A Vals, empresa que mede as capacidades de inteligência artificial (IA), testou como diferentes modelos de IA conseguiam executar instruções complexas de rede, com várias etapas, em redes corporativas simuladas.
“Os melhores modelos de fronteira, guardados dentro dos laboratórios e disponíveis apenas por meio de programas de acesso confiável, estão começando a ser igualados por modelos abertos que qualquer pessoa pode baixar”, afirma Nikil Ravi, pesquisador da Vals.
As conclusões da empresa sugerem que os modelos fechados já não têm vantagem definitiva em habilidades cibernéticas. Isso significa que os esforços recentes dos laboratórios de fronteira para limitar o acesso a seus modelos, e assim retardar a proliferação dessas capacidades, podem, potencialmente, ter se tornado inúteis.
As conclusões também chamam atenção porque os laboratórios de fronteira dos Estados Unidos, sobretudo a Anthropic, basearam o lançamento restrito de novos modelos, começando pelo Claude Mythos Preview, em abril, na ideia de que o acesso controlado apenas ganharia tempo até que capacidades avançadas de invasão se tornassem amplamente disponíveis.
O líder da equipe de red team de fronteira da Anthropic, Logan Graham, disse à WIRED em abril que o Project Glasswing, que dá acesso confiável a todas as capacidades dos novos modelos, tinha como foco colocar essas ferramentas “nas mãos dos defensores para dar uma vantagem inicial”.
“Precisamos nos preparar agora para um mundo em que essas capacidades estejam amplamente disponíveis em 6, 12, 24 meses. Muitas coisas seriam diferentes em termos de segurança”, disse ele à WIRED na época.
Sete meses depois, essa transição parece ter chegado no prazo previsto.
A Vals testou modelos de IA em dois cenários simulados, dando a eles diversas tarefas específicas a cumprir. O primeiro cenário envolvia uma rede corporativa simulada acessível por meio de um site público. O segundo envolvia duas redes de empresas diferentes, e um modelo precisava invadir a primeira para ter acesso à segunda.
Os pesquisadores constataram que o modelo cibernético mais avançado da OpenAI, o Daybreak, disponível apenas para parceiros de confiança, era o mais capaz, concluindo 81% das tarefas recebidas, em média, em duas rodadas de testes. O modelo aberto chinês DeepSeek ficou pouco atrás, concluindo, em média, 73% dos objetivos. Os pesquisadores da Vals observam que, em algumas tarefas, os dois modelos obtiveram o mesmo resultado.
A pesquisa também mostrou o quanto é mais barato usar um modelo de pesos abertos (open-weight) para esse tipo de tarefa. A Vals afirma que custa entre US$ 17 e US$ 46 em tokens para o GPT-6-Sol realizar um ataque, contra US$ 2 a US$ 3 no DeepSeek. Modelos abertos costumam ser mais baratos porque podem ser executados no próprio hardware de quem os utiliza. Rayan Krishnan, diretor-executivo (CEO) da Vals, afirma que isso também cria um forte incentivo para que quem atua na defesa use modelos abertos em vez de modelos proprietários.
A OpenAI não respondeu de imediato a um pedido de comentário.
Grande parte do ano na cibersegurança tem se desenrolado como o previsto, com a IA automatizando tarefas centrais de invasão para ajudar tanto atacantes quanto defensores a encontrar um volume enorme de novas vulnerabilidades em códigos e a sondar redes rapidamente em busca de fraquezas. Embora a velocidade e a escala das descobertas, bem como a intensidade do trabalho para corrigir as falhas de software reveladas, tenham aumentado, especialistas ainda debatem se a IA alterou de forma fundamental a base conceitual e os princípios da defesa cibernética. Em outras palavras, ainda não está claro se as ferramentas de IA representam um novo tipo de ameaça ou apenas ampliam desafios de segurança que já existiam há tempos.
O fato de os modelos de pesos abertos começarem a igualar os fechados é crucial para entender como criminosos cibernéticos podem usar a IA, e como empresas e desenvolvedores devem reagir. Na prática, porém, a observação de atividades reais de criminosos cibernéticos e de grupos apoiados por Estados tem mostrado repetidamente, nos últimos meses, que os atacantes continuam fazendo o que sempre fizeram: poupam seus recursos e, em geral, recorrem a modelos mais antigos e menos capazes, tanto proprietários quanto abertos, para a maior parte de suas atividades. E, mesmo com controles rígidos, os defensores devem presumir que os atacantes mais bem financiados e mais motivados já tiveram pelo menos algum acesso a modelos fechados durante todo esse tempo.
“Concordo, em geral, que os modelos de pesos abertos já são capazes de produzir ataques avançados e explorar vulnerabilidades hoje, especialmente quando se considera os chamados modelos ‘abliterados’, que desativam o treinamento de segurança ao modificar os pesos”, afirma Alex Zenla, cofundador e diretor de tecnologia (CTO) da Edera, empresa de segurança em nuvem. “Minha ressalva é que é provável que os laboratórios fechados tenham treinado modelos adicionais, ainda não lançados, que superam essas capacidades. Por isso, eu descreveria a situação como um jogo de gato e rato. Os laboratórios se veem avançando rápido para superar os modelos de pesos abertos, de modo a corrigir vulnerabilidades antes que esses modelos as encontrem. Infelizmente, acho que isso pode ser o início de um cenário de segurança perigoso.”
