Construímos um Detector de Avaliações Falsas Que Funcionou Perfeitamente — Até Alguém Passá-lo pelo BypassGPT

A primeira coisa que abalou minha confiança não foi uma avaliação falsa. Foi uma tabela de preços.

Um intermediário em um canal do Telegram — um dos abertos, mais de 13.000 membros, sem senha, sem disfarce — havia publicado um cardápio. Cinquenta centavos por um voto positivo. Cinco dólares por uma avaliação de uma conta com um selo de "Compra Verificada". Descontos por volume. As contas oferecidas não eram perfis descartáveis recém-criados que um filtro de spam pegaria dormindo; tinham dois, três, quatro anos de idade, com históricos de compra reais e o tipo de atividade irregular que um humano deixa para trás. Eu havia passado semanas presumindo que a detecção de avaliações falsas era um problema difícil de aprendizado de máquina. Encarando aquele cardápio, entendi que era um problema difícil de aprendizado de máquina que o outro lado estava financiando melhor do que a maioria das marcas que ele mirava.

Foi o momento em que parei de pensar nas avaliações falsas como texto ruim e comecei a pensar nelas como uma economia coordenada. Tudo o que acabamos construindo na Veriprajna — e tudo o que errei primeiro — decorreu dessa mudança.

A fraude deixou de ser um problema de qualidade no dia em que se tornou uma mercadoria com preço. Você não consegue vencer um mercado à base de filtros.

Um ataque de 47 avaliações que passa por toda ferramenta que você tem

Deixe-me descrever como um ataque moderno realmente se parece, porque a distância entre como as pessoas imaginam as avaliações falsas e como elas realmente funcionam é a maior parte do motivo pelo qual as ferramentas existentes falham.

Um concorrente quer enterrar seu produto. Ele contrata um intermediário por meio de um desses grupos do Telegram. O intermediário controla um plantel de contas antigas e comprometidas e as implanta contra um único anúncio. Ao longo de 72 horas, 47 avaliações de cinco estrelas surgem no produto concorrente — o seu permanece limpo, o dele sobe. O texto da avaliação foi escrito pelo GPT-4 e depois passado por uma ferramenta como o BypassGPT para derrotar os detectores baseados em perplexidade que procuram por escrita de máquina "suave demais". Cada avaliação cita um recurso específico do produto extraído da própria seção de Perguntas e Respostas do anúncio. Os horários de publicação são escalonados por três fusos horários para que nada se agrupe.

Cada avaliação individual parece legítima. Elas passam pelos filtros de conteúdo das principais plataformas de avaliação. Elas passam pelo GPTZero. As contas são antigas o suficiente para escapar de qualquer heurística de "conta nova". Sua equipe de proteção de marca não percebe nada — até que seus números se movem, e eles se movem: uma estrela fraudulenta extra pode elevar a demanda de um concorrente em 38%, e avaliações negativas falsas podem cortar a receita de um alvo em até um quarto, tudo isso enquanto sua nota média absorve silenciosamente o dano.

Isto não é um experimento mental. A Amazon entrou com seu primeiro processo conjunto com o Better Business Bureau contra o intermediário de avaliações ReviewServiceUSA.com em julho de 2024. O Trustpilot removeu 4,5 milhões de avaliações falsas em 2024 — 7,4% de tudo o que foi enviado, acima dos 6,1% do ano anterior. O Tripadvisor interceptou 2,7 milhões de envios fraudulentos, alguns deles com fotos de propriedades geradas por IA criando "hotéis fantasmas" que os viajantes de fato reservaram e chegaram para encontrar um terreno vazio. A escala não é marginal. Pesquisadores estimam que cerca de 30% das avaliações online são falsas, custando às empresas dos EUA cerca de US$ 152 bilhões por ano, segundo o Fórum Econômico Mundial.

Então esse é o problema que eu achava que entendia. Aqui está onde eu errei.

O detector que funcionou perfeitamente, e depois não funcionou

Nossa primeira versão era um classificador de texto. Ele lia o texto da avaliação e pontuava a probabilidade de ter sido gerada por máquina. Essa é a coisa óbvia a se construir, e quero ser honesto: eu apoiei. A demonstração foi linda. No nosso conjunto de testes, ele pegava avaliações escritas por IA com o tipo de precisão que faz você começar a rascunhar o post de lançamento na sua cabeça.

