- 8 minutos
- jun 19, 2026
A clonagem de voz por IA é a técnica que reproduz o timbre de uma pessoa a partir de poucos segundos de gravação, sem treinar nenhum modelo novo. Com ela, uma pessoa mal-intencionada faz a voz de um executivo dizer qualquer frase e a vítima ouve alguém que reconhece. A segurança tradicional não barra esse ataque, porque nada é invadido. Afinal, o criminoso usa um canal legítimo e uma credencial que aceitamos há décadas.
Quando você coloca voz sintética em produção, o maior risco não está no modelo. Está no processo da sua empresa que aceita reconhecer alguém pelo áudio. Essa foi a conclusão de montar o Voice AI Studio para uma demonstração ao vivo de clonagem e detecção de voz.
Clonei a voz de um colega em 10 segundos, na frente da sala. Depois passei 25 minutos treinando um detector, e o ataque que o venceu tinha uma linha de código.
Este artigo destrincha as duas metades do problema com os números que eu medi na própria máquina. Continue a leitura para entender como a fraude funciona e quais defesas implementar na sua operação.
A clonagem de voz por inteligência artificial é o processo em que um modelo generativo reproduz o timbre de uma pessoa usando uma amostra curta de áudio como referência. O sistema não é retreinado; a voz entra como contexto no momento da geração, do mesmo jeito que um comando de texto entra num assistente.
Essa característica técnica tem uma consequência comercial direta. Como não há treinamento, não existe custo fixo por vítima. Gerar a milésima voz custa o mesmo que gerar a primeira, e o esforço necessário deixa de limitar o alcance do ataque.
Portanto, fraudes que antes só compensavam contra grandes corporações passaram a compensar contra empresas médias, contra o departamento financeiro de qualquer operação e contra pessoas físicas. Consequentemente, o volume de tentativas cresceu enquanto o custo de execução caiu praticamente a zero.
Em sistemas tradicionais, um atacante precisa encontrar uma falha técnica. Com voz sintética, surgiu uma categoria diferente: o atacante não invade nada. Ele usa um canal legítimo, com uma credencial que a vítima aceita sem questionar há décadas — reconhecer a voz de quem está do outro lado.
“Zero-shot” significa que o modelo imita um locutor que nunca viu no treino, sem nenhum retreino. Dez segundos de áudio da pessoa entram como condicionamento na hora de gerar; não como dados de treinamento. É a diferença entre ensinar o modelo e simplesmente dizer a ele quem imitar.
Dois formatos dominam os casos documentados. O golpe do familiar, em que uma amostra extraída de redes sociais alimenta uma ligação de emergência fabricada, e o apelo emocional desliga o pensamento crítico da vítima. Além disso, tem a fraude do executivo, em que um áudio curto do CEO autoriza uma transferência urgente e confidencial.
Do ponto de vista do negócio, essa mudança tem uma consequência direta. Como não há treinamento, não existe custo fixo por vítima. Gerar a milésima voz custa o mesmo que gerar a primeira, e o esforço necessário deixa de limitar o alcance do ataque.
A clonagem de voz expõe as empresas a golpes em que o áudio funciona como credencial de autorização, permitindo transferências indevidas, vazamento de informações e danos de reputação. Em vez de explorar falhas de código, o criminoso explora a confiança que as pessoas depositam no reconhecimento auditivo.
Uma entrevista no YouTube, a gravação de um webinar ou um áudio encaminhado no WhatsApp fornecem material mais do que suficiente. Não é preciso invadir nada para obter a amostra, porque ela geralmente já é pública.
Além disso, a identidade extraída ocupa poucos megabytes e pode ser reutilizada indefinidamente. Assim, o atacante monta uma biblioteca de vozes de alvos com o mesmo esforço com que monta uma lista de e-mails.
Em fevereiro de 2024, um funcionário da multinacional britânica de engenharia Arup autorizou 15 transferências, somando cerca de US$ 25,6 milhões, após participar de uma videoconferência com o diretor financeiro e vários colegas.
