Resumo

  • A RFC 1135 registrou divergências sobre a intenção por trás do worm e sobre a responsabilidade depois do incidente. É um memorando informativo, não um padrão nem um código de conduta adotado por toda a Internet.
  • A equipe do MIT distinguiu explicar vulnerabilidades e algoritmos de publicar o código descompilado. A defesa da CPSR à divulgação das falhas não resolveu, por si só, a decisão separada sobre o código.
  • Os documentos permitem reconstruir escolhas e limites de evidência, não afirmar uma política universal de divulgação, um retrato completo da imprensa ou a adoção geral de uma posição.

A palavra “divulgação” escondia decisões distintas

Na tarde de 5 de novembro de 1988, pesquisadores do MIT discutiram se publicariam o código descompilado do worm. A cronologia da equipe registra a decisão de não liberar esse material durante a crise. Ao mesmo tempo, os pesquisadores não queriam ocultar o funcionamento do programa: pretendiam explicar seus algoritmos para que outros pudessem compreender o episódio. O motivo registrado era operacional. Modificar um programa funcional para torná-lo destrutivo e recompilá-lo exigiria menos trabalho do que reconstruí-lo a partir de uma descrição.

Essa escolha não equivale a optar entre segredo e abertura. Uma descrição técnica, uma listagem de código, um patch defensivo e uma cópia entregue a um grupo restrito têm públicos, usos e riscos diferentes. O relato do MIT deixou aberta a possibilidade de distribuir o código mais tarde, depois que os sites tivessem tido tempo de instalar as correções. Foi uma decisão documentada pela equipe, não uma ordem geral da administração do MIT nem uma regra para todos os operadores da Internet. A cronologia do MIT registra essa distinção.

Em dezembro de 1989, Jon Reynolds reuniu outro conjunto de posições na RFC 1135: declarações do Internet Activities Board (IAB), da National Science Foundation (NSF), do MIT e da Computer Professionals for Social Responsibility (CPSR). O documento se apresenta como relato de um acontecimento na Internet e declara que não especifica um padrão. Sua importância está em preservar o desacordo; seu status também limita a conclusão possível. A RFC 1135 arquiva posições. Não é uma votação que demonstre a adoção de uma delas pela comunidade.

Quatro declarações, sem um código comum

A RFC 1087, publicada pelo IAB em janeiro de 1989, descreveu a Internet como um recurso de pesquisa compartilhado e relacionou a responsabilidade profissional à sua disponibilidade continuada. Entre os objetivos inaceitáveis, citou acesso não autorizado deliberado, interrupção, desperdício de recursos, dano à integridade das informações e violação de privacidade. Também advertiu que experimentos com alcance de rede poderiam afetar pessoas além do pesquisador e que salvaguardas poderiam ser contraproducentes se impedissem a livre circulação de informações. O texto combinava contenção e abertura; não criava um órgão central para julgar cada caso local. A RFC 1087 é explicitamente uma declaração de política do IAB.

Reynolds resumiu de outra forma uma declaração de novembro de 1988 de um painel consultivo de uma divisão da NSF. Segundo a RFC 1135, o painel incluía negligência entre as condutas eticamente problemáticas, além da interferência deliberada, e incentivava organizações responsáveis por redes a publicar políticas próprias e procedimentos disciplinares. A recomendação apontava para instituições que administravam sistemas concretos. O texto preservado pela RFC não estabelecia uma autoridade de aplicação universal.

As normas do MIT para o uso responsável de computadores eram anteriores ao worm. A RFC 1135 as descreve como orientação para a comunidade do campus, abrangendo uso previsto, privacidade, segurança, integridade dos sistemas e propriedade intelectual. Regras universitárias podem governar seus membros e sistemas. Sua existência não as converte em lei para a Internet.

A CPSR defendia, conforme a síntese de Reynolds, a publicação de descrições de falhas conhecidas e contestava o encobrimento de vulnerabilidades. Isso não é automaticamente o mesmo que recomendar a publicação imediata de todo código reutilizável. A diferença importa: divulgar a natureza de um defeito pode permitir verificação e correção sem entregar a mesma combinação de detalhes de uma implementação funcional. A fonte disponível é a posição que a RFC atribui à CPSR; sem o texto original completo, não se deve apresentá-la como transcrição exaustiva ou política de todos os seus integrantes.

A escolha do MIT e o custo de reproduzir

A análise contemporânea de Mark Eichin e Jon Rochlis ajuda a tornar concreta a fronteira que a RFC deixa em aberto. A equipe queria explicar os algoritmos usados pelo programa, mas registrou que não publicaria sua versão descompilada durante a resposta imediata. A razão não era que toda explicação fosse perigosa. Era que um artefato executável e modificável poderia reduzir o esforço necessário para construir uma variante prejudicial.

Essa avaliação também tinha limites. O relato descreve a decisão de uma equipe em um momento determinado; não mede o efeito contrafactual de cada alternativa. Não demonstra que a circulação pública do código teria produzido outra infecção, nem que reter o arquivo eliminaria cópias já existentes. A equipe cogitou uma distribuição mais ampla depois do prazo para correção. Isso revela uma decisão sensível ao tempo: o risco de facilitar a reutilização poderia mudar à medida que os sistemas afetados tivessem oportunidade de se proteger.

O relato técnico de Eugene Spafford oferece outra investigação contemporânea, reconstruída a partir de espécimes examinados. É útil para compreender o que os pesquisadores tentavam analisar, mas não é uma contagem completa de incidentes nem uma decisão neutra sobre todas as declarações institucionais. Descrições técnicas publicadas, código descompilado, exemplares sob custódia e patches não devem ser tratados como um único objeto chamado “o worm”.

A imprensa também mediava o incidente

A RFC 1135 reservou espaço para discutir a cobertura jornalística, mas esse trecho deve ser lido como a avaliação de Reynolds, não como um levantamento de toda a imprensa. O relato da equipe do MIT acrescenta uma experiência local mais delimitada: o escritório de comunicação agrupou os pedidos de entrevista, e uma coletiva ajudou os pesquisadores a manter o trabalho técnico. A equipe disse que não se distraiu, embora reconhecesse que outros grupos tiveram mais dificuldade com a atenção da imprensa.

As duas fontes não se anulam. Elas mostram que a experiência variava conforme o grupo e o canal de comunicação. O arquivo não permite concluir que jornalistas, em conjunto, tenham atrasado a resposta, nem que a cobertura tenha sido sempre responsável. A história mais segura é institucional e localizada: quem filtrou os pedidos, como os pesquisadores tentaram preservar o tempo de análise e o que o registro não mede.

Uma controvérsia sobre autoridade, não só sobre informação

Cada ator citado pela RFC tinha um âmbito diferente. O IAB podia publicar orientações para a comunidade técnica; a NSF falava por meio de um painel consultivo; o MIT podia estabelecer regras para seus sistemas e pesquisadores; a CPSR podia defender uma posição profissional. Operadores de redes, contudo, precisavam decidir o que instalar e como proteger suas próprias máquinas. A publicação de uma declaração não demonstra que esses operadores a adotaram nem que alguma organização pudesse decidir em nome de todos.

Esse é o ponto em que a Nota 64 de Heng Lu funciona como lente editorial posterior, não como evidência histórica: publicar uma especificação de coordenação não é o mesmo que vê-la adotada em sistemas em operação. A nota é de 2026 e não explica a decisão de 1988. Ela apenas ajuda a formular uma pergunta que a documentação da época não responde: onde, por quem e com que efeito uma posição escrita virou prática?

Fontes