Então o rodamos contra avaliações que haviam passado por um humanizador.

Já existem mais de 30 dessas ferramentas — BypassGPT, Undetectable.ai, StealthWriter, Humanize AI, uma dúzia de outras. Elas pegam texto gerado por máquina e o desgastam apenas o suficiente para quebrar um detector: removendo as vírgulas reveladoras, emendando palavras de conexão, trocando o vocabulário que os classificadores aprendem a associar à saída do GPT. Nossa precisão não se degradou graciosamente. Ela despencou de um penhasco. As avaliações que estávamos pegando com alta confiança agora passavam tranquilamente como "parece humano".

Lembro-me da discussão que se seguiu. Metade da equipe queria continuar ajustando — mais dados de treinamento, exemplos adversariais, perseguir os humanizadores. É um instinto razoável e é uma armadilha. Eu havia olhado a pesquisa: de mais de 30 ferramentas humanizadoras que alguém testou, apenas 13 produziam de forma confiável texto que enganava os melhores detectores. O melhor classificador de texto da categoria, o Originality.ai, ainda pega a maioria delas. Mas "a maioria" é a barra errada quando um atacante pode passar uma avaliação por cinco humanizadores e enviar aquela que obtém a pontuação mais limpa. Um detector de texto puro está em uma corrida que ele já perdeu estruturalmente.

Um detector de sinal único não é um detector fraco. É um detector cujo funcionamento você contou ao atacante exatamente como derrotar.

O problema mais profundo era um que eu deveria ter enxergado no dia em que li aquela tabela de preços do Telegram. Parte da fraude mais danosa não é escrita por IA de forma alguma. Quando um intermediário paga uma rede de pessoas reais para publicar — humanos incentivados, a versão moderna da velha fazenda de Mechanical Turk — o texto é genuinamente humano. Não há nenhum indício linguístico a ser encontrado, porque não há máquina no circuito. Um classificador de texto olhando para uma avaliação paga de uma pessoa real não vê nada de errado, porque, no nível da linguagem, não há nada. E a assimetria está se ampliando pelas duas pontas — no início de 2026, 23% dos autores de avaliações admitiram usar IA pelo menos às vezes, enquanto apenas 31% dos consumidores estavam confiantes de que conseguiriam identificar uma avaliação escrita por IA.

Foi aí que descartamos o modelo de texto como peça central. Não descartamos totalmente — ele ainda é um sinal — mas deixou de ser o sinal.

O Que Realmente Pega uma Campanha Coordenada?

O reenquadramento que salvou o projeto: uma avaliação falsa individual é quase impossível de pegar, mas uma campanha deixa impressões digitais que as avaliações individuais não deixam.

Aquelas 47 avaliações compartilham algo mesmo quando cada uma é limpa. Elas chegam em uma rajada. Elas fazem referência ao mesmo recurso extraído. As contas que as publicaram, quando você mapeia as relações entre vendedores, avaliadores e produtos, se acendem como um agrupamento que não ocorre naturalmente — o mesmo conjunto de contas avaliando o mesmo conjunto restrito de produtos na mesma janela. É por isso que as plataformas que levam a fraude a sério migraram para métodos de grafo: a arquitetura da Amazon roda redes neurais de grafo profundas sobre a rede vendedor-avaliador-produto precisamente porque a estrutura da rede denuncia a coordenação que o texto nunca denunciará. Construímos na mesma direção — fundindo sinais comportamentais (como uma conta age ao longo do tempo), sinais temporais (quando as avaliações chegam umas em relação às outras) e sinais relacionais (quem está conectado a quem) sobre a camada linguística.

Nenhum deles isoladamente é suficiente. Uma rajada pode ser um momento viral genuíno. Um agrupamento pode ser uma comunidade real de fãs. Mas a combinação — uma rajada, de texto que extrai recursos, de um agrupamento relacionalmente suspeito, com temporização escalonada projetada para parecer não escalonada — é a assinatura de uma campanha paga, e ela sobrevive ao humanizador porque o humanizador apenas reescreve as palavras.

