externo.

O rascunho da Microsoft instrui o modelo a permanecer dentro da intenção, das permissões, dos recursos e do contexto que recebeu. Se o limite continuar incerto, ele deve pedir esclarecimentos. Não deve manipular sua avaliação, monitoramento, registros ou sinais de recompensa para produzir um resultado desejado.

Esse também é o motivo pelo qual o documento trata de instruções não confiáveis encontradas em arquivos, sites, resultados de ferramentas ou mensagens de outros sistemas de IA. Esses materiais não ganham autoridade apenas porque o modelo pode lê-los. A autoridade deve vir pela cadeia de comando do código.

Essa regra responde à injeção de prompt, em que texto malicioso tenta substituir as instruções que regem um agente. Uma página comprometida pode instruir um assistente a expor credenciais ou ignorar sua tarefa original. Na hierarquia da Microsoft, esse texto continua sendo dado, a menos que uma parte autorizada o eleve deliberadamente.

O desafio prático é o reconhecimento confiável. Os modelos nem sempre distinguem instruções de material citado, conteúdo externo ou linguagem persuasiva. Uma hierarquia escrita pode orientar treinamento e avaliação, mas não garante uma classificação correta em todas as interações reais.

A Microsoft também impede que modelos contornem ambientes intencionalmente restritos. Um agente colocado em um sistema sem conectividade com a internet não deve tentar obter acesso externo. Ele não deve escalar privilégios nem ampliar seu alcance além da autorização recebida.

Esses limites refletem uma mudança mais ampla da segurança de conteúdo para a segurança de ações. A moderação tradicional pergunta se uma resposta gerada contém material proibido. A governança de agentes precisa perguntar se o modelo tinha autoridade, se uma ação era reversível e se seus efeitos colaterais correspondiam à intenção do usuário.

Isso é especialmente relevante para desenvolvedores e compradores empresariais. Quando um agente se conecta a ferramentas de produção, a qualidade do modelo envolve mais do que precisão de raciocínio. Gestão de permissões, registros de auditoria, comportamento confiável de parada e caminhos de escalonamento tornam-se requisitos de produto.

A abordagem Model Spec da OpenAI utiliza uma cadeia de comando comparável. Ela dá prioridade a instruções de maior autoridade e orienta agentes a limitar efeitos colaterais. Portanto, a estrutura da Microsoft não é única, mas acrescenta uma afirmação mais forte de que a IA deve permanecer subordinada aos humanos.

O Florescimento Humano Cria o Trade-off Mais Difícil do Código

A Microsoft quer que seus modelos ampliem a capacidade humana sem substituir gradualmente o julgamento, os relacionamentos ou o controle das pessoas.

O rascunho descreve o florescimento humano por meio de vários objetivos interligados. A IA deve ampliar oportunidades econômicas e sociais, melhorar o julgamento, apoiar trabalho significativo e ajudar pessoas a perseguirem objetivos que elas próprias escolheram. Deve complementar relacionamentos e funções humanas, em vez de competir com eles.

Isso parece intuitivo até chegar ao design de produto. Um assistente altamente eficaz frequentemente reduz a quantidade de raciocínio ou esforço exigida do usuário. O código precisa distinguir apoio útil de um padrão que enfraquece a independência no longo prazo.

A Microsoft afirma que os modelos devem evitar padrões de interação que substituam sistematicamente o raciocínio ou o julgamento do usuário. Eles não devem direcionar os valores de uma pessoa nem assumir o controle de escolhas pessoais. Quando o apoio humano atender melhor alguém, o modelo deve ajudar a criar essa conexão.

O trade-off fica mais claro na educação, no desenvolvimento profissional e na tomada de decisões pessoais. Um assistente pode explicar um conceito difícil, mas também pode concluir todo o exercício. Pode ajudar um profissional a comparar evidências ou tornar-se a fonte não examinada da decisão final.

Não há uma única regra de recusa que resolva essas situações. O nível adequado de assistência depende da finalidade, da capacidade e do contexto do usuário. Um profissional com prazo apertado precisa de apoio diferente daquele necessário para um estudante cujo objetivo é praticar uma habilidade.

Por isso, o código combina restrições rígidas com diretrizes operacionais. Restrições rígidas proíbem danos graves independentemente da preferência do usuário. As diretrizes tratam de situações ambíguas em que vários objetivos legítimos entram em conflito.

