As Barreiras de Segurança da Anthropic, Google e OpenAI Estão Desacelerando a Pesquisa Ofensiva em Cibersegurança

Os controles de segurança da Anthropic, Google e OpenAI enfrentam agora um teste difícil: pesquisadores afirmam que barreiras mais rígidas estão dificultando trabalhos autorizados de cibersegurança ofensiva. As restrições visam atividades de hacking malicioso, mas os mesmos controles podem bloquear a validação de vulnerabilidades, a engenharia reversa e o desenvolvimento de exploits.

Esse conflito se tornou mais difícil de ignorar depois que vários pesquisadores de segurança ofensiva relataram recusas repetidas e resultados inconsistentes. O trabalho deles envolve encontrar falhas desconhecidas antes que criminosos as explorem, muitas vezes desenvolvendo provas de conceito controladas.

O problema não é simplesmente que empresas de IA recusam solicitações perigosas. Pesquisadores dizem que os sistemas têm dificuldade para distinguir um teste autorizado de um ataque real. Essa ambiguidade provoca atrasos, limita a reprodutibilidade e direciona trabalhos sensíveis para modelos abertos hospedados localmente.

A OpenAI e a Anthropic introduziram programas de verificação destinados a reduzir esse atrito. O Google também restringe usos de IA generativa que envolvam malware, interrupção de infraestrutura e contorno de filtros de segurança. Em conjunto, essas políticas mostram como as principais empresas americanas de IA estão delimitando as capacidades cibernéticas de uso duplo.

A disputa central é mais séria do que uma reclamação rotineira sobre recusas de modelos. Segurança ofensiva e defensiva frequentemente exigem as mesmas etapas técnicas. Um modelo nem sempre consegue identificar a autorização do operador a partir do código, comando ou vulnerabilidade inseridos em seu contexto.

Isso deixa os laboratórios de fronteira escolhendo entre dois erros custosos. Um modelo permissivo pode ajudar um invasor a agir mais rápido. Um modelo excessivamente cauteloso pode impedir um defensor de entender e corrigir a mesma fraqueza.

Pesquisadores Dizem que Trabalhos Cibernéticos Legítimos Estão Sendo Bloqueados

A mudança imediata é que as barreiras cibernéticas agora interrompem fluxos de trabalho práticos de pesquisa, não apenas solicitações obviamente maliciosas.

Uma investigação sobre cibersegurança de 23 de julho documentou reclamações de pesquisadores que encontram vulnerabilidades e desenvolvem exploits. Vários disseram que modelos de fronteira recusaram solicitações legítimas ou produziram respostas inconsistentes durante trabalhos autorizados.

Segurança ofensiva significa testar sistemas a partir da perspectiva de um invasor, com permissão do proprietário. Ela inclui testes de penetração, validação de exploits, red teaming e algumas formas de engenharia reversa.

Essas atividades podem expor fraquezas que uma revisão convencional de código não detecta. Um caminho de código suspeito só se torna acionável depois que um pesquisador estabelece se ele pode ser alcançado e explorado.

Chris Anley, cientista-chefe da NCC Group, disse ao TechCrunch que pedir a um modelo para explorar um bug pode confirmar se ele merece correção. Uma recusa nesse estágio não elimina apenas uma conveniência. Ela pode interromper o processo de reunir evidências que ajuda uma empresa a priorizar uma correção.

Anley comparou a tecnologia a um martelo, que pode servir tanto como ferramenta quanto como arma. Seu ponto mais amplo diz respeito à sobreposição técnica. Instruções úteis para exploração também podem ser essenciais para demonstrar que um código vulnerável cria um risco real.

Essa sobreposição se torna especialmente importante com zero-days, ou seja, vulnerabilidades desconhecidas pelo fornecedor afetado quando são descobertas. Pesquisadores frequentemente precisam rastrear a execução, manipular memória ou criar entradas incomuns antes de entender uma falha.

Essas etapas se assemelham ao comportamento de invasores porque os pesquisadores estão reproduzindo o ataque. Um classificador vê termos, códigos e comandos suspeitos. Ele pode não ver o contrato ou a autorização de laboratório que torna o trabalho legítimo.

Um pesquisador de uma fabricante de componentes para smartphones disse ao TechCrunch que as ferramentas da Anthropic se tornaram pouco úteis para a descoberta de vulnerabilidades fora de seu programa de verificação. O pesquisador afirmou que o sistema parava assim que detectava trabalho relacionado à segurança.