A mesma lógica se estende às imagens, que é a fronteira que ninguém resolveu de forma limpa. Hotéis fantasmas e fotos de produtos fabricadas estão se espalhando porque a geração de imagens por IA ficou barata — e para uma marca de hospitalidade os riscos não são abstratos: a McAfee estimou as perdas com golpes de viagem impulsionados por IA em cerca de US$ 13 bilhões em 2025, cerca de mil dólares por vítima, boa parte disso canalizada por anúncios que pareciam reais até o check-in. Existe um padrão de proveniência de conteúdo, o C2PA, que assina criptograficamente uma imagem no momento da captura — o Galaxy S25 da Samsung tornou-se o primeiro celular de consumo a assinar fotos nativamente, e 2026 é genuinamente um ponto de virada para esse ecossistema. Mas eis a pegadinha operacional sobre a qual eu alertaria qualquer marca: as plataformas removem os metadados durante o processamento da imagem. A credencial que prova que uma foto é real é apagada no momento em que é carregada no marketplace onde ela mais importa. A proveniência é uma ferramenta real com um buraco real no que diz respeito ao e-commerce, e fingir o contrário vende à marca um falso conforto.

Por que as ferramentas das plataformas já não resolveram isso?

Essa é a pergunta que mais recebo, e é justa. A Amazon gasta mais de US$ 500 milhões por ano e tem 8.000 pessoas trabalhando em avaliações falsas. Ela bloqueou mais de 275 milhões delas em 2024. Por que alguém precisaria construir qualquer coisa?

Porque as plataformas estão travando a guerra delas, não a sua. A Amazon protege a Amazon — e mesmo com esse gasto, 49% dos consumidores dos EUA dizem estar confiantes de que já viram avaliações falsas por lá. As plataformas de gestão de avaliações têm a mesma fronteira traçada do outro lado. A Bazaarvoice roda mais de 1.000 regras de detecção de fraude em 2,3 bilhões de sessões de compra por mês, e é genuinamente boa nisso — dentro da sua própria rede. Uma avaliação falsa sobre o seu produto que está na Amazon é simplesmente invisível para a Bazaarvoice. Pior, a sindicação corta nos dois sentidos: uma avaliação falsa que passa pela ingestão da Bazaarvoice pode se propagar por mais de 50 sites de varejistas em 48 horas, o que significa que a remediação tem de acontecer no nó de origem, e não num jogo de bate-toupeira em cada anúncio a jusante.

Os detectores de texto têm seu próprio teto — eles são um sinal único, como aprendi da forma difícil. Os serviços de auditoria como a The Transparency Company fazem varreduras diárias e registram contestações, mas são ajustados a padrões conhecidos e têm dificuldade contra as táticas personalizadas de intermediários que se adaptam especificamente para evadi-los. E a única ferramenta em que os consumidores realmente confiavam para verificar isso por eles, o Fakespot, foi encerrada em julho de 2025 após nove anos — a Mozilla não conseguiu encontrar um modelo sustentável. A rede de segurança encolheu justamente quando os ataques melhoraram.

Nenhum fornecedor observa o campo inteiro onde sua marca vive. Cada um guarda o próprio quintal, e a fraude vive na rua entre eles.

Essa lacuna — entre plataformas, do lado da marca, com sinais fundidos — é o que nos propusemos a ocupar. Não para substituir as plataformas, mas para dar a uma marca uma visão única através da Amazon, Google, Yelp, Trustpilot e Tripadvisor ao mesmo tempo, com detecção construída em torno da sua categoria de produto, em vez de um conjunto de regras genérico. É para isso que serve o sistema de integridade de avaliações e detecção de conteúdo sintético que construímos.

O cliente que não queria uma página de avaliações mais limpa

Eu vinha vendendo precisão de detecção — recall, precision, quantas fraudes pegaríamos. Então entrei em uma ligação com uma líder de proteção de marca que reenquadrou o produto inteiro para mim em cerca de dois minutos.

Ela não começou pela precisão. Ela perguntou o que poderíamos entregar à FTC.

Em outubro de 2024, a Regra de Avaliações e Depoimentos de Consumidores da FTC entrou em vigor, e ela fez algo mais sutil do que "avaliações falsas são proibidas". Ela criou um padrão de "deveria saber". Se há avaliações falsas nos seus anúncios e você não tem um processo razoável para detectá-las e respondê-las, a ausência de um sistema de detecção é, em si, a violação. A penalidade é de US$ 53.088 por violação, ajustada pela inflação em janeiro de 2025, e cada dia em que uma violação continua conta separadamente. Uma campanha coordenada de 100 avaliações falsas, deixada sem tratamento, representa US$ 5,3 milhões de exposição. A FTC enviou suas primeiras cartas de advertência sob a regra a 10 empresas em dezembro de 2025, então isto deixou de ser teórico há cerca de um ano.

