Anthropic classifica o GLM-5.3 como grave ameaça cibernética e reacende a polêmica sobre modelos abertos

No fim de setembro, a Anthropic publicou um relatório em que afirma que o modelo GLM-5.3 representa um risco grave para a cibersegurança. É um caso raro: um dos principais laboratórios do setor aponta publicamente um modelo concorrente específico como ameaça. O motivo da polêmica é formal: o GLM-5.3 é um modelo aberto, ou seja, seus pesos estão disponíveis para download. A MIT Technology Review, na seção Explains, usa o relatório para examinar uma questão mais ampla: os benefícios dos modelos abertos superam os riscos associados a eles?

Uma ressalva importante. No trecho do material a que tivemos acesso, a formulação da principal tese do relatório é interrompida no meio da frase. Por isso, o texto a seguir trata da lógica da própria discussão, e não de um resumo linha a linha do documento da Anthropic.

Qual é a diferença entre um modelo aberto e um fechado

Um modelo fechado, como Claude ou GPT, é acessado pelo usuário via API. O fornecedor vê as requisições, pode bloquear cenários suspeitos, atualizar filtros e cortar o acesso de quem infringe as regras. Com um modelo aberto, tudo muda. Os pesos ficam com o usuário, a execução acontece no hardware dele, e qualquer mecanismo de proteção pode ser alterado por fine-tuning ou simplesmente removido.

É aqui que passa a fronteira do risco. Depois que os pesos são publicados, não há como recolhê-los. Se mais tarde se descobrir que o modelo ajuda a automatizar a busca por vulnerabilidades ou a escrita de exploits, já não será possível corrigir o problema de forma centralizada. Resta contar com medidas de proteção externas.

O que os modelos abertos oferecem em troca

Os argumentos dos defensores da abertura são concretos e não se reduzem a ideologia:

• Verificabilidade. Pesquisadores independentes podem estudar o comportamento do modelo, procurar vulnerabilidades nele e reproduzir resultados. Com sistemas fechados, isso é impossível.
• Controle sobre os dados. A empresa executa o modelo dentro do próprio perímetro, e documentos sensíveis não vão parar nas mãos de um provedor terceiro.
• Economia. É possível refinar o modelo para uma tarefa específica e rodá-lo em GPUs próprias, sem depender de tarifas e limites de API.
• Concorrência. Os modelos abertos seguram os preços e impedem que o mercado se concentre em dois ou três fornecedores.

Há ainda um argumento dos defensores: as ferramentas de IA também são necessárias para quem se defende. Equipes de segurança também usam modelos para analisar código, buscar vulnerabilidades e investigar incidentes. Se os modelos abertos mais fortes desaparecerem, sairão ganhando os que têm acesso a sistemas fechados e orçamento para isso.

Onde o argumento da ameaça funciona e onde é mais frágil

A lógica da Anthropic é compreensível: quanto mais capaz o modelo em programação e em trabalho com agentes, mais útil ele é para automatizar ataques, e a versão aberta não tem alavancas de controle. Mas as objeções também são sérias. Para a maioria dos ataques, os criminosos não precisam de um modelo de ponta: phishing e exploits comuns funcionam há muito tempo sem ele. Além disso, um laboratório que vende modelos fechados tem interesse em como a regulação é formulada. Isso não invalida as conclusões dele, mas exige que sejam verificadas de forma independente.

Na discussão, dois modelos de segurança diferentes se enfrentam. Um se apoia no controle de acesso pelo fornecedor. O outro aposta em transparência e proteção distribuída. Cada um funciona bem justamente onde o outro é mais fraco.

Conclusões práticas

Para as empresas, a escolha entre modelo aberto e fechado deve se basear na tarefa, e não em ideologia. Se o requisito é processamento local de dados e ajuste fino, o modelo aberto serve, mas filtros, registro de requisições e limitação das permissões dos agentes terão de ser construídos pela própria equipe. Se o mais importante são governabilidade e suporte do fornecedor, uma API fechada é a escolha mais sensata.

Para as equipes de segurança, o relatório da Anthropic é um sinal: modelos do nível do GLM-5.3 devem entrar no modelo de ameaças já agora, e as defesas da própria empresa devem ser testadas contra eles. Para os reguladores, a questão continua a mesma e, por ora, sem resposta: é possível limitar riscos onde o controle depois da publicação é impossível, e isso não prejudicaria pesquisadores e empresas que dependem de pesos abertos?