Chris Thompson, CEO da RemoteThreat, descreveu outro modo de falha. Ele disse que as barreiras se comportavam de maneira diferente entre sessões, inclusive em programas avaliados que oferecem restrições mais flexíveis.

Essa inconsistência importa porque a pesquisa de vulnerabilidades depende de experimentos reproduzíveis. Um pesquisador precisa determinar se um resultado vem do alvo, do método de teste ou da intervenção variável do modelo.

Quando a aplicação da política muda sem uma explicação clara, o modelo adiciona outra variável não controlada. O tempo deixa de ser dedicado à análise da vulnerabilidade e passa a ser gasto reformulando prompts e diagnosticando recusas.

As restrições não afetam todos os profissionais da mesma forma. Giuseppe Cali, que encontra zero-days e desenvolve exploits, disse ao TechCrunch que as barreiras não haviam dificultado seu trabalho.

Cali usa IA para engenharia reversa inicial e para criar ferramentas de apoio. Ele mantém a descoberta efetiva de vulnerabilidades e a transformação em arma sob seu próprio controle, em parte porque gosta desse trabalho.

Sua experiência estabelece um limite importante para as críticas. Modelos de fronteira podem continuar úteis quando pesquisadores lhes atribuem tarefas de apoio de menor risco. O conflito se intensifica quando um fluxo de trabalho se aproxima da explorabilidade, do comportamento de payloads ou de testes operacionais.

O debate atual, portanto, diz respeito ao acesso a capacidades específicas, e não a se a IA tem algum valor em segurança. Os modelos podem resumir código, explicar funções, propor testes ou ajudar com documentação sem cruzar os limites mais rigorosos das políticas.

Os problemas surgem quando um pesquisador pede ao modelo que conecte essas etapas. Essa conexão é frequentemente onde uma possível falha se torna uma descoberta de segurança verificada.

Por que as Políticas da Anthropic e Google Não Conseguem Separar Claramente Ataque de Defesa

As políticas da Anthropic, Google e outros laboratórios de fronteira enfrentam um problema de classificação que apenas prompts não conseguem resolver de forma confiável.

A Anthropic afirma que suas salvaguardas em tempo real bloqueiam usos proibidos e atividades de uso duplo de alto risco. Sua categoria de uso proibido inclui condutas com pouco valor defensivo legítimo, como o desenvolvimento de ransomware ou a exfiltração massiva de dados.

A categoria de uso duplo de alto risco é mais complicada. A Anthropic inclui explicitamente a exploração de vulnerabilidades e o desenvolvimento de ferramentas de segurança ofensiva, ambos capazes de atender a finalidades defensivas legítimas.

Essas solicitações são bloqueadas por padrão nos modelos Claude afetados. Usuários verificados podem solicitar ajustes por meio do Cyber Verification Program, ou CVP, da Anthropic.

A Anthropic afirma que profissionais aprovados ainda podem encontrar bloqueios. A empresa reconhece que pode recusar incorretamente candidatos elegíveis e que usuários aprovados podem enfrentar restrições em trabalhos legítimos.

Esse reconhecimento reflete o desafio técnico central. Um modelo pode receber instruções idênticas de desenvolvimento de exploits de um profissional de teste de penetração e de um criminoso. A diferença visível costuma ser a autorização, não a operação solicitada.

A política de uso proibido do Google também proíbe conteúdo de IA generativa que facilite malware, abuso de infraestrutura ou contorno de filtros de segurança. Ela permite exceções quando benefícios educacionais, científicos ou públicos superam os danos.

A linguagem das exceções reconhece o contexto, mas aplicar o contexto em escala continua difícil. Um usuário pode alegar possuir um alvo sem prová-lo. Um pesquisador legítimo também pode trabalhar em um produto sem controlar sua infraestrutura.

A OpenAI descreve capacidades cibernéticas como inerentemente de uso duplo. A empresa afirma que fluxos de trabalho defensivos e ofensivos dependem de grande parte do mesmo conhecimento e de muitas das mesmas técnicas.

A empresa relatou um forte aumento no desempenho cibernético durante 2025. Os resultados de seus modelos em capture-the-flag subiram de 27% em agosto para 76% em novembro, segundo seu plano de resiliência cibernética.

