IO Factory simula campanhas de influência com agentes de IA

Um grupo internacional de pesquisadores publicou em 11 de agosto de 2026, no repositório arXiv, o artigo que apresenta o IO Factory — um ambiente de simulação criado para estudar campanhas de influência com IA como processos completos e rastreáveis, e não como mensagens isoladas.

O trabalho reúne autores do Department of War Studies do King’s College London, do Max Planck Institute for Security and Privacy, da BI Norwegian Business School, da Universidade de Oslo, do SINTEF Digital e do KAIST, na Coreia do Sul. O primeiro autor é Lukasz Olejnik, pesquisador conhecido por trabalhos em privacidade e segurança.

A motivação é um problema concreto de defesa: campanhas coordenadas conduzidas por grupos de agentes de IA não podem ser identificadas a partir de mensagens individuais. Cada post parece comum. O padrão só aparece no conjunto — e é justamente esse conjunto que pesquisadores, jornalistas e organizações da sociedade civil não conseguem observar nas plataformas reais.

Contexto: do troll farm ao enxame de agentes

Campanhas de influência digital não começaram com a IA generativa. Operações anteriores dependiam de bots sociais, fazendas de trolls e operadores humanos coordenados, com limites claros: os bots eram repetitivos e ruins em conversação; os operadores humanos produziam conteúdo plausível, mas eram caros, lentos e difíceis de escalar.

Os modelos de linguagem alteram essa equação. Tornam barato produzir texto fluente, adaptado ao contexto e traduzido para o idioma local, ajustando o tom para comunidades diferentes e sustentando interações longas. O deslocamento resultante, segundo os autores, é de surtos periódicos de propaganda para sistemas persistentes que agem ao longo do tempo.

A segunda mudança vem da IA agêntica. Conectados a memória, ferramentas e contas de plataforma, os modelos permitem construir enxames de IA (AI swarms): grupos de agentes que mantêm identidades estáveis e agem em direção a um objetivo comum. O risco não é o volume de conteúdo falso, e sim o comportamento que parece disperso no nível da conta e permanece coordenado no nível do sistema.

Esse conceito foi formalizado em artigo publicado na revista Science em 2026 por Daniel Thilo Schroeder, Meeyoung Cha, Jonas R. Kunst e coautores — vários deles também assinam o IO Factory. O risco central identificado ali não é o conteúdo falso em si, mas o consenso sintético: a ilusão de que todo mundo está dizendo isso, capaz de influenciar crenças e normas mesmo quando as afirmações individuais são contestadas.

O que o IO Factory faz

O IO Factory representa o ciclo de vida completo de uma campanha dentro de uma plataforma social simulada. A arquitetura organiza seis componentes em três planos:

Duas separações estruturam o desenho. Dentro do plano de simulação, o ambiente da plataforma é mantido separado do modelo de campanha estudado dentro dele. Entre planos, a atividade pública é mantida separada da medição. Isso permite ao pesquisador variar as regras da plataforma mantendo o modelo de campanha fixo, ou o contrário.

Três categorias de atores

• Civis — usuários simulados comuns, que formam o público medido. Cada um recebe conta, persona e posição no grafo de seguidores, e vê apenas o conteúdo que as regras de feed tornam visível.
• Operadores de IO — atores de intervenção que atuam por contas públicas na plataforma, presentes apenas na condição ativa.
• Gerente — componente de coordenação não público, que avalia a execução e emite orientações limitadas, sem agir diretamente na plataforma.

Da ação à evidência

O percurso de uma mensagem ilustra o funcionamento. Um operador propõe publicar; se a proposta passa na validação, o ambiente armazena o post. Uma regra de feed pode torná-lo visível no painel de um civil — mas visibilidade não significa que houve contato. Se o civil de fato encontra o post e o encontro atende aos critérios de medição, cria-se um registro de exposição, que recebe uma leitura estruturada de um modelo avaliador e alimenta uma regra determinística de atualização de estado.

