O fim da vantagem: como um modelo chinês de código aberto alcançou os EUA na caça a vulnerabilidades digitais

Em 13 de junho, a empresa chinesa Zhipu AI — operando sob a marca Z.ai — liberou para download os pesos completos de seu novo modelo de linguagem, o GLM-5.2. Não era a primeira vez que um laboratório chinês lançava um sistema aberto e gratuito. Mas o momento escolhido carregava um simbolismo difícil de ignorar: um dia antes, o governo dos Estados Unidos havia restringido o acesso internacional aos modelos mais avançados da Anthropic, incluindo o Mythos, alegando risco à segurança nacional. A resposta chinesa chegou em horas, não em meses, e foi distribuída de um jeito que nenhuma ordem executiva consegue conter: como um arquivo público na internet.

Duas semanas depois, avaliações independentes de segurança confirmaram que essa resposta não era apenas simbólica. A empresa de ferramentas de segurança Semgrep testou o GLM-5.2 contra um conjunto de tarefas de detecção de falhas do tipo IDOR — um erro comum em que um sistema permite que um usuário acesse dados de outro apenas trocando um identificador na URL. O modelo chinês obteve uma pontuação F1 de 39%, superando o Claude Code, da Anthropic, que ficou em 32%, e fazendo isso a um custo de cerca de US$ 0,17 por vulnerabilidade encontrada — uma fração do valor gasto em fluxos equivalentes com modelos da Anthropic.

Uma segunda avaliação, conduzida pela empresa de análise de dados Graphistry em seu benchmark CyBT-CTF, chegou a uma conclusão semelhante: em tarefas de investigação de incidentes cibernéticos, o GLM-5.2 igualou o desempenho do Claude Opus 4.8, lançado pela Anthropic em maio. Em tarefas mais amplas de raciocínio geral, o modelo chinês ainda fica atrás dos sistemas de ponta americanos — mas no nicho específico de achar falhas em código, a distância que antes parecia intransponível encolheu a quase zero.

Por que essa tarefa específica importa tanto

Encontrar vulnerabilidades de software antes que sejam exploradas é, ao mesmo tempo, a aplicação mais valiosa e mais perigosa da IA atual. Do lado defensivo, equipes de segurança usam esses modelos para varrer milhões de linhas de código e corrigir falhas críticas antes que cheguem à produção — uma tarefa que, feita por humanos, é lenta, cara e cronicamente deficitária de profissionais qualificados. Do lado ofensivo, a mesma capacidade permite a um atacante automatizar a descoberta de brechas exploráveis em escala industrial, um cenário que pesquisadores de segurança já apelidaram de "bugmageddon": uma onda sincronizada de exploração de vulnerabilidades recém-descobertas, rápida demais para que defensores humanos consigam acompanhar.

É essa dualidade que tornou o Mythos um caso particular dentro da família de modelos da Anthropic: foi construído e testado especificamente para essa função, com resultados que a própria empresa descreveu como uma ruptura de patamar em relação a gerações anteriores na descoberta autônoma de falhas em sistemas operacionais e navegadores amplamente usados. O fato de um modelo aberto chinês conseguir se aproximar desse desempenho — ainda que em tarefas mais restritas — muda o cálculo de risco de governos e empresas de segurança em todo o mundo.

A frase é de Zhou Hongyi, fundador da 360 Security Technology, uma das maiores empresas de segurança digital da China, dita em uma conferência em Pequim na mesma semana em que sua companhia lançou o Tulongfeng, uma ferramenta própria de detecção de falhas que a empresa apresenta como comparável ao Mythos. Zhou também integra o principal órgão consultivo político chinês — um detalhe que situa sua declaração não como opinião de mercado, mas como posicionamento de Estado.

O paradoxo do controle por exportação

A lógica por trás das restrições americanas era relativamente simples: se os modelos mais capazes de encontrar e explorar falhas ficam disponíveis apenas via interface controlada — com identificação de usuário, limites de uso e possibilidade de corte de acesso —, o governo dos EUA mantém uma vantagem operacional sobre adversários estrangeiros. Essa lógica funciona bem para hardware: um chip de ponta tem número de série, passa por uma fábrica identificável, atravessa uma alfândega. Não funciona da mesma forma para um arquivo de pesos de modelo hospedado em um repositório público — sem número de série, sem fábrica, sem ponto de inspeção.

O GLM-5.2 é um modelo de mistura de especialistas (MoE) com 744 bilhões de parâmetros e janela de contexto de até 1 milhão de tokens, liberado sob licença permissiva que permite download, modificação e uso irrestrito por qualquer pessoa, em qualquer lugar — inclusive por grupos de ameaça patrocinados por Estados. Enquanto isso, modelos como o Mythos seguem sob controle de exportação dos EUA desde 12 de junho: por mais de duas semanas, a própria Anthropic precisou suspender o acesso global a um de seus principais modelos para cumprir a determinação, antes que o governo restaurasse parcialmente, na sexta-feira seguinte, o acesso ao Mythos 5 para um grupo de entidades consideradas confiáveis — entre elas, segundo pessoas a par do assunto, a Agência de Segurança Nacional (NSA), que vinha testando a ferramenta em avaliações internas e a considerava de alto valor para suas próprias defesas.

A OpenAI seguiu caminho parecido: na sexta-feira anterior, a empresa anunciou estar limitando o acesso ao seu modelo mais recente, o GPT-5.6, citando preocupações de segurança levantadas por autoridades do governo americano, e classificou o atual processo de avaliação caso a caso como uma solução provisória enquanto uma recente ordem executiva sobre supervisão de modelos avançados é implementada.