Desafios de capture-the-flag são exercícios de segurança controlados com alvos intencionalmente vulneráveis. Eles testam habilidades como reconhecimento, engenharia reversa, exploração e escalonamento de privilégios.

A OpenAI usa limiares mais altos de capacidade para antecipar modelos que possam desenvolver exploits remotos de zero-day ou auxiliar intrusões complexas. Essa trajetória explica por que a empresa não tratará toda solicitação cibernética como programação comum.

O Google DeepMind adotou uma abordagem semelhante baseada em riscos no nível de desenvolvimento de modelos. Seu framework de segurança inclui cibersegurança entre os domínios que exigem avaliações de capacidade e mitigações progressivas.

Essas políticas respondem a uma preocupação real. Um modelo capaz pode condensar conhecimento especializado, automatizar trabalhos repetitivos e coordenar ferramentas. A mesma eficiência disponível para um defensor pode reduzir o esforço necessário para abusos.

No entanto, a filtragem agressiva de prompts é uma resposta imprecisa para um problema de identidade e autorização. O conteúdo técnico, por si só, fornece evidências fracas sobre o propósito do usuário.

Formulações simples também podem ser enganosas. Um prompt benigno pode conter termos como shellcode, exploit, persistência ou extração de credenciais porque esses conceitos aparecem em avaliações legítimas.

Uma solicitação maliciosa pode usar linguagem sanitizada. Um invasor pode descrever roubo de credenciais como recuperação de conta ou disfarçar exploração como teste de compatibilidade.

Classificadores precisam avaliar código, intenção, alvo, histórico da conta e atividade ao redor. Mesmo assim, eles fazem julgamentos probabilísticos em vez de verificar autorização legal.

Falsos positivos se tornam especialmente prováveis durante pesquisas exploratórias. Pesquisadores nem sempre sabem no que um caminho de código suspeito vai resultar. Eles podem precisar testar várias hipóteses ofensivas antes de identificar a vulnerabilidade real.

Essa incerteza entra em conflito com sistemas que esperam uma finalidade defensiva claramente definida desde o início. O processo de pesquisa muitas vezes só produz essa explicação depois que um trabalho técnico de aparência perigosa já começou.

O Acesso Verificado Ajuda, mas Não Elimina o Atrito

Programas de verificação melhoram o acesso para defensores conhecidos, mas não podem garantir fluxos de trabalho de pesquisa irrestritos ou previsíveis.

O CVP da Anthropic é um programa baseado em inscrição para trabalhos cibernéticos legítimos de alto risco. A empresa afirma que busca emitir uma decisão de análise em até dois dias úteis.

A aprovação está vinculada a uma organização específica. Pesquisadores ainda podem receber bloqueios se usarem outro workspace ou encontrarem uma atividade que continua proibida.

A disponibilidade também varia conforme a plataforma. A Anthropic afirma que o CVP não está disponível atualmente pelo Amazon Bedrock nem pelo Google Vertex AI. Aplicações de terceiros que usam Claude também podem não participar.

Essas distinções criam complexidade operacional. Uma equipe de segurança pode receber tratamento diferente dependendo de seu provedor de nuvem, configuração de workspace ou integração de software.

O programa também exige retenção de dados. A Anthropic aconselha organizações que usam retenção zero de dados a criar um workspace separado em que a retenção esteja habilitada.

Essa condição levanta uma segunda questão além das barreiras. Pesquisas ofensivas frequentemente envolvem código-fonte confidencial, vulnerabilidades ainda não corrigidas, firmware proprietário e informações que poderiam viabilizar comprometimento.

Enviar esses materiais para um modelo hospedado pode criar uma exposição inaceitável, mesmo quando existem proteções contratuais. Por isso, alguns pesquisadores evitam serviços de fronteira antes que um fornecedor corrija a falha.

Paolo Stagno, diretor de tecnologia da Crowdfense, disse ao TechCrunch que sua equipe usa modelos de ponta para engenharia reversa. Ela evita usá-los para encontrar vulnerabilidades ou criar exploits.

Stagno citou preocupações com o vazamento de informações sensíveis sobre vulnerabilidades ou com a absorção de dados em treinamentos futuros. Para trabalho com exploits, sua equipe usa modelos abertos operados localmente, que não exigem o envio do material a um provedor.