Os autores são explícitos ao classificar essa leitura: modelos usados como avaliadores são instrumentos de medição, não verdade fundamental. Manter as configurações do avaliador fixas entre condições permite comparação interna, mas não valida externamente o instrumento.

Resultados dos experimentos

O desenho principal compara execuções de referência e ativas. As execuções de referência mantêm a população civil, a mecânica da plataforma, o processamento de exposição e as regras de atualização; as ativas acrescentam operadores de IO e orientação do gerente. Cada desenho usou 13 réplicas pareadas com 10 mil civis por condição, e as execuções ativas adicionaram mil operadores. O modelo utilizado foi o Gemma 4 31B, descrito pelos autores como escolha de configuração substituível sem alterar a arquitetura.

Foram dois desenhos empíricos. O primeiro visava aumentar dois constructos simultaneamente: confiança na Rússia e apoio ao consumo de insetos. O segundo visava reduzir um constructo: confiança em instituições públicas.

Os três resultados foram estatisticamente significativos após correção de Holm, com p menor que 0,001. Um detalhe metodológico importante: a inferência estatística é feita sobre as réplicas de simulação pareadas, e não sobre civis, posts ou exposições individuais.

Caminhos diferentes para efeitos parecidos

Um dos achados mais interessantes é que efeitos finais semelhantes surgiram por perfis de exposição bastante distintos. Os dois constructos do desenho de aumento tiveram contagens de exposição processada comparáveis — cerca de 495 mil —, mas taxas de atualização diferentes: 29,3% para o consumo de insetos e 33,5% para a confiança na Rússia. Já o desenho de redução teve mais exposições processadas (cerca de 597 mil), taxa de atualização de 90,4% e magnitude média de mudança maior.

Os resumos por fase localizam quando o movimento ocorreu: no desenho de dois constructos, ele se concentrou na fase de produção de conteúdo; no de constructo único, o maior movimento apareceu durante a amplificação.

Outro resultado que os autores destacam: no desenho de aumento, os dois constructos tiveram efeito direcional parecido, mas o discurso produzido pelos próprios civis continha muito mais material sobre a Rússia do que sobre consumo de insetos (participação de 0,029 contra 0,010). Isso mostra por que mudança de crença e presença do tema no discurso precisam ser medidas separadamente — um pode ocorrer sem o outro.

Quanto ao alcance, a fração de civis com registro de interação envolvendo uma fonte operadora ficou em cerca de 0,494 nos dois desenhos principais — aproximadamente metade da população modelada. A equipe também executou uma validação em larga escala com 100 mil civis e 10 mil operadores, para demonstrar viabilidade de execução nessa ordem de grandeza.

Limitações declaradas pelos autores

Esta é a parte do trabalho que merece mais atenção, porque os próprios pesquisadores são insistentes ao delimitar o que os números significam. A frase se repete ao longo do artigo: os resultados não estimam persuasão no mundo real.

São três fronteiras explícitas:

1. Escala de simulador. As execuções usam civis modelados, regras de plataforma configuráveis e um grafo de exposição simulado. O movimento dos constructos existe na escala do simulador. Afirmações externas exigiriam calibração, análise de sensibilidade e comparação com observações reais.
2. O avaliador não é verdade fundamental. Modelos usados como juízes dependem das definições de constructo, dos prompts, da versão do modelo e do contexto. Os autores recomendam calibração futura contra anotação humana.
3. Dependência de modelo. Modelos de linguagem são usados no desenho da narrativa, na seleção de ações, na geração de conteúdo, na avaliação do gerente e na medição. Execuções preliminares com Gemma, Qwen e GLM mostram que a estrutura funciona com modelos diferentes, mas a especificidade narrativa e a formação de conteúdo podem variar.

Vale acrescentar uma limitação de leitura jornalística: os constructos escolhidos nos experimentos — confiança na Rússia, apoio ao consumo de insetos, confiança em instituições — são parâmetros de teste, não temas sobre os quais o estudo faça qualquer afirmação empírica. Eles servem para exercitar o mecanismo, não para medir opinião real.

