Enquanto GPT-5.5, Claude Opus 4.7 e outros modelos de fronteira dominam as manchetes, um concorrente chinês está fechando a distância mais rápido do que muita gente esperava. Olha que coisa interessante: o GLM-5.2, modelo de peso aberto da Z.ai, está apenas alguns meses atrás dos líderes americanos em capacidades de cibersegurança ofensiva e biologia dual-use, segundo um novo relatório da SaferAI, ONG dedicada a segurança em IA.
O detalhe que assusta: zero recusas
Aqui está o ponto que merece destaque em qualquer benchmark de segurança. Ao rodar a bateria de testes na API pública da Z.ai, a SaferAI descobriu que o GLM-5.2 não recusou nenhuma das tarefas ofensivas de ciber ou biologia que recebeu. Para comparar, o Claude Opus 4.7 recusou tanto que a equipe nem conseguiu terminar o CyberGym, benchmark de invasão usado pela própria OpenAI antes do vazamento envolvendo a Hugging Face no mês passado.
É como comparar um segurança que checa identidade na porta com um balcão de loja aberta 24 horas sem câmera. A diferença não está na inteligência dos modelos, está no quanto cada um foi treinado para dizer não.
Peso aberto, controle fechado
O problema de fundo é estrutural. Uma vez que os pesos de um modelo são baixados, qualquer camada de proteção aplicada pela empresa original vira decoração. Quem roda o modelo na própria máquina pode remover filtros, re-treinar com dados próprios ou simplesmente trocar o prompt de sistema.
A fronteira de capacidade não é a fronteira de risco, por isso precisamos considerar também o estado das mitigações para avaliar o risco de forma correta, disse Henry Papadatos, diretor executivo da SaferAI.
Nos modelos fechados, empresas como OpenAI e Anthropic apostam em classificadores, treinamento de recusa e controles na própria API. Só que nem isso é garantia: a ONG Far.ai catalogou centenas de jailbreaks universais, chaves reutilizáveis que funcionam na maioria dos pedidos maliciosos, em modelos como Grok 4.5 e Gemini 3.1 Pro. A receita costuma combinar roleplay, simulação de autoridade e históricos de conversa falsos para furar as defesas.
Filtrar dados ajuda, mas só até certo ponto
Uma saída possível é a filtragem de dados de pré-treinamento: remover conteúdo ofensivo de cibersegurança antes mesmo de treinar o modelo. Pesquisas da Anthropic sugerem que essa poda reduz conhecimento biológico perigoso sem prejudicar a performance geral. Para código, a conta não fecha tão fácil: é quase impossível treinar um modelo excelente em programação que não seja, ao mesmo tempo, um bom invasor em potencial. E como coding é hoje a maior fonte de receita da IA, a pressão para melhorar essa capacidade nunca para.
No caso do GLM-5.2, a SaferAI aponta que a Z.ai não publicou framework de segurança, testes pré-lançamento nem avaliação de risco. A TechCrunch perguntou à empresa se houve avaliação interna ou externa antes do lançamento e não teve resposta.
China vê o risco de outro ângulo
Na Conferência Mundial de IA do mês passado, o presidente Xi Jinping defendeu a importância dos modelos abertos, mas também reforçou que a IA deve permanecer sob controle humano estrito. Graham Webster, pesquisador de política de IA chinesa na Stanford Cyber Policy Center, explica que a regulação chinesa é robusta, só que historicamente focada em conteúdo politicamente sensível e estabilidade social, não em riscos catastróficos como ciberataques ou uso indevido de biologia. Segundo ele, parte da comunidade de políticas na China aposta que, se um risco de fronteira realmente novo aparecer, as empresas americanas vão encontrá-lo primeiro.