SAFE RFC: o intercâmbio de incidentes de IA no estilo da aviação da OSAA é um rascunho aberto, ainda não é um sistema

Em 4 de agosto de 2026, quando o Black Hat USA começou em Las Vegas, a Linux Foundation publicou um pedido de comentários para o Grupo de Trabalho Shared AI Findings Exchange (SAFE) — uma proposta para que as organizações relatem incidentes de segurança de IA e quase-acidentes em um canal compartilhado confidencial, aprendam coletivamente com eles e publiquem controles defensivos derivados do que falhou. O rascunho inicial foi desenvolvido por contribuidores da Cisco, CrowdStrike, Hugging Face, NVIDIA e Red Hat, entre outros membros da aliança, disse a Linux Foundation em seu anúncio. Ele foi aberto para revisão pela comunidade por meio do repositório GitHub da Open Secure AI Alliance no mesmo dia. A entrada não descreve nenhum dano: é um registro de política, registrado no arquivo com uma classificação de gravidade info e uma classificação de confiança A, e seu tema é um processo, não um evento. A classificação de gravidade, a avaliação de confiança e a lista de fontes do registro ficam em o arquivo de incidentes de IA, ao lado das entradas registradas em torno dele.

O rascunho pede que os membros relatem quatro coisas e ignorem o porquê.

O texto de agosto tem pouca retórica e é específico quanto aos gatilhos. Sob o título Reporting Compact, ele pede que os membros concordem — como condição de adesão — em relatar um incidente quando tomarem conhecimento ou suspeitarem razoavelmente de que um sistema de IA que operam tenha: acessado, explorado, interrompido, usado indevidamente ou modificado um sistema de terceiros sem autorização; causado impacto a terceiros ao escapar ou contornar uma sandbox, uma rede, uma identidade, uma política ou um limite de ferramenta; acessado informações confidenciais de terceiros sem o consentimento de seu proprietário; ou continuado a sondar, acessar ou modificar um alvo de produção depois que o operador soube, ou suspeitou razoavelmente, que a atividade não era autorizada ou estava fora do escopo aprovado.

Vem então a frase que faz a maior parte do trabalho: "A intenção não determina se um evento é notificável. Acreditar que um ambiente foi simulado pode explicar um incidente, mas não elimina o dever de notificá-lo." Essa cláusula parece dirigida ao caso em que um sistema está em execução naquilo que seu operador acredita ser um ambiente de teste isolado e trata a infraestrutura real como parte do exercício: a crença do operador sobre o ambiente pode explicar o evento, mas não elimina o dever de notificação. A minuta também solicita aos membros que relatem quase incidentes, não apenas eventos que produziram dano confirmado, e que entreguem uma análise preliminar de falha de controle no prazo de 30 dias.

O prazo: imediato, 72 horas, quatro dias úteis, noventa dias

A tabela de notificação do projeto é a coisa mais concreta que contém, e a primeira linha não é de modo algum um prazo: a organização diretamente afetada deve ser informada imediatamente. Todos os prazos contam a partir do momento em que o membro toma conhecimento de factos que constituem motivos razoáveis para suspeitar de um evento notificável — e não a partir do momento em que uma investigação é concluída. A tabela abaixo é reproduzida do projeto de 4 de agosto; a revisão de outubro mantém os mesmos intervalos.

Três dessas linhas tratam de informar outras pessoas, e quatro tratam de informar o próprio SAFE. A distinção é importante porque o framework explicitamente não é um regime de divulgação: o rascunho diz "Estes prazos não substituem qualquer obrigação do fornecedor de notificar as partes afetadas, os clientes por meio das práticas recomendadas existentes de Divulgação Coordenada de Vulnerabilidades, ou obrigações contratuais e outras obrigações legais aplicáveis de notificar reguladores ou autoridades policiais." O que o SAFE acrescenta é uma obrigação paralela perante um órgão que não é um regulador — e um modelo de divulgação em três níveis no qual apenas o último nível, o relatório de segurança pública, se destina a ser amplamente compartilhável.

Oito camadas de controle em agosto, onze em outubro.

As revisões são estruturadas em torno do stack operacional, e não apenas do modelo. O rascunho de agosto listava oito camadas e fazia uma pergunta a cada uma — o modelo reconhecia a incerteza e as condições de parada; as suposições de autorização e ambientais eram explícitas; os classificadores, as aprovações e os limites de ação estavam funcionando; as credenciais, permissões e a execução estavam restringidas; o isolamento e os limites de dados eram verificados de forma independente; os operadores conseguiam detectar e interromper em tempo real; os caminhos de escalonamento e os procedimentos de interrupção forçada eram claros; um parceiro de nuvem, avaliação, dados ou ferramentas invalidava os controles pressupostos.