Todos os participantes, exceto ele, eram deepfakes montados a partir de vídeos públicos da empresa. O ponto mais instrutivo do caso é anterior: o funcionário havia desconfiado do e-mail inicial e não agiu. Foi a reunião, com rostos e vozes conhecidos, que dissolveu a suspeita.
O detalhe que mais me marcou no caso Arup: o funcionário desconfiou. Ele achou o e-mail estranho e não agiu. Foi a videoconferência que dissolveu a suspeita. Nenhum sistema foi invadido; o que quebrou foi a regra silenciosa de que ver e ouvir alguém é prova de que ele está ali.
Em julho de 2024, criminosos usaram a voz clonada do CEO da Ferrari, com o sotaque correto e uma história plausível de aquisição sigilosa. Um executivo estranhou detalhes da entonação, mas não acusou o interlocutor.
Em vez disso, ele perguntou o título de um livro que o CEO havia recomendado dias antes. Não houve resposta e a ligação caiu. Portanto, a defesa que funcionou não dependeu de tecnologia alguma: dependeu de um conhecimento compartilhado que o modelo não tinha como reproduzir.
Em 2019, um executivo britânico transferiu € 220 mil acreditando falar com o chefe da matriz alemã. Em 2020, documentos judiciais nos Estados Unidos descreveram o desvio de US$ 35 milhões com a voz clonada de um diretor de uma empresa.
Consequentemente, o histórico dos últimos cinco anos mostra uma progressão clara de valores e de sofisticação. A tecnologia não ficou 100 vezes melhor nesse período, ela ficou barata o suficiente para justificar operações maiores.
Durante quase toda a história da síntese de voz, o gargalo foi o mesmo: a quantidade de áudio necessária. Em 1996, com seleção de unidades, uma voz nova exigia 20 horas de estúdio com script controlado. Em 2006, com modelos paramétricos, caiu para duas horas. Em 2017, com redes neurais de ponta a ponta, para 30 minutos.
Esses números importam porque cada um deles era uma barreira de entrada. Enquanto clonar exigia horas de gravação limpa da vítima, a fraude por voz ficava restrita a alvos que compensassem o esforço.
| Ano | Técnica | Áudio necessário |
|---|---|---|
| 1996 | Seleção de unidades | 20 horas |
| 2006 | Paramétrica | 2 horas |
| 2017 | Neural ponta a ponta | 30 minutos |
| 2023 | Zero-shot | 3 segundos |
Vinte horas são 72 mil segundos. Divididos por três, dão 24 mil. Em 27 anos, a quantidade de áudio necessária caiu quatro ordens de grandeza, e com ela caiu a barreira que mantinha o problema distante.
O que barateou não foi a síntese. Foi o acesso à identidade de outra pessoa.
Traduzido para o dia a dia de uma empresa, os números atuais são estes:
Independentemente do fornecedor, um sistema zero-shot moderno tem a mesma anatomia. Conhecê-la antes de olhar qualquer implementação específica ajuda, porque as diferenças entre elas são menores do que o marketing sugere.
Ouve de três a 10 segundos e devolve um vetor de algumas centenas de números. Esse vetor é a identidade, não o áudio. O áudio original pode ser descartado depois, com consequências de privacidade que quase ninguém discute.
Transforma a frase em símbolos. Não sabe e não se importa com quem vai falar. Essa separação entre o que dizer e quem diz é o truque conceitual inteiro.
Um transformer recebe os dois juntos — texto e identidade — e prevê tokens de fala, um a um, exatamente como um modelo de linguagem prevê palavras. Nenhum peso é retreinado: a voz entra como contexto, igual a um prompt.
Converte os tokens em onda sonora. É o único bloco que produz som de verdade; os outros três manipulam números.
Como nada é retreinado, o custo marginal de clonar a milésima voz é igual ao da primeira. Não existe mais custo fixo por vítima, e é essa, mais do que qualquer avanço de qualidade, a razão pela qual a fraude por voz saiu do laboratório.
Montei a demonstração com dois motores em paralelo, de propósito: um aberto e local, um fechado e gerenciado. Os números a seguir saíram da máquina onde a demonstração rodou, não de material de divulgação.