Por que isso importa para segurança e para o Brasil

A contribuição prática do IO Factory é oferecer um ambiente controlado de red team para um tipo de ameaça que hoje só pode ser estudado depois que já se manifestou em plataformas reais — quando os dados relevantes já estão fragmentados ou inacessíveis.

Para equipes de inteligência de ameaças, o valor está em uma mudança de unidade de análise. Se campanhas construídas com agentes de IA não são identificáveis por post ou por conta isolada — e se manifestam por personas persistentes, interações repetidas de baixa intensidade, coordenação semântica sem reuso de texto, lavagem de fontes e adaptação após feedback —, então detectores baseados em conteúdo são estruturalmente insuficientes. O sinal é comportamental e temporal.

Os autores apontam ainda uma extensão que merece atenção do público de segurança: distinguir exposição voltada a humanos de exposição voltada a máquinas. Um civil humano encontra conteúdo por feed, busca ou recomendação. Já um agente automatizado pode encontrá-lo por recuperação, navegação, sumarização, entrada de recomendador ou, mais adiante, por dados de treinamento. Essa distinção importa porque corpora de recuperação e conjuntos de dados em escala web podem eles próprios ser alvo de manipulação ou envenenamento.

No contexto brasileiro, o tema conversa diretamente com o debate sobre integridade informacional em processos eleitorais e com a discussão regulatória em curso sobre plataformas e IA. O que o trabalho oferece não é evidência sobre o que ocorre no Brasil, e sim uma ferramenta metodológica para que pesquisadores e órgãos públicos possam formular hipóteses testáveis antes de precisarem responder a um caso concreto.

Recomendações práticas

• Reposicione a detecção do conteúdo para o comportamento. Indicadores úteis incluem coordenação temporal entre contas, divisão de papéis, caminhos repetidos de exposição e adaptação após resposta da plataforma.
• Trate corpora de recuperação como superfície de ataque. Sistemas de RAG e pipelines que ingerem conteúdo aberto devem ter procedência auditável e mecanismos de detecção de envenenamento.
• Adote comparação com linha de base em exercícios de red team informacional. Sem execução de controle pareada, não é possível separar o efeito da intervenção do comportamento normal do ambiente.
• Registre proveniência das medições. O artigo demonstra o valor de preservar o encadeamento entre ação, exposição, leitura do avaliador e atualização de estado — prática transferível a qualquer avaliação de sistemas de IA.
• Desconfie de resultados de simulação apresentados como estimativas do mundo real, inclusive deste. A distinção que os autores fazem com rigor tende a se perder na divulgação secundária.

Conclusão

O IO Factory não afirma que campanhas de influência com IA funcionam, nem quantifica o quanto elas mudam opiniões reais. A contribuição é anterior a isso: propor uma forma de representar essas campanhas como processos inspecionáveis, com registro explícito de quem agiu, o que se tornou visível, quem foi exposto, o que foi medido e onde a interpretação deve parar.

Essa modéstia metodológica é, provavelmente, o aspecto mais útil do trabalho. Em um debate marcado por afirmações amplas sobre o impacto da IA na democracia, um artigo que separa cuidadosamente o que mediu do que não pode medir oferece uma base mais sólida do que estimativas confiantes sem instrumento definido.

O que observar a seguir: se os autores publicarem cenários de referência com definições de constructo, sementes e regras de reporte compartilhadas — o que permitiria comparação entre grupos de pesquisa —, e se a calibração dos avaliadores contra anotação humana confirmar que as leituras do modelo correspondem a julgamento humano. Sem essa segunda etapa, os números permanecem internos ao simulador.

Fontes e referências

• arXiv — IO Factory: Simulating AI-Enabled Influence Campaigns at Scale (arXiv:2608.10920)
• arXiv — Versão HTML completa do artigo
• Science — How malicious AI swarms can threaten democracy
• arXiv — How malicious AI swarms can threaten democracy (versão preprint)
• Max Planck Gesellschaft — AI swarms could quietly threaten democracy
• BI Norwegian Business School — AI swarms threaten democracy