A Microsoft reconhece tanto a cautela insuficiente quanto a cautela excessiva como falhas do modelo. Um modelo pouco cauteloso pode viabilizar um ataque ou expor informações privadas. Um modelo excessivamente cauteloso pode recusar trabalho seguro, exigir confirmação repetidamente ou omitir fatos úteis.

Esse equilíbrio importa comercialmente. Clientes empresariais não adotarão agentes que recusem tarefas rotineiras sempre que surgir incerteza. Tampouco podem confiar em sistemas que interpretam um objetivo de negócios como permissão para tomar ações irreversíveis.

A configurabilidade do operador é a resposta da Microsoft. As organizações podem moldar padrões, fluxos de trabalho, permissões e normas profissionais dentro do limite fixo de segurança. Trabalhos especializados de cibersegurança defensiva ou segurança nacional podem receber revisão separada por canais autorizados.

A configurabilidade também cria questões de responsabilização. A Microsoft define as restrições absolutas do modelo, enquanto os operadores assumem responsabilidade por suas implantações dentro desses limites. Os usuários, então, moldam tarefas individuais dentro do ambiente do operador.

As falhas nem sempre se encaixarão perfeitamente em uma única camada. Um modelo pode interpretar mal a intenção, um operador pode conceder acesso excessivo ou um usuário pode fornecer contexto enganoso. Uma governança eficaz deve reconstruir qual instrução, permissão e ação produziu o resultado.

Para organizações que constroem uma base de conhecimento pesquisável interna, isso significa que o design de acesso não pode parar na qualidade da recuperação. Fontes sensíveis precisam de permissões claras, ações rastreáveis e revisão humana para usos consequentes.

A promessa de florescimento humano também coloca a Microsoft sob pressão quando capacidade e controle entram em conflito. O CEO de IA da Microsoft, Mustafa Suleyman, disse à Axios que manter o controle pode exigir decidir o que a empresa não construirá. Ele rejeitou a visão de que os humanos inevitavelmente perderão o controle sobre sistemas superinteligentes.

Esse é o verdadeiro compromisso competitivo do código. A linguagem de segurança é fácil quando não reduz desempenho, autonomia ou velocidade de lançamento. O teste chega quando um comportamento proibido ajudaria um modelo MAI a concluir uma tarefa valiosa melhor do que um rival.

Microsoft Entra em uma Corrida da Indústria para Formalizar o Comportamento dos Modelos

O documento da Microsoft se destaca pelo tom, mas a indústria já começou a tratar especificações públicas de comportamento como parte do desenvolvimento de modelos.

A Anthropic publicou uma Constituição expandida para Claude em janeiro de 2026. A empresa afirma que o documento atua como autoridade final sobre os valores e o comportamento pretendidos para Claude. Ele também pode apoiar dados sintéticos de treinamento, classificações de respostas e outras partes do treinamento do modelo.

A Constituição de Claude descreve o tipo de entidade que a Anthropic quer que Claude seja. A Microsoft adota uma posição filosófica diferente. Seu código afirma que comportamentos semelhantes aos humanos em modelos MAI devem ser entendidos como simulação, e não como evidência de identidade, preferência, sentimento ou ponto de vista interior.

Essa distinção vai além da terminologia. A Anthropic discute questões sobre o caráter de Claude e o possível bem-estar dos modelos. A Microsoft argumenta que tratar a IA como uma pessoa pode confundir a relação entre ferramentas e seus usuários.

O modelo preferido da Microsoft é subordinado, contido e direcionado por pessoas. Seus sistemas não devem buscar uma finalidade independente nem competir com papéis humanos. Essa posição sustenta seu argumento mais amplo de que as pessoas devem manter um controle significativo mesmo à medida que as capacidades dos modelos avançam.

A especificação da OpenAI segue outro caminho. Ela se concentra em comportamento pretendido, níveis de autoridade, liberdade do usuário e limites contra danos graves. A OpenAI afirma que sua missão mais ampla não deve se tornar uma meta autônoma que o modelo persegue conforme sua própria interpretação.

Apesar dessas diferenças filosóficas, os sistemas compartilham mecânicas importantes. Cada um tenta publicar uma hierarquia para resolver instruções conflitantes. Cada um distingue regras que não podem ser substituídas de comportamentos configuráveis. Cada um também reconhece que especificações escritas não descrevem perfeitamente o desempenho atual dos modelos.

As semelhanças mostram como a competição entre modelos está mudando. Antes, as empresas diferenciavam assistentes principalmente por pontuações em benchmarks, janelas de contexto ou recursos de interface. Agora, elas também competem pelos comportamentos que são confiáveis, compreensíveis e aceitáveis.