É aberto, então dá para abrir as caixas. O pipeline instalado tem cinco estágios, e cada um é legível no código:
Três detalhes que valem registro. O arquivo de pesos chama-se t3_mtl23ls_v2 — 23 idiomas, e a identidade da voz atravessa todos eles. O VoiceEncoder ocupa 5,7 MB: a identidade de uma voz humana cabe em menos espaço que uma foto de celular. Além disso, a marca d’água não é opcional. Quem escreveu o código decidiu que todo áudio sai marcado.
Do outro lado, a API. Conferi os métodos no documento de descoberta público em vez de confiar em documentação secundária, e a superfície é menor do que se imagina: existem dois métodos. voices.list para descobrir o catálogo e text:synthesize para gerar. Tudo o mais é variação de parâmetro.
A clonagem entra pelo campo voiceClone, que recebe uma voiceCloningKey. Aqui vale a honestidade: criar essa chave não é método público da API. Eu tentei, tomei 404, e fui verificar no documento de descoberta — o método não está exposto. Instant Custom Voice depende de allowlist dO Google. É decisão de produto defensável, e é também uma porta que alguém controla.
Consigo abrir as cinco caixas do Chatterbox. Não consigo abrir as do Chirp 3, e prefiro dizer isso a fingir simetria. Não há artigo descrevendo a arquitetura interna, o número de parâmetros, o vocabulário de tokens, os dados de treino, nem se o pipeline é autorregressivo, por difusão ou híbrido.
Não é crítica: é o trade-off. Você troca visibilidade por qualidade, latência e suporte. Só precisa saber que está trocando.
| Critério | Chatterbox – Local | Chirp 3: HD – Nuvem |
|---|---|---|
| Arquitetura | Publicada e legível | Não publicada |
| Referência | 5 a 10 segundos | ~10 segundos |
| Latência | 35-100s em CPU · <1s em GPU | ≈ 1 segundo |
| Custo | Zero | US$ 30 a 60 por milhão de caracteres |
| Aprovação prévia | Nenhuma | Allowlist para clonagem instantânea |
| Marca d’água | Perth, embutida | SynthID |
O ouvido humano deixou de ser confiável, porque as pistas que denunciavam áudio sintético — respiração artificial, entonação monótona, chiado — foram eliminadas pelas gerações recentes de modelos. Atualmente, mesmo detectores automáticos treinados sob medida apresentam falhas relevantes.
Em uma demonstração que conduzi, treinei um classificador com os áudios reais e sintéticos gerados pela própria sala. Ele acertava razoavelmente: errava cerca de um em cada nove casos.
Em seguida, apliquei cinco transformações simples no áudio falso. A mais eficaz foi somar um pouco de ruído de fundo — uma única linha de código —, que fez o detector classificar o áudio sintético como humano em 88% das vezes.
A segunda transformação mais eficaz foi simplesmente filtrar o áudio na faixa de frequências de um telefone. O resultado passou pelo detector em 81% das tentativas.
Esse dado é especialmente relevante porque a ligação telefônica é justamente o canal onde a fraude acontece. Assim, o cenário real de ataque é também o que mais prejudica a capacidade de detecção.
Se um detector treinado sob medida cai com ruído de fundo, o ouvido de um funcionário às onze da noite não tem chance.
Nenhum vocoder reproduz a física completa de um trato vocal. É nessa lacuna que o detector trabalha, e as pistas são conhecidas há anos:
Com quatro dessas medidas e um classificador simples, o detector que treinei com os áudios da própria sessão chegou a um EER de 11,4% — erra um em cada nove. Num benchmark fechado seria um resultado ruim; contra áudio de verdade, é mais ou menos o que se deve esperar.