O sistema de acesso cibernético confiável da OpenAI utiliza vários níveis de capacidade. O acesso padrão oferece suporte a tarefas defensivas comuns, enquanto o acesso verificado reduz algumas restrições para trabalhos autorizados.

O acesso mais especializado abrange testes ofensivos, incluindo desenvolvimento de exploits, testes de invasão, engenharia reversa e red teaming. A aprovação para um nível de acesso não concede automaticamente acesso a todos os modelos especializados em cibersegurança.

A OpenAI também afirma que o programa não remove todas as salvaguardas ou recusas. O acesso continua limitado a usuários aprovados, fluxos de trabalho internos e sistemas que a organização possui ou tem permissão para testar.

Essas condições são defensáveis. Um provedor não pode interpretar com segurança a verificação como uma permissão geral para atacar qualquer alvo.

No entanto, elas também revelam por que a verificação não resolve completamente o problema da pesquisa. A autorização é granular. Ela pode se aplicar a um sistema, período, método de teste ou contrato com cliente específico.

Uma aprovação geral no nível da conta não consegue captar todas as mudanças de escopo. A revisão contínua de documentos introduziria mais atrasos e exporia informações adicionais dos clientes.

A OpenAI afirmou anteriormente que seu programa confiável havia alcançado milhares de defensores verificados e centenas de equipes que protegem softwares críticos. Essa escala demonstra demanda, mas não mede falsos positivos ou fluxos de trabalho abandonados.

Os indicadores de desempenho ausentes são práticos. Pesquisadores precisam saber com que frequência solicitações aprovadas são bloqueadas, quanto tempo levam os recursos e se as decisões permanecem estáveis entre atualizações de modelos.

Eles também precisam de explicações úteis. Uma mensagem de segurança genérica não revela se o gatilho foi o alvo, o comportamento do código, a saída solicitada ou a atividade acumulada da conta.

Sem essas informações, os usuários experimentam diferentes formulações de prompt. Esse comportamento pode parecer uma tentativa de contornar restrições, mesmo quando o pesquisador busca apenas um resultado legítimo.

Uma aplicação melhor das regras se concentraria em todo o ambiente operacional. Os provedores podem combinar verificação de identidade com execução isolada, listas de permissões de alvos, limites de taxa, logs de auditoria e acesso de rede controlado.

Esse modelo se assemelha a um cyber range, um ambiente isolado para exercícios de segurança. Ele oferece evidências mais fortes de autorização do que apenas a classificação de prompts.

Ele também transfere mais responsabilidade para a infraestrutura. Os provedores precisam confirmar que um alvo supostamente isolado não pode se tornar uma ponte para um sistema externo.

Essa abordagem não atenderá a todos os pesquisadores. Especialistas independentes e pequenas consultorias podem não ter a documentação organizacional esperada por programas voltados a empresas.

A pesquisa de segurança há muito se beneficia de pessoas de fora que investigam produtos sem uma relação formal com o fornecedor. Restringir o acesso avançado a grandes instituições de fácil verificação poderia estreitar essa comunidade.

O resultado seria um sistema de dois níveis. Grandes empresas recebem modelos especializados e suporte, enquanto pesquisadores independentes dependem de ferramentas de consumo, modelos abertos locais ou métodos manuais.

As Salvaguardas Estão Levando Trabalhos Sensíveis para Modelos Abertos

Quando modelos de ponta hospedados se tornam imprevisíveis ou inadequados para trabalhos confidenciais, os pesquisadores têm um motivo para executar modelos abertos localmente.

Vários pesquisadores disseram ao TechCrunch que recorrem a modelos baixáveis quando serviços americanos de ponta recusam tarefas ofensivas. Thompson apontou especificamente para modelos abertos chineses, como o GLM.

A implantação local altera a estrutura de controle. Pesquisadores podem escolher a versão do modelo, preservar prompts, desativar a conectividade externa e manter códigos vulneráveis em seu próprio hardware.

Eles também podem reproduzir um experimento depois que um fornecedor atualiza seu serviço hospedado. Um checkpoint fixo de modelo se comporta de forma mais consistente do que um serviço cujas salvaguardas podem mudar sem aviso.

Isso não significa que todo modelo aberto iguale a qualidade de raciocínio de um modelo hospedado líder. Pesquisadores precisam comparar capacidade, tratamento de contexto, necessidades de hardware e integração de ferramentas.