E não são apenas as marcas dos EUA. A Autoridade de Concorrência e Mercados do Reino Unido abriu cinco investigações em março de 2026 sob a nova Lei de Mercados Digitais, Concorrência e Consumidores, com penalidades de até 10% do faturamento global. O Artigo 50 da Lei de IA da UE, que exige a divulgação legível por máquina de conteúdo gerado por IA, entra em vigor em agosto de 2026. A SB 942 da Califórnia acrescentou requisitos de divulgação de conteúdo de IA em janeiro de 2026. O piso regulatório se moveu sob todas as marcas de uma só vez.

O que aquela líder me ensinou é que a detecção é necessária, mas não suficiente. O entregável de que uma marca regulada realmente precisa é a prova de devida diligência — um registro de auditoria mostrando que um processo razoável de detecção e resposta existia e funcionava, independentemente de qualquer avaliação falsa que tenha escapado. Você não consegue comprar isso pronto na prateleira hoje; as plataformas não vão dar seus dados de detecção, e as soluções pontuais não geram registros de nível de conformidade. Então construímos o sistema para produzir esse rastro como um resultado de primeira classe, não como uma reflexão tardia. O artefato defensável sob uma regra de "deveria saber" não é uma página de avaliações impecável — é a prova documentada de que você estava atento.

Uma Marca Deve Construir Isto, Comprar Isto ou Esperar pelas Plataformas?

As pessoas me perguntam se não podem simplesmente esperar as plataformas se atualizarem. Minha resposta honesta: as plataformas estão correndo o mais rápido que conseguem em um problema que definiram como proteger a si mesmas, e o relógio regulatório agora está correndo sobre você, separadamente. Esperar é uma posição, e depois de outubro de 2024 é uma posição com um valor em dólares anexado.

A segunda pergunta costuma ser se eles conseguem construir isto internamente. Você consegue — mas veja quanto custam os programas internos sérios. A operação de meio bilhão de dólares e 8.000 pessoas da Amazon é a referência do que é preciso para fazer isso em escala, e a maioria das marcas não vai montar isso para vigiar seus próprios anúncios em cinco marketplaces. As opções realistas são um sistema personalizado ajustado à sua categoria ou uma pilha de ferramentas parciais que você costura e torce para que se sobreponham. As grandes consultorias vão lhe vender a segunda opção embrulhada em um framework, de seis a doze meses antes de qualquer tecnologia de fato funcionar.

A terceira coisa que levantam é a corrida armamentista — se os humanizadores continuam melhorando, qualquer detector não é temporário? É a preocupação certa, e é exatamente por isso que a resposta não pode ser um classificador de texto. Um sistema de múltiplos sinais se degrada lentamente quando um sinal é atacado, porque o atacante tem de derrotar comportamento, temporização e estrutura de rede simultaneamente, e não apenas reescrever palavras. Você não vence uma corrida armamentista tendo uma arma melhor. Você a vence tornando o ataque mais caro do que o retorno. Quando a fraude custa cinquenta centavos por voto positivo, elevar o custo de uma campanha bem-sucedida é o jogo inteiro.

A tabela de preços do Telegram me ensinou algo antes de qualquer modelo ter ensinado, e é a coisa à qual eu continuo voltando. O outro lado trata isso como um negócio com um demonstrativo de resultados. Durante anos, as marcas trataram isso como um incômodo a ser filtrado. As marcas que saírem desta década com suas notas intactas serão aquelas que começaram a tratar seu ecossistema de avaliações da forma como os atacantes já o tratam — como infraestrutura disputada que vale a pena defender de propósito. Essa é a mudança que eu faria primeiro, e é a que o sistema que construímos pressupõe desde a primeira linha de código.

Uma avaliação falsa que você nunca pega custa a você uma venda. Um sistema de detecção que você nunca construiu, depois de outubro de 2024, custa a você US$ 53.088 por dia. Esses não são o mesmo problema, e o segundo é o que a maioria das marcas ainda não precificou.