Um teste independente pôs um modelo de inteligência artificial chinês, gratuito e descarregável por qualquer pessoa, a encontrar vulnerabilidades em código melhor do que o modelo topo de gama da Anthropic. E fê-lo por cerca de 17 cêntimos de dólar por cada falha encontrada.
O benchmark é o menos importante nesta história. O que importa é o contraste. Os Estados Unidos passaram meses a montar, e depois a recuar em parte, controlos de exportação sobre os seus modelos de IA mais capazes, para manter longe de adversários a capacidade mais perigosa. Entretanto, um laboratório chinês publicou de graça um modelo que, num teste independente, encontrou falhas em código melhor do que o topo de gama americano, com uma licença que deixa qualquer pessoa corrê-lo no próprio computador. Não se embarga um ficheiro que toda a gente pode transferir. E quem te quiser atacar acabou de o receber sem pagar nada.
Um modelo que ninguém consegue recolher
O modelo chama-se GLM-5.2 e é da Zhipu AI, uma empresa chinesa que opera com a marca Z.ai. Foi lançado a 13 de junho sob licença MIT, o que na prática significa pesos abertos (open-weight): qualquer pessoa descarrega o modelo inteiro, corre-o offline e altera-o sem pedir autorização a ninguém. São cerca de 750 mil milhões de parâmetros, com uma janela de contexto que chega a um milhão de tokens.
A prova veio da Semgrep, uma empresa de segurança de software que o pôs a procurar falhas de controlo de acesso, o tipo de erro que deixa um utilizador ver os dados de outro só por trocar um número no endereço. Dando a cada modelo apenas o mesmo pedido, sem ajudas, o GLM-5.2 acertou 39% e ficou à frente das configurações do Claude testadas, a cerca de 17 cêntimos de dólar por falha encontrada. Nas palavras da própria Semgrep, «a melhor opção de pesos abertos bateu o Claude Opus 4.8», que ficou nos 28%. A Zhipu vai mais longe e afirma igualar o Claude Mythos, um dos modelos americanos que o governo dos EUA chegou a restringir por receios de cibersegurança. Aqui é preciso travar a fundo, porque a evidência independente sustenta uma afirmação estreita, boa análise assistida de vulnerabilidades, e não a paridade total para gerar ataques que a manchete promete.
Há mais uma coisa que o teste não mostrou, e que interessa dizer para não vender pânico. O pipeline defensivo da própria Semgrep, uma máquina construída de propósito à volta de vários modelos, continua a ganhar ao GLM-5.2 em bruto, com 53% a 61% de acerto. O céu não caiu. O que mudou foi o chão, porque encontrar falhas ao nível dos melhores modelos deixou de ser um privilégio caro e passou a ser um download gratuito, e isso não se desfaz.
Porque isto pesa mais para quem defende
A assimetria está em quem ganha mais com a mesma ferramenta. O atacante recebe a versão sem travões: corre o modelo na própria máquina, remove as barreiras de segurança que travariam um pedido malicioso, afina-o contra o alvo dele e trabalha sem que fornecedor nenhum veja o que está a fazer. Quando alguém abusa de uma IA alojada na nuvem, fica rasto, o fornecedor deteta, corta o acesso, há registos. Um modelo aberto a correr offline quebra essa cadeia de custódia, não há fornecedor, não há registo, não há visibilidade. O defensor, esse, não descarrega uma solução pronta. Tem de construir a máquina à volta do modelo, como a Semgrep construiu, e isso custa tempo, engenharia e dinheiro. O atacante transfere capacidade, o defensor tem de a fabricar.
Em Portugal isto chega num momento em que a régua acabou de subir. A 22 de junho, o Centro Nacional de Cibersegurança publicou o regulamento que concretiza o novo Regime Jurídico da Cibersegurança, a transposição da diretiva europeia NIS2, com três níveis de conformidade e um conjunto de medidas mínimas que passam a ser obrigatórias para as entidades consideradas essenciais, importantes ou públicas relevantes. A lei nova assume o que este teste confirma, que as organizações que sustentam o país têm de deixar de partir do princípio de que o adversário está mal equipado.
Como te preparas para um adversário melhor armado
Contra uma ferramenta destas, a defesa não muda de natureza, muda de urgência. O que ajuda:
- Assumir paridade. Não contes com o atacante a não ter a ferramenta. Ela é gratuita, parte do princípio de que ele a tem.
- Encurtar a janela da correção. O tempo entre uma falha se tornar pública e ser explorada está a comprimir-se, e corrigir depressa deixou de ser boa prática para passar a ser sobrevivência.
- Investir na máquina, não só no modelo. Foi um sistema construído à volta de modelos, e não um modelo isolado, que ganhou o teste. A tua defesa também precisa de ser um processo, não uma compra.
- Fechar o óbvio primeiro. A falha que o GLM-5.2 caça melhor é das que um bom teste de segurança apanha, o controlo de acesso mal feito. Muito do que estas ferramentas encontram continua a ser higiene por fazer.
A capacidade de encontrar as brechas dos teus sistemas passou a ser um ficheiro gratuito que ninguém consegue chamar de volta. A única variável que sobra é se quem defende se mexe tão depressa como quem acabou de a descarregar.
Fontes: Semgrep, Dark Reading.
#StaySafe
🙏🖖