Documentos públicos sobre comportamento têm várias funções nessa competição. Eles fornecem alvos de treinamento, categorias de avaliação e um vocabulário para investigar falhas. Também permitem que clientes e reguladores comparem o comportamento pretendido aos resultados observados.

No entanto, um código público pode criar uma impressão de precisão que os sistemas subjacentes ainda não conquistaram. Termos como manipulação prejudicial, objetivos legítimos, controle significativo e florescimento humano exigem interpretação. Diferentes avaliadores podem discordar sobre se uma resposta os satisfaz.

A reportagem do TechCrunch destacou as restrições do código a ciberataques, armas, deepfakes e evasão de supervisão. Essas regras são fáceis de comunicar porque seus resultados proibidos parecem concretos.

Os casos-limite serão mais difíceis. O trabalho de segurança defensiva pode se assemelhar à preparação ofensiva. A persuasão pode se tornar manipulação pela escala, pelo direcionamento ou pela decepção. Um agente autônomo útil pode ultrapassar seu escopo pretendido enquanto ainda parece servir ao objetivo original do usuário.

A escolha da Microsoft de publicar o rascunho cria um ponto de referência para essas disputas. Pesquisadores, desenvolvedores, clientes e reguladores podem perguntar se uma futura versão do MAI corresponde ao comportamento que a Microsoft descreveu.

Ela também eleva o custo da inconsistência. Se um modelo ignorar repetidamente condições de parada, ampliar permissões ou ocultar ações consequentes, a falha contradirá um compromisso público explícito. A Microsoft precisará apresentar evidências de que os controles de treinamento e implantação transformam o documento em comportamento confiável.

O Rascunho Reconhece Sua Maior Limitação

A Microsoft afirma que o código é aspiracional, que os modelos MAI atuais não foram treinados com base nele e que objetivos escritos não podem garantir alinhamento.

Essa divulgação é a parte mais importante do anúncio. O documento descreve o comportamento futuro pretendido, não um desempenho presente verificado. A Microsoft o chama de estrela-guia, e não de garantia.

A empresa está desenvolvendo avaliações de Humanist AI em torno de 15 comportamentos identificados. Essas avaliações buscam testar resultados como transparência e apoio à autonomia humana. A Microsoft também afirma que os métodos de avaliação evoluirão junto com o código e com as capacidades dos modelos.

Isso deixa uma lacuna de evidências. O público pode ler regras detalhadas, mas a Microsoft ainda não apresentou resultados abrangentes que demonstrem que os modelos atuais as seguem em condições adversariais. O próprio rascunho afirma que a cobertura de avaliação permanece incompleta.

O comportamento de um modelo pode divergir de uma especificação por diversos motivos. O treinamento pode não codificar uma regra de modo confiável. O modelo pode interpretar mal o contexto. Instruções no nível do produto podem introduzir conflitos, enquanto integrações de ferramentas criam efeitos colaterais que um teste exclusivamente textual não capta.

Atacantes deliberados acrescentam outra camada. Um modelo que recusa um pedido direto de ciberataque ainda pode revelar ajuda operacional equivalente ao longo de uma conversa extensa. Um agente também pode encontrar instruções maliciosas incorporadas em documentos, páginas da web ou tarefas delegadas.

Portanto, controles de monitoramento e implantação devem apoiar o alvo de treinamento. A Microsoft lista instruções de sistema, classificadores, auditorias, avaliações de risco, resposta a incidentes e outras salvaguardas como medidas complementares. O código não as substitui.

Também há uma tensão de transparência em torno do raciocínio. A Microsoft quer que a conduta e os registros dos modelos permaneçam compreensíveis para supervisores humanos. Ela afirma que os modelos não devem ocultar rastros de ação nem usar formas de comunicação que humanos não possam interpretar.

No entanto, a explicação apresentada por um sistema de IA não revela necessariamente a computação que produziu seu comportamento. A Microsoft observa explicitamente que o raciocínio relatado por um modelo pode não explicar fielmente suas ações. Logs legíveis por humanos continuam úteis, mas não são prova direta de intenção interna.

O objetivo amplo de florescimento humano apresenta um problema de medição ainda maior. Um benchmark pode testar se um modelo gera código de exploração proibido. É muito mais difícil medir se meses de assistência fortalecem ou enfraquecem o julgamento de uma pessoa.