Críticos da política — entre eles especialistas que atuaram em restrições de exportação durante o governo Biden — apontam uma contradição adicional: ao mesmo tempo em que restringe o acesso a seus próprios modelos mais avançados, o governo americano vem permitindo a exportação de chips de IA para a China, justamente os componentes que sustentam o treinamento de sistemas como o GLM-5.2. Para esses analistas, a combinação efetivamente entrega a Pequim duas vantagens simultâneas: capacidade de hardware e um vácuo de mercado deixado pelos modelos americanos retirados de circulação.

O outro lado do tabuleiro: o que isso significa para o Brasil

Para o leitor brasileiro, essa disputa não é um espetáculo distante entre Washington e Pequim — ela já molda decisões concretas em empresas e órgãos públicos do país. O Brasil registrou 735,8 bilhões de tentativas de ataque cibernético em 2025, mais que o dobro do volume identificado em 2024, segundo o relatório de cenário global de ameaças da Fortinet. Especialistas do setor atribuem boa parte desse salto à automação por IA: ferramentas que antes exigiam conhecimento técnico especializado para localizar credenciais expostas ou explorar falhas em sistemas hoje podem ser operadas por qualquer pessoa disposta a contratar "crime cibernético como serviço".

É nesse contexto que cresce, no Brasil, o interesse por modelos chineses de código aberto — não só o GLM-5.2, mas também DeepSeek, Qwen (da Alibaba) e Kimi. Para alguns especialistas em tecnologia, a possibilidade de baixar e rodar esses sistemas localmente, sem depender de uma API estrangeira que pode ser cortada por decisão política — como ocorreu com o próprio Mythos —, representa um caminho de soberania tecnológica, especialmente diante de uma eventual nova rodada de restrições americanas. Por outro lado, autoridades de proteção de dados em diversos países já abriram investigações sobre o destino dos dados processados por esses modelos, e o uso de sistemas hospedados sob jurisdição chinesa levanta dúvidas sobre conformidade com a Lei Geral de Proteção de Dados (LGPD) quando aplicados a informações sensíveis de cidadãos ou empresas brasileiras.

O momento também coincide com a reta final do Marco Legal da Inteligência Artificial no Brasil. O PL 2338/2023, aprovado por unanimidade no Senado em dezembro de 2024, tramita desde então na Câmara dos Deputados e tem votação final prevista para 2026. O texto cria um sistema de classificação de risco para aplicações de IA — inspirado no AI Act europeu, mas adaptado à realidade institucional brasileira — e atribui à Autoridade Nacional de Proteção de Dados (ANPD) papel central na fiscalização de sistemas de alto risco, incluindo, potencialmente, ferramentas de segurança cibernética baseadas em IA usadas por infraestrutura crítica nacional. Enquanto a lei não entra em vigor, a ANPD já vem atuando por meio de um sandbox regulatório e incluiu IA entre os quatro eixos prioritários de fiscalização para o biênio 2026–2027.

Some-se a isso a tramitação paralela da PEC de Segurança Cibernética, discutida no Congresso à medida que ataques a infraestruturas essenciais — energia, transporte, sistema financeiro — se tornam alvo recorrente. O dilema que atravessa Washington e Pequim chega, portanto, em versão local: como equilibrar o acesso a ferramentas de IA cada vez mais poderosas e baratas, frequentemente de origem chinesa e fora de qualquer controle de exportação, com a necessidade de proteger dados sensíveis e a continuidade de serviços públicos digitais.

Um modelo de controle pensado para outra era

O episódio do GLM-5.2 ilustra um problema estrutural mais amplo na forma como o controle de tecnologia de ponta vem sendo pensado. As regras de controle de exportação americanas (Export Administration Regulations) foram desenhadas para rastrear bens físicos — chips, componentes de armamento, equipamentos com número de série, fábricas sujeitas a inspeção in loco. Um arquivo de pesos de um modelo de 744 bilhões de parâmetros hospedado em uma plataforma como o Hugging Face não tem nada disso: nenhum número de série, nenhuma instalação fixa, nenhuma cadeia de custódia rastreável. Uma vez publicado, está disponível para qualquer pessoa com hardware suficiente para rodá-lo — de uma equipe de segurança corporativa em São Paulo a um grupo de ameaça patrocinado por um Estado em qualquer lugar do mundo.

Isso não significa que os modelos fechados e controlados, como o Mythos, percam relevância — eles continuam à frente em capacidades gerais e seguem sendo a ferramenta de escolha para organizações que podem pagar por elas e que têm acesso garantido. Mas o episódio revela os limites de uma estratégia que tenta conter a difusão de uma capacidade replicável digitalmente usando ferramentas pensadas para conter a difusão de objetos físicos. Como resumiu um pesquisador que liderou equipes de segurança no Google e na Stripe, o efeito líquido da política atual tem sido empurrar empresas em todo o mundo para modelos chineses mais baratos e abertos, ao mesmo tempo em que fragiliza a posição competitiva da própria indústria americana de IA — um resultado oposto ao que a restrição pretendia alcançar.

Para o Brasil, a lição prática talvez seja menos sobre escolher um lado nessa disputa geopolítica e mais sobre reconhecer que a era em que a capacidade de ponta em IA podia ser mantida atrás de uma única fronteira nacional já passou. A pergunta que resta para reguladores, empresas e equipes de segurança brasileiras não é mais se modelos abertos e baratos — chineses ou não — vão circular livremente pelo país, mas como construir governança, capacitação técnica e infraestrutura de defesa cibernética robustas o suficiente para operar nesse novo ambiente, independentemente de onde os modelos tenham sido treinados.