Este foi o experimento que mais me marcou. Peguei o áudio clonado, apliquei cinco transformações triviais, e rodei o mesmo detector em cada versão:
| Ataque | Passa como humano | Resultado |
|---|---|---|
| Ruído de fundo | 88% | Passou |
| Só a banda do telefone | 81% | Passou |
| Comprimido em MP3 64k | 64% | Passou |
| Mais emoção na síntese | 43% | Pego |
| Sem ataque | 9% | Pego |
O ataque campeão é somar um pouco de ruído: uma linha de código, três segundos de execução. Ele derruba um detector que levou 25 minutos para treinar. O segundo colocado é apenas passar o áudio por uma ligação telefônica — que é, convenientemente, o canal onde o golpe acontece.
Quem ataca precisa vencer uma vez. Quem defende precisa acertar sempre. Essa assimetria não se resolve com um detector melhor.
Isso não é defeito da minha implementação: é o problema de generalização que a série ASVspoof vem documentando desde 2015. Detectores atingem taxas de erro baixíssimas contra ataques que já conhecem. Contra um gerador novo, ou contra o mesmo gerador atravessando um canal diferente, a performance despenca.
Se detectar por artefato é frágil, a alternativa é marcar na origem. Rodei o mesmo experimento comparando as duas defesas sobre os mesmos arquivos maltratados:
| Maltrato | Marca d’água | Detector |
|---|---|---|
| Intacto | Detectada | Pegou |
| MP3 64 kbps | Detectada | Enganado |
| Banda de telefone | Detectada | Enganado |
| Com ruído | Detectada | Enganado |
| Cortado ao meio | Detectada | Pegou |
A marca sobreviveu aos cinco. O detector caiu em três. É a diferença entre procurar um sinal fraco no ruído e carregar uma assinatura embutida de propósito.
A ressalva é séria: proveniência só funciona se quem gerou cooperou. SynthID marca o que o Google gera; Perth marca o que o Chatterbox gera. Um modelo mal-intencionado não marca nada. Por isso, a proveniência é a resposta para o volume — o conteúdo sintético legítimo, que é a esmagadora maioria — e não para o ataque dirigido.
Para o ataque dirigido, o que funciona não é técnico. Na tentativa contra a Ferrari, em julho de 2024, o executivo notou uma leve entonação metálica — o que não é método, é sorte. Mas em vez de acusar, ele perguntou o título de um livro que o CEO havia recomendado dias antes. Do outro lado, silêncio. A ligação caiu.
O modelo clonou o timbre. Não clonou a memória compartilhada.
Traduzido para desenho de sistema: trate voz como identificador, nunca como autenticador. Voz responde “quem parece estar falando”, não “esta pessoa é quem diz ser”. Toda ação irreversível precisa de um segundo canal — ligação de volta para o número cadastrado, dupla aprovação, carência para favorecido novo. É mais barato que qualquer detector, e não depende de vencer uma corrida armamentista.
A proteção eficaz contra fraude por voz combina revisão de processos internos, verificação por canais independentes e adoção de proveniência no conteúdo gerado. As camadas a seguir estão ordenadas por custo de implementação, da mais barata para a mais estruturada.
A voz responde à pergunta “quem parece estar falando”, e não à pergunta “esta pessoa é quem diz ser”. Se algum processo da sua empresa autoriza ação irreversível com base em reconhecer alguém pelo áudio ou pelo vídeo, esse processo precisa ser revisto.
Um levantamento de meia hora costuma revelar mais pontos do que se espera — liberação de acesso por telefone, confirmação verbal de pagamento e aprovação de mudança cadastral aparecem com frequência.
Transferências, alteração de dados bancários de fornecedor e liberação de credenciais devem ser confirmadas por um canal diferente daquele que originou o pedido. A ligação de retorno precisa usar o número já cadastrado, nunca o que veio na mensagem.
Além disso, dupla aprovação e período de carência para favorecido novo reduzem drasticamente a janela de exploração. Portanto, essa camada custa apenas uma revisão de procedimento e não depende de nenhuma ferramenta.
Um segredo compartilhado é trivial de combinar, não custa nada e é impossível de clonar. Foi exatamente o que barrou a tentativa contra a Ferrari, e funciona igual no ambiente corporativo e no doméstico.