Modelos abertos também transferem mais responsabilidade de segurança para o operador. Um agente mal isolado pode executar comandos inseguros, expor segredos ou alcançar sistemas de produção.

Ainda assim, o controle local resolve duas queixas de uma só vez. Ele elimina recusas no nível do provedor e reduz a necessidade de enviar dados inéditos sobre vulnerabilidades a um serviço externo.

Essa combinação importa mais do que a liderança em benchmarks. Um modelo ligeiramente mais fraco pode ser mais útil se permanecer disponível durante todo um fluxo de trabalho sensível e reproduzível.

A mudança também cria uma tensão estratégica para empresas americanas de IA. Salvaguardas rígidas podem reduzir o uso indevido em suas próprias plataformas, ao mesmo tempo que redirecionam especialistas legítimos para sistemas fora de sua governança.

Esses pesquisadores então fornecem feedback, integrações e conhecimento de fluxo de trabalho a outro ecossistema de modelos. Seu uso pode melhorar ferramentas em torno de modelos com menos restrições.

Isso não prova que salvaguardas tornam a internet menos segura. Atacantes podem usar modelos abertos independentemente do que os defensores verificados escolham.

No entanto, a migração de defensores pode enfraquecer o argumento de que restrições em serviços hospedados preservam uma vantagem para usuários responsáveis. A vantagem só importa se esses usuários conseguirem concluir trabalhos relevantes.

A OpenAI apresenta sua estratégia como uma forma de oferecer ferramentas melhores aos defensores enquanto limita o ganho de capacidade maliciosa. A Anthropic oferece de modo semelhante salvaguardas ajustadas para profissionais verificados.

Ambos os objetivos dependem de acesso calibrado. Um controle que bloqueia quase todo comportamento aparentemente perigoso pode reduzir abusos, mas também pode eliminar a capacidade prometida aos defensores.

A pressão pela migração vai além das recusas explícitas. Modelos hospedados podem se tornar pouco atraentes quando exigências de retenção, exclusões de plataforma ou recursos pouco claros complicam contratos confidenciais.

Uma empresa de consultoria pode atender vários clientes com limites de autorização separados. Ela não pode misturar casualmente o código-fonte e as descobertas deles dentro de um único espaço de trabalho retido.

Um pesquisador independente pode investigar um produto amplamente implantado antes de contatar seu fabricante. Essa pessoa nem sempre pode fornecer um contrato de cliente que comprove autorização.

Programas de recompensa por bugs criam outra área cinzenta. Eles convidam a testes sob regras publicadas, mas um provedor de modelos pode não conseguir verificar se cada ação solicitada permanece dentro do escopo.

Essas situações expõem os limites da análise no nível da empresa. A confiança se vincula a uma pessoa ou organização, enquanto a autorização se vincula a uma operação específica.

Modelos operados localmente evitam essa lacuna de verificação. Eles também removem o provedor que poderia detectar abusos em grande escala, suspender acessos ou investigar padrões suspeitos.

Portanto, o trade-off se desloca em vez de desaparecer. Serviços hospedados oferecem supervisão, mas podem criar atrito e preocupações de confidencialidade. Modelos locais oferecem controle, mas reduzem a aplicação centralizada.

Laboratórios americanos de IA de ponta não podem reverter a disponibilidade de modelos abertos por meio de recusas mais rígidas. Sua opção mais realista é tornar o acesso hospedado responsável melhor do que a alternativa local.

Isso significa políticas previsíveis, recursos mais rápidos, controles de privacidade significativos e ambientes projetados para exploração controlada. A capacidade bruta do modelo, por si só, não manterá pesquisadores de segurança em uma plataforma.

As Críticas dos Pesquisadores Têm Limites Importantes

Pesquisadores ofensivos identificam falhas reais nos fluxos de trabalho, mas seus interesses não determinam quão amplamente capacidades perigosas de IA devem ser disponibilizadas.

Algumas empresas de segurança ofensiva descobrem, adquirem ou vendem vulnerabilidades para clientes governamentais. Seu trabalho nem sempre leva à divulgação e correção imediatas.

Mark Dowd, um pesquisador proeminente citado pelo TechCrunch, vendeu zero-days a governos ocidentais. Ele reconheceu que esse histórico pode moldar sua visão sobre restrições corporativas.