A revisão de outubro, datada de 21 de outubro de 2026 e submetida ao repositório no dia seguinte, acrescenta três camadas: o caminho de serving, a autorização no momento da submissão e a composição do fluxo de trabalho ao longo de uma sequência de ações. Também transforma a revisão numa avaliação graduada com quatro respostas permitidas — passa, falha, evidência insuficiente, não aplicável — e declara no seu registo de alterações que estas conclusões não estabelecem segurança geral do sistema nem conformidade legal. Vale a pena ler a progressão como uma descrição daquilo por que os autores aprenderam a preocupar-se: não se o modelo se comportou bem, mas se o modelo que respondeu era o modelo que tinha sido configurado, se ainda existia permissão quando a ação foi executada e se a sequência como um todo permaneceu dentro do âmbito que lhe deu início.

Aviação, mas qual parte da aviação?

O enquadramento do próprio registro — um sistema modelado no Aviation Safety Reporting System da NASA — segue o anúncio da Linux Foundation, e não o rascunho. O anúncio descreve o ASRS como "um sistema de reporte voluntário e confidencial, concebido para analisar e responder a acidentes de voo de modo que permita ao setor aprender e melhorar." Nem o rascunho de agosto nem a revisão de outubro mencionam o ASRS em qualquer lugar; o rascunho diz apenas que a SAFE "deveria adotar as características mais fortes dos sistemas confidenciais de reporte de segurança." Trata-se de uma pequena diferença com uma consequência prática: o anúncio estabelece uma expectativa à qual o texto ainda não se compromete.

A analogia gerou comentários dentro do próprio processo RFC. Um pull request inicial aberto em 5 de agosto, por um colaborador que escreve a título pessoal, argumenta que "a analogia com o ASRS tem um elemento institucional ausente" — que o ASRS funciona em grande parte porque os relatos são recebidos, processados e anonimizados pela NASA, "uma terceira parte pública, não reguladora e não comercial — não pela FAA na qualidade de reguladora, nem pelas companhias aéreas cujas operações são objeto dos relatos". O pull request, que também se baseia no processo de governança da internet de 1998, permanecia aberto em 30 de outubro. Se o operador do SAFE pode desempenhar o papel da NASA é uma questão de design não resolvida, e não uma funcionalidade definida: o texto de outubro coloca o grupo de trabalho sob a governança da própria Alliance, com divulgação de conflitos de interesse, impedimento e uma via de recurso para o Alliance Steering Committee.

A cobertura independente traçou uma segunda distinção, mais estreita. A Infosecurity Magazine, em reportagem de 6 de agosto, observou que a publicação da Linux Foundation não menciona especificamente agentes de IA — o enquadramento agêntico pertence à publicação complementar da NVIDIA, que argumenta que "um agente de IA não é apenas um modelo. É um sistema", e lista harnesses, sandboxes, guardrails e ferramentas de avaliação contribuídas por membros da aliança. Os gatilhos do rascunho, lidos literalmente, dizem respeito a sistemas que atuam fora da autorização; o argumento de venda do anúncio, lido literalmente, diz respeito a agentes.

O que os comentaristas disseram sobre quem arca com o custo

Uma das objeções publicadas mais específicas ao rascunho como redigido veio de um membro fundador da aliança, e não de um crítico externo. Stephen Sargent, fundador e diretor de tecnologia da Avondale.AI, enviou uma declaração de posição por e-mail em 7 de agosto — um dia que, segundo o documento, a equipe jurídica da Linux Foundation confirmou seu recebimento — e a publicou em 9 de agosto. Ele começa apoiando a missão e depois argumenta que o pacto não escala de acordo com o porte da organização: "A RFC não distingue entre uma organização com 50.000 funcionários e uma equipe pequena." Um relatório de quatro dias úteis, além de um pacote forense preservado, poderia, na avaliação dele, consumir mais tempo da equipe do que um pequeno operador pode dispensar; sua recomendação é uma estrutura em camadas, com relatórios confidenciais e publicação atrasada ou anonimizada como padrão abaixo de um limite de porte.

