Modelos abertos de IA quase igualam GPT-6 em ataques simulados

Inteligência Artificial

Testes revelam que modelos abertos de IA alcançam desempenho próximo ao GPT-6 em invasões simuladas, com custo significativamente menor.

Leia também: Sequoia fecha escritório em Londres e encerra programa de scouts

Agentes de inteligência artificial conseguiram invadir sozinhos redes corporativas simuladas, e modelos abertos como o Deepseek V4.1 Flash 1017 já se aproximam do desempenho de sistemas restritos como o GPT-6 Sol, do programa Daybreak da OpenAI, mas custando muito menos e com barreiras de segurança pouco eficazes.

Modelos abertos encostam nos fechados em ataques simulados

Nos testes do benchmark Vals CyberOffense, que recria redes corporativas realistas, o GPT-6 Sol teve o melhor resultado, cumprindo 80,8% dos objetivos de ataque. O Deepseek V4.1 Flash 1017, modelo de código aberto e livremente disponível, alcançou 72,8% das metas, com custo aproximado de US$ 3 por execução, contra cerca de US$ 22 do modelo fechado.

Em todos os cenários, cada agente de IA operou sozinho, em uma máquina de ataque isolada, partindo apenas de um endereço web público e sem qualquer ajuda humana. Entre as missões estavam obter acesso administrativo, movimentar-se lateralmente pela rede simulada, roubar credenciais e comprometer múltiplos sistemas internos.

Pesquisadores da Vals chamam atenção para o efeito da abertura desses modelos: “Uma vez que os pesos de um modelo são públicos, nenhum provedor pode controlar ou restringir como ele é usado”, afirmam. Na prática, isso significa que qualquer pessoa com recursos relativamente modestos pode operar um sistema com capacidades ofensivas avançadas.

Teste Lighthouse mostra invasão completa em poucas horas

Num cenário ainda mais complexo, o teste Lighthouse, o programa Daybreak conseguiu assumir o controle administrativo da primeira empresa simulada, roubar senhas e usá-las para invadir uma segunda organização virtual. No total, cumpriu 27 de 31 objetivos em menos de três horas.

O Deepseek teve desempenho menor, mas ainda assim significativo: concluiu 21 objetivos no mesmo ambiente, custando apenas uma fração do valor e sem as limitações impostas por guardrails de segurança. As barreiras embutidas no modelo aberto se mostraram pouco eficazes para conter o comportamento ofensivo ao longo da execução.

Os resultados indicam que, embora programas fechados de ponta ainda liderem em eficácia, a vantagem encolhe rapidamente quando se considera custo por ataque, tempo de operação e ausência de travas sólidas nos modelos abertos.

Testes curtos escondem força dos modelos abertos

Um dos achados mais preocupantes é que a verdadeira capacidade dos modelos abertos só aparece em execuções longas. Nos experimentos, o Deepseek não obteve resultados nas primeiras 25 milhões de tokens processadas — a unidade que mede o volume de texto analisado e gerado.

O salto de desempenho veio bem depois: o modelo avançou substancialmente ao passar de 100 milhões de tokens, quando começou a cumprir uma parte importante dos objetivos de ataque na rede simulada. “Testes curtos subestimam o real potencial dos modelos abertos”, resumem os pesquisadores da Vals.

Isso coloca em xeque avaliações tradicionais de risco, que em geral trabalham com janelas menores e podem estar medindo apenas a “ponta do iceberg” das capacidades ofensivas disponíveis hoje em ferramentas abertas.

Diferença entre modelos abertos e fechados encolhe

As conclusões convergem com uma análise recente do AI Security Institute, do Reino Unido, que monitora a evolução desses sistemas. Segundo o instituto, “a diferença entre modelos abertos e fechados em capacidades cibernéticas encolheu para quatro a sete meses”, depois de ter ficado por muito tempo em um patamar maior, entre seis e dez meses.

Em termos simples, isso quer dizer que o que hoje é exclusivo de modelos fechados de última geração tende a se tornar possível, em cerca de meio ano, para modelos abertos que qualquer pessoa ou empresa pode baixar e executar por conta própria.

Os custos também pesam a favor da abertura. O AI Security Institute calcula que uma execução em ambiente de simulação avançada com o Deepseek V4-Pro sai por US$ 1,19, enquanto um teste equivalente com o Anthropic Opus 4.5 custa US$ 85. Na prática, um atacante consegue rodar dezenas de tentativas com um modelo aberto pelo preço de uma única rodada com um modelo comercial de topo.

O instituto conclui que “as medidas de segurança nos modelos abertos mostraram-se largamente ineficazes”, reforçando a percepção de que a democratização dessas ferramentas vem acompanhada de um aumento real de risco.

Entenda o contexto

O Vals CyberOffense é um conjunto de testes que simula redes corporativas com servidores, estações de trabalho, serviços internos e credenciais, tentando reproduzir o ambiente que empresas de tecnologia, bancos, hospitais e operadoras de infraestrutura crítica mantêm no mundo real.

As redes são isoladas e montadas apenas para avaliação, mas os objetivos dos agentes espelham ataques concretos: escalar privilégios, se mover entre máquinas, extrair dados sensíveis e comprometer domínios inteiros. A diferença é que, nos experimentos, não há um humano conduzindo o ataque — a IA recebe a missão e decide sozinha que comandos executar.

Além dos testes da Vals, um estudo recente da Anthropic mostrou que o modelo aberto GLM-5-3 já consegue criar exploits — pequenos códigos que exploram falhas de software — quase no mesmo nível do modelo interno de ponta Mythos, reforçando a tendência de redução da vantagem dos sistemas fechados.

Riscos crescentes e oportunidades na defesa

Ao mesmo tempo em que acende um alerta para o aumento da superfície de ataque, a pesquisa aponta uma brecha de oportunidade para quem defende redes corporativas. “Os mesmos modelos que exploram vulnerabilidades podem ajudar empresas a encontrá-las e corrigi-las antes”, lembram os pesquisadores da Vals.

Isso significa que empresas podem usar agentes de IA ofensivos, em ambiente controlado, para fazer varreduras contínuas em sua própria infraestrutura, buscando o mesmo tipo de brecha que criminosos tentariam explorar. O custo-benefício dos modelos abertos torna esse tipo de auditoria automatizada mais acessível para organizações médias e pequenas, não apenas para grandes grupos.

A avaliação da Vals é que ataques em redes reais tendem a aumentar nos próximos meses, impulsionados por essa combinação de custo baixo, barreiras de uso frágeis e capacidades técnicas em rápida evolução. Para especialistas, a resposta passa por integrar esses agentes também às linhas de defesa, atualizando de forma dinâmica firewalls, sistemas de detecção e processos internos.

Governos e empresas correm para reagir

A constatação de que medidas de segurança atuais são insuficientes para conter modelos abertos deve acelerar a discussão sobre novas regras e tecnologias de mitigação. Pesquisadores do AI Security Institute defendem políticas mais duras de monitoramento de uso desses sistemas, além de padrões mínimos de segurança para quem distribui modelos com capacidades avançadas de ataque.

No setor privado, a tendência é que equipes de segurança passem a incorporar, de forma sistemática, modelos abertos em suas rotinas de teste de invasão e avaliação de risco. A disputa, agora, é pelo ritmo de adaptação: criminosos digitais ganham ferramentas mais baratas e potentes, enquanto defensores tentam usar as mesmas armas para manter suas redes um passo à frente.