Governos valorizam vulnerabilidades não divulgadas porque agências de inteligência podem usá-las enquanto os alvos permanecem expostos. Esse mercado complica qualquer associação simples entre pesquisa ofensiva e defesa pública.

Um provedor de modelos precisa considerar mais do que se o cliente parece respeitável. Também precisa considerar se a assistência poderia ampliar vigilância, invasões ou o acúmulo de exploits.

A autorização legal não é idêntica ao benefício público. Uma operação aprovada pelo governo pode continuar controversa ou criar risco sistêmico se uma vulnerabilidade afetar softwares amplamente usados.

Pesquisadores também divergem sobre o quanto a IA deve se tornar central. O fluxo de trabalho de Cali sugere que uma assistência útil pode parar antes da descoberta automatizada de bugs ou da transformação em arma.

Essa abordagem preserva o julgamento humano nas etapas mais arriscadas. Ela também reduz a chance de um modelo transformar uma ideia incompleta em um método de ataque reutilizável.

Enquanto isso, o argumento de risco dos provedores não é hipotético. A OpenAI afirma que o desempenho cibernético dos modelos cresceu rapidamente, e os três laboratórios tratam capacidades cibernéticas avançadas como um domínio sério de segurança.

À medida que os modelos ganham agência de longa duração, uma única resposta se torna menos importante do que uma sequência de ações. Um agente pode inspecionar código, gerar testes, executar comandos, avaliar falhas e revisar seu plano.

Essa capacidade muda o que está em jogo. Uma recusa que antes bloqueava uma breve solicitação de malware pode precisar governar milhares de ações coordenadas.

Ela também torna os testes isolados essenciais. Um agente operando com ferramentas pode cruzar limites que um assistente apenas textual não consegue alcançar.

Pesquisadores merecem acesso previsível, mas os provedores precisam de evidências de que o ambiente ao redor conterá falhas. A verificação, por si só, não pode fornecer essas evidências.

Também não há medição pública e padronizada da qualidade das salvaguardas para trabalhos cibernéticos legítimos. Anedotas revelam modos de falha, mas não estabelecem taxas gerais de falsos positivos.

As entrevistas do TechCrunch abrangem organizações e fluxos de trabalho variados. Elas fornecem sinais de alerta críveis, não uma pesquisa representativa do setor de segurança.

Os provedores também publicam dados limitados sobre as experiências de usuários aprovados. As contagens de adesão revelam alcance, mas dizem pouco sobre a conclusão de tarefas ou a utilidade dos modelos.

Essa lacuna de evidências incentiva ambos os lados a exagerar seu argumento. Pesquisadores podem interpretar uma recusa como prova de que a política de segurança é arbitrária. Provedores podem tratar a disponibilidade do programa como prova de que o acesso legítimo funciona.

Uma avaliação melhor testaria fluxos de trabalho autorizados realistas em vários modelos. Ela deveria medir sucesso nas tarefas, recusas inadequadas, conformidade insegura, consistência, tempo de recurso e exigências de tratamento de dados.

O benchmark deveria incluir casos ambíguos. Prompts defensivos fáceis e solicitações flagrantes de ransomware não testam o limite em disputa.

Os cenários poderiam incluir validação de exploits dentro de um cyber range, engenharia reversa de malware, análise de um alvo de programa de recompensa por bugs e desenvolvimento de uma prova de conceito segura.

Avaliadores independentes também precisariam de acesso aos níveis de modelo de maior risco. Caso contrário, mediriam as restrições públicas sem examinar se a verificação realmente resolve o problema.

Os resultados não deveriam divulgar detalhes operacionais que possibilitem abusos. Relatórios agregados ainda podem mostrar se os controles distinguem trabalhos legítimos com mais precisão ao longo do tempo.

Até que essas evidências existam, conclusões fortes continuam prematuras. As salvaguardas claramente causam atrito para alguns pesquisadores, mas removê-las criaria um risco diferente e potencialmente maior.

O objetivo prático não é o acesso irrestrito. É um acesso responsável que continue útil em condições realistas de testes ofensivos.

O que Anthropic, Google e OpenAI precisam provar a seguir

A próxima fase deve ser avaliada pela confiabilidade dos fluxos de trabalho, execução controlada e pela permanência de pesquisadores responsáveis em plataformas com governança.