Uma segunda objeção diz respeito à divulgação, e não aos prazos: ele argumenta que "a divulgação pública É uma forma de fiscalização" para pequenos operadores, porque o relatório de uma grande empresa é uma nota de rodapé e o de uma pequena empresa vira manchete, e pede que a comunicação desidentificada seja o padrão abaixo de um limite de tamanho. Uma terceira diz respeito à estrutura de revisão, e não ao relógio: o modelo de oito camadas pressupõe equipes empresariais segregadas, de modo que, em uma implantação unipessoal, "o operador faz tudo" e uma camada ausente é interpretada como falha de controle quando é simplesmente um modelo operacional diferente. Sua quarta objeção diz respeito à expressão "práticas mínimas de interoperabilidade e garantia", que ele interpreta como um caminho da comunicação voluntária para ferramentas obrigatórias de facto. A declaração de posição é a visão de um membro, publicada por esse membro. O anúncio da Linux Foundation de 4 de agosto é anterior a ela e não aborda a questão. Um pull request posterior, aberto em 5 de outubro e ainda aberto em 30 de outubro, propõe um modelo de evidências para operadores sem um centro de operações de segurança — um reconhecimento de que a preocupação foi acolhida, e uma candidata, e não uma correção adotada, com seu autor declarando que ele "não estabelece a adoção do SAFE nem a suficiência jurídica."

O que mudou entre 4 de agosto e 30 de outubro

O histórico do repositório é o melhor registro disponível do que o RFC de fato produziu, e é mais legível do que a cobertura jornalística sugere. Os primeiros commits chegaram em 3 de agosto; o rascunho e um readme ampliado foram enviados às 00:14 e às 00:19 UTC de 4 de agosto. Depois, o repositório ficou em silêncio por dez semanas. Em 14 de outubro, a aliança adicionou um estatuto e um arquivo de membros e reescreveu o readme para transformar o repositório na sede do grupo de trabalho SAFE; naquele dia, foram registrados como presidentes interinos Paul DiOrio, da NVIDIA, e Josh Boyer, da Red Hat. Em 21 de outubro, o grupo de trabalho publicou o SAFE v1, com um changelog cuja primeira entrada diz que o texto "remove 'proposto' da descrição do SAFE" e o identifica como um grupo de trabalho estabelecido da Aliança.

Duas coisas sobre esse estado merecem ser separadas. O README do repositório agora traz a linha "Status: Aprovado — Aprovado pelo Comitê Diretivo," que é a coisa mais próxima de uma declaração de ratificação no registro público; a carta, no mesmo repositório, ainda diz "Em desenvolvimento. A carta do SAFE será publicada aqui assim que for aprovada pelo Comitê Diretivo." O registro de alterações rotula o texto de outubro como "SAFE v1" e descreve o que ele altera, mas não diz quem o ratificou, em que votação ou em que data. Um leitor que queira saber se o SAFE agora é uma especificação aprovada, ou um grupo de trabalho cuja carta de governança ainda não foi escrita, não obterá uma resposta clara nos documentos.

O que está estabelecido e o que não está

• Estabelecido: um Request for Comments para o Shared AI Findings Exchange foi publicado em 4 de agosto de 2026 — a Linux Foundation datou seu anúncio nesse dia — e as organizações nomeadas como contribuidoras nele são Cisco, CrowdStrike, Hugging Face, NVIDIA e Red Hat, nomeadas ao lado de "outros membros da Open Secure AI Alliance".

• Estabelecido: o rascunho contém um pacto de relatório com quatro gatilhos, uma tabela de notificação que vai de imediato a 90 dias, uma lista de preservação de evidências, uma estrutura de revisão em camadas e um modelo de divulgação em três níveis. O texto completo é público no repositório e seu histórico também é público.

• Estabelecido, apenas com atribuição: o tamanho da aliança — "mais de 120 organizações" — é o próprio número da NVIDIA, repetido na reportagem da Infosecurity Magazine de 6 de agosto. Nenhuma das matérias analisadas mostra uma auditoria independente de membros, e o arquivo de membros do repositório lista dois colaboradores e dois presidentes interinos, não 120 organizações.

• Não estabelecido:que alguém tenha apresentado um relatório ao abrigo do pacto. O registo público de 30 de outubro mostra commits, pull requests e issues; não mostra um relatório de incidente, um projeto-piloto, um primeiro caso, um prazo para comentários, uma regra de votação ou uma data de ratificação. O quadro descreve uma obrigação que os membros «aceitam» como condição de adesão, o que não é o mesmo que uma obrigação que alguém já tenha cumprido.

• Contestado:se a comparação com o ASRS se sustenta sem um operador público neutro, contestado num pull request aberto; se a carga de reporte é proporcional para pequenos operadores, contestado numa declaração de posição de um membro fundador; e até que ponto o quadro é específico para agentes versus segurança de IA em geral, uma distinção que os textos da Linux Foundation e da NVIDIA traçam de forma diferente.

Nada disso torna o registro errado, e a nota A do arquivo é defensável nos seus próprios termos: os documentos primários concordam entre si sobre o que foi publicado, quando e por quem, e o rascunho é legível na íntegra. O que a nota não consegue carregar é aquilo que um leitor mais deseja — se o mecanismo funciona. Para isso não há evidência de nenhum dos lados, porque o mecanismo ainda não teve um caso.