Meerah Rajavel alerta que modelos abertos de IA podem ultrapassar as salvaguardas de cibersegurança

Meerah Rajavel fez um alerta contundente: modelos abertos e baratos de IA, e não os atuais sistemas de fronteira controlados, representam a maior ameaça emergente à cibersegurança. A diretora de informações da Palo Alto Networks apresentou esse argumento em uma entrevista de 30 de agosto encontrada por meio do Google News.

A preocupação dela está centrada em uma redução da lacuna de capacidades. Rajavel afirma que recursos avançados podem chegar a modelos disponíveis abertamente entre quatro e seis meses após aparecerem em sistemas de fronteira. Assim, os atacantes precisariam apenas de recursos computacionais e habilidades técnicas, em vez de acesso contínuo a um serviço comercial monitorado.

Essa diferença transforma o debate sobre segurança. Provedores fechados, como Google, OpenAI e Anthropic, podem monitorar atividades, bloquear usuários, revisar salvaguardas e retirar o acesso. Quando pesos de modelos baixáveis se espalham por sistemas privados, esses controles em grande parte desaparecem.

O alerta não prova que os modelos abertos já provoquem mais ciberataques do que os fechados. Trata-se de uma previsão sobre acesso, economia e controle. O conflito central contrapõe os benefícios do desenvolvimento aberto ao valor de segurança de salvaguardas aplicáveis.

A reportagem do Google News se concentra em uma janela de quatro a seis meses

A principal afirmação de Rajavel é que capacidades perigosas de IA se tornam mais difíceis de controlar quando seu custo cai e sua distribuição se amplia.

Na entrevista original de Rajavel, ela diferencia os modelos de fronteira de sistemas mais baratos que os próprios atacantes podem operar. Serviços de fronteira exigem pagamento e normalmente impõem restrições a comportamentos de alto risco.

Essa barreira econômica não impede criminosos bem financiados ou grupos apoiados por Estados. No entanto, ela pode limitar a experimentação por atores menos capazes. Serviços hospedados também dão aos provedores oportunidades para identificar prompts suspeitos, encerrar contas e preservar evidências.

Rajavel argumenta que o equilíbrio muda quando capacidades comparáveis chegam a modelos baixáveis. Um atacante pode executar um modelo de forma privada, modificar seu comportamento, automatizar tentativas repetidas e evitar o sistema de monitoramento de abuso de um provedor.

A estimativa de quatro a seis meses é a afirmação mais consequente da entrevista. Ela descreve uma possível defasagem entre o surgimento de uma capacidade de fronteira e a ampla disponibilidade de uma alternativa mais barata.

A estimativa não deve ser tratada como uma lei técnica universal. Diferentes modelos variam em qualidade de treinamento, acesso a ferramentas, necessidades de hardware e desempenho cibernético. Alguns sistemas abertos continuarão muito atrás dos modelos hospedados mais fortes.

Ainda assim, os atacantes nem sempre precisam da melhor inteligência disponível. Um modelo só precisa melhorar a economia do reconhecimento, phishing, modificação de código, pesquisa de vulnerabilidades ou roubo de credenciais.

As operações cibernéticas também consistem em muitas tarefas menores. Um modelo que não consegue comprometer autonomamente uma rede robustamente protegida ainda pode redigir mensagens, inspecionar código, traduzir iscas ou adaptar scripts.

Isso cria um problema de volume. Melhorias modestas de capacidade tornam-se significativas quando os atacantes podem executar milhares de sessões privadas sem supervisão por solicitação.

A terminologia exige cuidado. Muitos sistemas descritos como IA de código aberto são mais precisamente chamados de modelos de pesos abertos. Seus parâmetros treinados podem ser baixados, mas seus dados de treinamento, processo de desenvolvimento ou materiais-fonte completos podem continuar indisponíveis.

Essa distinção importa para licenciamento e transparência. Ela importa menos para o argumento imediato de segurança de Rajavel, que diz respeito à capacidade de copiar, modificar e operar privadamente um sistema capaz.

Os comentários dela surgem à medida que agentes de IA ganham maior independência. Um sistema agêntico é um software que permite a um modelo planejar tarefas, usar ferramentas e executar ações em várias etapas.

Os chatbots anteriores geravam principalmente texto para revisão humana. Agora, os agentes podem navegar por arquivos, escrever código, chamar serviços externos e interagir com sistemas empresariais.

Essas permissões criam mais oportunidades tanto para automação legítima quanto para abuso. Elas também fazem da filtragem convencional de prompts apenas uma parte do problema de segurança.

Rajavel afirma que as empresas precisam examinar onde um sistema de IA pode escapar de seus limites pretendidos. Isso inclui o modelo, suas ferramentas, dados conectados, permissões de usuários, ambiente de execução e dependências de software.

A manchete do Google News resume a conclusão provocativa, mas o argumento subjacente é mais amplo. A capacidade ofensiva barata é uma ameaça, enquanto a adoção empresarial insegura cria outra.