Vale estender a prática além do trabalho. O golpe do falso familiar, em que a voz clonada de um filho pede dinheiro à mãe, usa o mesmo mecanismo e atinge um público sem qualquer preparo técnico.
Marcas d’água como o SynthID, aplicadas no instante em que o áudio é gerado, resistem a compressão, corte e ruído. No teste que realizei, a marca sobreviveu aos cinco maus-tratos que derrubaram o detector em três deles.
Contudo, essa camada protege o conteúdo que a sua própria organização produz. Ela não alcança o áudio de um atacante, que simplesmente não vai marcar nada. Assim, a proveniência resolve escala e reputação, enquanto o processo resolve ataque dirigido.
Em resumo, detectar é frágil; provar a origem é robusto; e confirmar por outro canal é o que realmente para o golpe. As três camadas se complementam, e nenhuma delas resolve sozinha.
Num agente de voz real, o modelo é uma peça entre várias. O percurso de uma frase — da boca da pessoa até a resposta sair do alto-falante — atravessa seis estações, e o que manda no desenho não é a qualidade; é o relógio.
Acima de aproximadamente 800ms a conversa começa a soar estranha ao ouvido humano. Esse é o orçamento inteiro, e ele não é generoso. Três decisões o preservam: streaming ponta a ponta, síntese por sentença — começar a falar a primeira frase enquanto o resto é gerado — e escolher a região do endpoint mais próxima do usuário.
O restante da arquitetura é o de sempre, e é o que costuma travar o projeto no jurídico se ficar para depois: IAM com privilégio mínimo, VPC Service Controls, proteção de dados sensíveis nas transcrições, CMEK nas gravações e política de retenção. Gravação de voz é dado biométrico, e a LGPD trata biometria com regime mais rígido.
O planejamento de voz sintética exige decidir onde o áudio das pessoas é processado, como o consentimento é registrado e qual a política de retenção. Essas definições precisam entrar no desenho inicial, e não depois da prova de conceito.
Modelos abertos rodam dentro da sua infraestrutura, com custo marginal zero e sem que nenhum áudio atravesse a fronteira da rede. Em contrapartida, exigem hardware adequado e equipe para operar.
APIs gerenciadas, como o Cloud Text-to-Speech do Google, entregam qualidade e latência de aproximadamente um segundo, com cobrança por caractere. Portanto, a escolha depende menos de preferência técnica e mais do que o contrato com o cliente permite fazer com a gravação.
A voz usada para identificar uma pessoa é dado biométrico e, portanto, dado pessoal sensível segundo o art. 5º, II da LGPD. O regime é mais rígido que o de dados comuns e alcança armazenamento, base legal e tempo de retenção.
Além disso, o art. 20 do Código Civil protege expressamente a transmissão da palavra, o que aproxima o uso indevido de voz do já consolidado direito de imagem. Consequentemente, projetos de voz sem essa definição costumam travar na área jurídica.
Google, ElevenLabs e Descript convergiram para o mesmo padrão: a pessoa grava uma frase autorizando o uso da própria voz antes de o modelo ser criado. Não se trata de formalidade jurídica, e sim de desenho de produto.
Vale registrar um contraponto do próprio setor. A Microsoft demonstrou o modelo VALL-E, capaz de clonar com três segundos de áudio, e decidiu não publicá-lo, alegando risco de uso indevido. Assim, fica claro que a decisão de não lançar também é uma decisão de engenharia.
A voz sintética gera valor em acessibilidade, localização de conteúdo e atendimento, com retorno mensurável e prazo curto entre prova de conceito e produção. O mesmo mecanismo que sustenta a fraude sustenta aplicações de alto impacto.
Val Kilmer recuperou a própria voz, perdida para um câncer de garganta, e voltou a falar no cinema em 2022. Randy Travis, com afasia desde um AVC, lançou uma música inédita em 2024. James Earl Jones, aos 91 anos, cedeu os direitos da própria voz e se aposentou do papel de Darth Vader, que continua falando com o timbre dele.
