A ilusão do cadeado: como as proteções dos modelos de IA open source se desfazem em minutos

Bilhões de dólares foram investidos nos últimos anos para que modelos de inteligência artificial se recusem a ajudar alguém a fabricar uma arma biológica, gerar código malicioso ou produzir material de abuso infantil. São os chamados guardrails — os trilhos de proteção que as grandes empresas de tecnologia embutem em seus sistemas antes de liberá-los ao público. A pergunta que pesquisadores de segurança vêm respondendo com frequência crescente é: quanto tempo dura essa proteção depois que o modelo sai da empresa? Em muitos casos, a resposta é: menos de dez minutos.

Uma investigação do Financial Times, publicada em 25 de maio de 2026 em parceria com o grupo de segurança em IA Alice, demonstrou de forma concreta o que a comunidade acadêmica já vinha sinalizando há pelo menos dois anos: ferramentas disponíveis livremente na internet são capazes de desativar os mecanismos de segurança de modelos open source com uma facilidade perturbadora. Os resultados dos testes conduzidos pelos pesquisadores mostraram versões modificadas dos modelos Llama 3.3 (Meta) e Gemma 3 (Google) respondendo a perguntas sobre dispersão de agentes químicos em espaços fechados, geração de código para roubo de dados de cartões de crédito e produção de narrativas de exploração sexual infantil — conteúdos que os modelos originais se recusariam a tocar.

O que é abliteração e por que ela funciona

A técnica que viabiliza esse tipo de manipulação chama-se abliteração — em inglês, abliteration, fusão de ablation (remoção cirúrgica de tecido) com obliteration (apagamento). O método foi descrito academicamente em 2024 por Arditi e colaboradores e funciona da seguinte forma: o modelo é submetido a dois conjuntos de prompts — um com solicitações inócuas e outro com solicitações problemáticas. O sistema então mede as diferenças nos padrões de ativação interna entre as duas situações, identifica as "direções" no espaço vetorial que correspondem ao comportamento de recusa e as remove cirurgicamente das matrizes de peso do modelo. O resultado é um modelo funcionalmente equivalente ao original em quase tudo — exceto pela capacidade de dizer não.

O aspecto que torna o problema especialmente relevante do ponto de vista de políticas públicas é que essa operação não exige retreinamento. Não é necessário acesso a clusters de GPUs caros, não é necessário tempo. Ferramentas como o Heretic, disponível no repositório de código GitHub e desenvolvida pelo programador Philipp Emanuel Weidmann, automatizam o processo integralmente. Segundo reportagem do FT, Weidmann afirmou ter removido as proteções do modelo Gemma 4 do Google dentro de 90 minutos após seu lançamento público — e que o Heretic já foi utilizado para criar mais de 3.500 versões "descensuradas" de modelos, somando 13 milhões de downloads.

Open source: virtude e vulnerabilidade simultâneas

O debate em termo da abertura dos modelos de IA não é novo, mas os eventos recentes o tornam mais agudo. A filosofia open source sustenta que o acesso público ao código e aos pesos de um modelo democratiza a tecnologia, permite auditoria independente e reduz a concentração de poder nas mãos de poucos laboratórios. Há razões sólidas para defendê-la. O problema é que a mesma abertura que permite a um pesquisador em Campinas ou a uma startup em Lagos acessar capacidades de IA de ponta é a mesma que permite a um ator mal-intencionado remover os filtros de segurança em menos tempo do que leva para assistir a um episódio de série.

Modelos proprietários como o Claude, da Anthropic, ou o ChatGPT, da OpenAI, são estruturalmente mais resistentes à abliteração porque seus pesos não são públicos — manipular o modelo exigiria acesso às infraestruturas internas das empresas, o que representa uma barreira técnica e legal significativa. Mas a proteção oferecida pelos sistemas fechados não é absoluta: pesquisadores de segurança têm documentado formas de contornar guardrails de modelos proprietários por meio de técnicas de jailbreak mais elaboradas, que exploram o comportamento do modelo na inferência, não seus pesos. A diferença é de grau — e de acessibilidade.

Essa democratização do acesso às ferramentas de manipulação tem uma implicação direta para o debate regulatório: as estratégias de governança que depositam confiança nos laboratórios de IA como pontos únicos de controle tornam-se progressivamente menos eficazes à medida que os modelos open source se tornam mais poderosos. Historicamente, a defasagem de capacidade entre os melhores modelos abertos e os proprietários era de seis a doze meses. Com o ritmo atual de desenvolvimento, essa janela vem se estreitando.