O primeiro sinal é o desempenho mensurável dentro de programas de verificação. Anthropic e OpenAI devem informar prazos de aprovação, resultados de recursos e taxas de falsos positivos para solicitações legítimas de uso dual.

Esses números precisam de contexto, incluindo modelo, nível de acesso e categoria de tarefa. Uma única porcentagem para todo o programa poderia ocultar problemas graves na validação de exploits.

Anthropic já afirma que pretende decidir solicitações do CVP em até dois dias úteis. A questão mais importante é o que acontece após a aprovação.

Se pesquisadores verificados ainda encontram bloqueios frequentes e sem explicação, a triagem apenas deslocou a fronteira sem resolver o problema do fluxo de trabalho. A queda nas taxas de falsos positivos reforçaria o argumento a favor de salvaguardas calibradas.

O segundo sinal é a expansão de ambientes de pesquisa controlados. Laboratórios de ponta podem oferecer espaços de trabalho isolados, com ferramentas auditadas, rede restrita e autorização clara dos alvos.

Esses ambientes permitiriam que modelos realizassem tarefas de aparência perigosa sem conceder acesso aberto a infraestrutura externa. Também tornariam a análise de incidentes mais concreta do que especulações no nível do prompt.

O sucesso exigirá suporte em plataformas de nuvem e ferramentas de terceiros. As atuais lacunas de disponibilidade do CVP da Anthropic mostram como o acesso pode falhar quando o modelo chega aos usuários por intermediários.

Os controles de privacidade importarão tanto quanto os controles de execução. Equipes de segurança precisam de opções confiáveis para lidar com código proprietário e vulnerabilidades não divulgadas sem criar exposição adicional.

Se as empresas combinarem cyber ranges com opções robustas de retenção, mais pesquisadores poderão justificar o uso de modelos hospedados. Se a retenção continuar obrigatória, o trabalho sensível seguirá migrando para ambientes locais.

O terceiro sinal é o comportamento dos pesquisadores. Os provedores devem observar se equipes ofensivas respeitadas usam modelos de ponta especializados para validação de exploits, e não apenas para resumir código.

A migração contínua para GLM e outros modelos disponíveis para download enfraqueceria as alegações de que o acesso verificado oferece uma vantagem prática aos defensores. Uma adoção estável sugeriria que as salvaguardas estão se tornando utilizáveis.

O Google faz parte dessa comparação, embora os relatos recentes de pesquisadores tenham se concentrado principalmente em Anthropic e OpenAI. Suas políticas e seu framework de fronteira refletem o mesmo dilema subjacente.

A combinação das palavras-chave anthropic google também retrata uma realidade mais ampla do mercado. As equipes de segurança comparam governança, implantação, privacidade e acesso entre provedores, e não apenas pontuações brutas de benchmarks.

Nenhuma empresa pode resolver a classificação de uso dual com uma mensagem de recusa melhor. As melhorias decisivas combinarão identidade, ambiente, autorização, monitoramento e um caminho transparente para corrigir erros.

Desenvolvedores e compradores corporativos devem fazer perguntas diretas antes de adotar um modelo de IA para trabalho de segurança. Quais tarefas acionam salvaguardas reforçadas? Usuários aprovados podem recorrer durante uma operação ativa?

Também devem examinar retenção, processamento regional, disponibilidade da plataforma, auditabilidade e estabilidade da versão do modelo. Esses detalhes determinam se um produto pode dar suporte a um programa de segurança real.

Pesquisadores ofensivos devem documentar falsos positivos sem publicar material que possibilite danos. Evidências comparáveis tornarão mais difícil que os provedores descartem falhas como uso indevido isolado.

Enquanto isso, as empresas de IA devem tratar recusas indevidas a solicitações legítimas como defeitos de segurança. Um sistema que bloqueia defensores de forma indiscriminada não alcança o equilíbrio pretendido.

O próximo teste é simples. Anthropic, Google e OpenAI conseguem preservar uma supervisão significativa enquanto oferecem a pesquisadores autorizados acesso confiável às capacidades que os atacantes já buscam?

Se os programas de verificação se tornarem consistentes e confidenciais, modelos de ponta com governança poderão reter especialistas responsáveis. Caso contrário, esses especialistas continuarão migrando para alternativas locais com menos restrições e menos supervisão dos provedores.