No campo corporativo, a Apple embarcou o recurso Personal Voice em centenas de milhões de aparelhos, criando o modelo dentro do próprio celular sem que o áudio saia do dispositivo. Portanto, é perfeitamente possível construir com privacidade por desenho.
A diferença entre devolver uma voz e roubar uma voz não está na tecnologia. Está em quem autorizou.
Times que constroem produtos de voz precisam do desenho de segurança junto, não depois: onde o áudio das pessoas fica armazenado, por quanto tempo, com qual chave, e sob qual consentimento.
Times de segurança e antifraude deveriam varrer os processos internos atrás de qualquer ponto em que voz ou vídeo funcionem como prova de identidade. É um levantamento de meia hora que costuma render surpresas.
Quem decide compra de tecnologia ganha um critério simples: pergunte ao fornecedor se ele marca o que gera, e se publica a arquitetura. As duas respostas dizem muito sobre o que você está assinando.
Durante décadas, uma assinatura à mão bastou como prova. Depois vieram a falsificação em escala e os scanners, e a assinatura virou um indício — algo que se confere contra outra coisa, nunca sozinho. Ninguém libera uma transferência hoje só porque o rabisco no papel se parece com o do titular.
A voz está fazendo exatamente esse percurso, e está no meio dele. Continua sendo útil para reconhecer, e deixou de servir para autenticar. A parte desconfortável é que a maioria dos nossos processos ainda não recebeu o aviso.
A tecnologia é neutra — e essa frase já virou clichê. O que não é clichê: o valor moral dela está inteiramente no uso, e a escolha de uso continua sendo humana. Vale saber exatamente o que ela faz antes de decidir.
A defesa contra fraudes sofisticadas e a adoção de inteligência artificial exigem mais do que apenas ferramentas isoladas; exigem a revisão de processos, governança de dados e uma infraestrutura rigorosamente configurada. É exatamente nesse cenário que a SantoDigital atua como sua parceira estratégica.
Sendo um dos maiores parceiros do Google na América Latina, a SantoDigital possui as soluções ideais para blindar o ambiente da sua empresa contra os novos vetores de ataque, apoiando-se em serviços especializados:
A tecnologia de voz sintética e a IA generativa trazem um valor imenso aos negócios quando utilizadas com a arquitetura correta. Não espere que o ouvido humano seja a sua última linha de defesa. Fale com os especialistas da SantoDigital e descubra como implementar as camadas de segurança, infraestrutura e governança necessárias para proteger a sua operação e os seus executivos.
A clonagem de voz por IA é a reprodução do timbre de uma pessoa a partir de uma amostra curta de áudio, geralmente entre três e dez segundos. O modelo não é retreinado. A voz de referência entra como contexto no momento da geração. Portanto, o processo leva segundos e pode ser repetido indefinidamente com custo marginal próximo de zero.
Modelos de pesquisa demonstram resultados com apenas três segundos de áudio. Na prática, serviços comerciais como o Chirp 3: Instant Custom Voice, do Google Cloud, pedem cerca de 10 segundos. Em ambos os casos, a quantidade é facilmente obtida em conteúdo público, como entrevistas, webinars e áudios de mensagens.
Não de forma confiável. As pistas clássicas — respiração artificial, entonação monótona e chiado — foram eliminadas pelas gerações recentes de modelos. Em teste prático, um detector automático treinado sob medida foi enganado em 88% das tentativas apenas com a adição de ruído de fundo. Assim, o ouvido humano não deve ser tratado como controle de segurança.
Sim. Voz usada para identificar uma pessoa é dado biométrico e, portanto, dado pessoal sensível conforme o art. 5º, II da LGPD, com regime mais rígido de tratamento, base legal e retenção. Além disso, o art. 20 do Código Civil protege expressamente a transmissão da palavra. Recomenda-se avaliação jurídica específica antes de iniciar qualquer projeto que armazene gravações.
Crédito da imagem: Magnific
Newsletter Com a newsletter da SantoDigital, você estará sempre um passo à frente, pronto para elevar seu negócio com o poder da inovação digital.
Estratégias vencedoras 
Insights do universo da tecnologia 
Soluções transformadoras 