O paradoxo da remoção de dados perigosos

Uma das respostas técnicas ao problema tem sido treinar modelos excluindo dos dados de treinamento todo o material considerado perigoso — a abordagem adotada pela OpenAI em sua linha GPT-OSS. A lógica é intuitiva: se o modelo nunca aprendeu a responder sobre síntese de armas biológicas, não terá como responder mesmo que seus guardrails sejam removidos. O problema, como aponta Kawin Ethayarajh ao FT, é que essa estratégia pode tornar os modelos "ingênuos" — incapazes de reconhecer quando estão sendo usados com propósitos maliciosos. Um modelo que não tem nenhum conhecimento sobre agentes patogênicos também pode não conseguir identificar um pedido suspeito formulado de maneira enviesada.

Há ainda uma dimensão epistemológica no problema: o conhecimento necessário para causar dano raramente é inteiramente novo. Informações sobre agentes químicos, vetores biológicos ou código malicioso existem em literaturas técnicas, manuais militares e repositórios acadêmicos acessíveis antes da existência de qualquer modelo de linguagem. O que os modelos desprotegidos mudam não é necessariamente a disponibilidade da informação em si, mas sua acessibilidade — a capacidade de sintetizar, contextualizar e operacionalizar esse conhecimento para alguém que antes teria dificuldade em fazê-lo. Esse é o uplift que os pesquisadores de segurança temem e que os guardrails existem para mitigar.

O que os dados recentes revelam sobre a escala do problema

A plataforma Hugging Face, principal repositório público de modelos de IA do mundo, contava em 2024 com cerca de 600 modelos com guardrails removidos. Pesquisa do NCITE — consórcio de pesquisa vinculado ao Departamento de Segurança Interna dos Estados Unidos — identificou que esse número ultrapassou 6.000 em 2026, com os modelos abliterados representando a categoria de maior crescimento entre os modelos modificados disponíveis publicamente. Em março de 2026, o lançamento do toolkit OBLITERATUS — que suporta 116 modelos diferentes, opera em hardware de consumidor e oferece interface gráfica pelo navegador — sinalizou uma nova fase: a industrialização do processo de remoção de guardrails.

O cenário regulatório global ainda não tem respostas claras para esse quadro. A União Europeia, com o AI Act, concentra obrigações nos desenvolvedores de modelos de propósito geral — o que é adequado para sistemas proprietários, mas de difícil aplicação sobre modelos cuja distribuição é descentralizada e cujos derivados podem ser criados por qualquer pessoa com um computador moderno. A tendência de alguns países de legislar sobre os usos finais da tecnologia, em vez de sua arquitetura, pode ser mais pragmática — mas exige capacidade de fiscalização que poucos estados possuem.

Transparência sem responsabilidade

A resposta das empresas ao relatório do FT é reveladora. O Google reconheceu que a abliteração "é um desafio técnico conhecido para todos os modelos abertos" e afirmou que seus modelos passam por avaliações rigorosas de segurança antes do lançamento. A Meta não comentou. O GitHub, plataforma que hospeda o Heretic e ferramentas similares, declarou que proíbe conteúdo que "apoia diretamente ataques ilegais ativos", mas que código-fonte com potencial de ser usado para fins maliciosos não é banido em si porque "tem valor educacional".

Há uma tensão genuína nessa posição, e seria desonesto ignorá-la. Ferramentas de segurança ofensiva — as mesmas utilizadas por pesquisadores para testar a robustez de sistemas — dependem do acesso livre a técnicas que também poderiam ser mal utilizadas. O debate não é novo: tem paralelos com discussões sobre criptografia nos anos 1990 e sobre ferramentas de hacking ético nas décadas seguintes. O que muda, no caso da IA, é a escala e a velocidade. Cada novo modelo open source de ponta lançado ao público é, potencialmente, um novo ponto de partida para uma versão sem restrições que chegará ao Hugging Face em dias.

O que está em jogo não é apenas uma questão técnica sobre arquiteturas de modelos ou estratégias de alinhamento. É uma questão sobre os limites do modelo de desenvolvimento aberto quando aplicado a sistemas com capacidades que, em configurações não restringidas, podem causar danos concretos. A resposta a essa questão não virá apenas dos laboratórios de IA — virá, ou deveria vir, de um debate público informado sobre os termos em que a tecnologia mais transformadora da nossa época é desenvolvida, distribuída e governada.