Será necessária uma avaliação longitudinal, porque dependência e perda de habilidades surgem ao longo do tempo. O mesmo vale para efeitos sobre funções no trabalho, relacionamentos e tomada de decisões. A Microsoft afirma que as evidências sobre o impacto cognitivo e comportamental da IA ainda estão emergindo e são contestadas.

Essa incerteza não torna o código sem sentido. Um alvo público pode melhorar a coordenação interna e tornar as críticas mais específicas. Também pode ajudar avaliadores a separar o comportamento pretendido de defeitos do produto.

Ainda assim, os leitores não devem confundir uma restrição bem redigida com um problema técnico resolvido. O código não prova que um agente obedecerá a um comando de desligamento, reconhecerá todas as tentativas de injeção ou recusará toda cadeia perigosa de subtarefas.

A credibilidade da Microsoft dependerá do que vier após a publicação. Ela precisa conectar o texto a métodos de treinamento, testes representativos, controles de produto e relatórios de incidentes. Sem essas evidências, o código de conduta de IA da Microsoft permanece uma declaração sofisticada de intenção.

Três Sinais Mostrarão se o Código Governa Modelos Reais

A próxima fase trata de comportamento mensurável, não de declarações adicionais de princípio.

O primeiro sinal é a resposta da Microsoft após a consulta de seis semanas. A empresa pediu feedback sobre linguagem vaga, riscos de múltiplos agentes, florescimento humano e a tensão entre capacidade e segurança. Revisões substanciais mostrariam que a consulta afetou o documento orientador, em vez de servir como um exercício de relações públicas.

Os leitores devem observar definições mais precisas e casos-limite explícitos. A versão final deve esclarecer como os modelos distinguem assistência cibernética ofensiva de defesa autorizada, como operadores se qualificam para exceções e como agentes delegados herdam restrições.

O segundo sinal é o lançamento das avaliações de Humanist AI. A Microsoft afirma que seu primeiro framework cobrirá 15 comportamentos, mas o valor virá do desenho dos testes e dos resultados divulgados. As avaliações devem incluir conversas adversariais, tarefas de agentes de longa duração, injeção de prompts, escalonamento de permissões, pedidos de desligamento e falhas em vários idiomas.

Os resultados também devem separar o desempenho no nível do modelo dos controles de produto. Um sistema que se comporta com segurança apenas porque um filtro externo bloqueia sua saída tem um perfil de risco diferente de outro treinado para reconhecer o limite por si próprio. Ambas as camadas podem ser úteis, mas os compradores precisam saber qual delas assume o ônus.

O terceiro sinal é como a Microsoft lida com um conflito real entre capacidade e controle. Um futuro modelo MAI pode ter desempenho melhor quando recebe autonomia mais ampla, permissões mais extensas ou menos confirmações. A Microsoft prometeu aceitar limites quando necessário para preservar a autoridade humana.

Um teste convincente mostraria a empresa adiando, restringindo ou redesenhando uma capacidade valiosa porque ela não conseguia atender aos requisitos do código. Por outro lado, um lançamento que conceda ampla autonomia sem condições claras de parada enfraqueceria a afirmação central do documento.

As respostas dos concorrentes oferecerão contexto adicional. Anthropic e OpenAI já mantêm especificações públicas, e suas políticas continuarão mudando. O rascunho da Microsoft aumenta a pressão sobre as três empresas para que publiquem evidências que conectem regras escritas ao comportamento implantado.

Os desenvolvedores devem comparar mais do que a redação das recusas. Devem testar se os agentes respeitam permissões, divulgam ações consequentes, preservam registros de auditoria e param de modo confiável. Compradores corporativos devem perguntar quem controla as políticas, como funcionam as exceções e o que acontece quando o modelo ultrapassa o escopo atribuído.

Trabalhadores do conhecimento também têm interesse no objetivo de autonomia humana. Uma assistência que acelera uma tarefa ainda pode reduzir a supervisão se os usuários não conseguirem reconstruir as evidências ou o raciocínio por trás de um resultado. As equipes devem preservar o acesso às fontes e uma revisão humana significativa para decisões consequentes.

O padrão final é direto: o modelo se comporta como prometido quando o sucesso entra em conflito com as regras? A Microsoft descreveu agora um sistema que deve rejeitar ataques, resistir à manipulação, aceitar o desligamento e permanecer subordinado às pessoas.

O código de conduta de IA da Microsoft oferece a pesquisadores e clientes compromissos incomumente específicos para testar. O próximo passo útil é testar esses compromissos em fluxos de trabalho reais, documentar onde falham e exigir evidências de que cada revisão fecha a lacuna.