Um modelo baixado pode ajudar um atacante. Um modelo sem governança dentro de uma empresa também pode vazar informações, executar instruções inseguras ou herdar acesso excessivo.

O alerta de Rajavel, portanto, conecta duas frentes. As organizações precisam se preparar para adversários mais capazes enquanto protegem seu próprio uso acelerado de IA.

IA barata muda a economia dos ciberataques

A mudança mais importante não é que a IA inventa crimes inteiramente novos, mas que reduz o trabalho necessário para ampliar ataques conhecidos.

O cibercrime sempre dependeu da economia. Os atacantes comparam o retorno esperado de uma campanha com o custo de ferramentas, infraestrutura, acesso e mão de obra especializada.

A IA pode reduzir vários desses custos. Ela pode ajudar operadores menos experientes a entender código desconhecido, resumir documentação técnica e personalizar mensagens de engenharia social.

Um modelo privado também favorece a experimentação repetida. Os atacantes podem remover restrições comportamentais, ajustar o sistema e integrá-lo a fluxos de trabalho automatizados.

Rajavel afirma que a Palo Alto Networks atende mais de 70.000 clientes e bloqueia cerca de 30 bilhões de ataques que trafegam por sua rede. Esses números descrevem a visibilidade da empresa, não o panorama total de ameaças globais.

Ela também disse que a empresa encontrou quase 250 milhões de ataques nunca antes vistos durante o ano-calendário anterior. Segundo sua entrevista, isso representou quatro vezes o nível do ano anterior.

Um evento nunca antes visto não é automaticamente um ataque gerado por IA. Detecções novas podem aumentar devido a mudanças no comportamento dos atacantes, sensores aprimorados, maior cobertura de clientes ou métodos de classificação revisados.

Os números de Rajavel, portanto, ilustram a escala defensiva, e não provam causalidade. Eles mostram por que até uma pequena melhora na produtividade dos atacantes pode sobrecarregar equipes de segurança.

A ameaça se torna mais séria quando a IA vai além da geração de texto. Modelos com acesso a ferramentas podem inspecionar sistemas, testar hipóteses, revisar comandos e perseguir objetivos de múltiplas etapas.

As avaliações cibernéticas da Anthropic em 2025 encontraram progresso claro na identificação de vulnerabilidades e em cadeias complexas de ataque. Os modelos avaliados ainda tiveram dificuldades com planos longos e obstáculos inesperados.

Essa combinação importa. As limitações atuais impedem afirmações simples de que a IA autônoma substituiu atacantes especialistas. Ao mesmo tempo, o desempenho em melhoria pode tornar especialistas mais rápidos e atores mais fracos mais capazes.

Provedores comerciais podem responder a usos indevidos observados. Eles podem atualizar classificadores, restringir ferramentas, reduzir o acesso ou investigar contas associadas a atividades suspeitas.

Pesos abertos mudam essa relação. Um provedor pode publicar orientações de segurança aprimoradas, mas não consegue atualizar remotamente cada cópia baixada.

A mesma permanência beneficia usuários legítimos. Pesquisadores podem reproduzir resultados, empresas podem manter informações sensíveis em infraestrutura local e desenvolvedores podem adaptar modelos para tarefas especializadas.

É por isso que o conflito não se resume a empresas responsáveis contra desenvolvedores abertos irresponsáveis. A abertura cria benefícios econômicos, científicos e de segurança reais.

Defensores usam modelos acessíveis para inspecionar malware, pesquisar logs, classificar alertas e estudar ataques. Organizações menores podem criar ferramentas de proteção sem depender de um único fornecedor.

A assimetria econômica difere entre tarefas. Os defensores precisam proteger muitos sistemas continuamente, enquanto um atacante pode precisar de apenas um caminho bem-sucedido.

A IA pode ajudar defensores a processar enormes volumes de sinais. Ela também pode ajudar atacantes a procurar o único erro que sobrevive a essas defesas.

Os próprios números empresariais de Rajavel mostram o lado defensivo. Ela afirmou que a Palo Alto Networks aumentou a automação das operações de tecnologia da informação de 12% há vários anos para 83%.

Ela também relatou que os custos operacionais de TI caíram quase 72% em dois anos. Os processos de viagens e despesas alcançaram 90% de automação por meio de IA e redesenho de processos.

Esses são resultados relatados pela empresa, não conclusões causais auditadas de forma independente. Ainda assim, demonstram os ganhos de produtividade que incentivam empresas a implantar IA rapidamente.

A tensão decorre diretamente disso. A mesma economia que torna a automação defensiva atraente também reduz os custos da automação ofensiva.

Um modelo aberto privado não precisa superar o modelo comercial mais forte em todos os benchmarks. Ele precisa ser suficientemente capaz, acessível e adaptável para um fluxo de trabalho específico de ataque.

Portanto, as equipes de segurança devem evitar usar rankings de modelos como seu único sinal de ameaça. A liberdade de implantação, a integração de ferramentas e o custo operacional podem importar tanto quanto o desempenho bruto em benchmarks.

Modelos abertos trocam controle central por adaptabilidade

A IA de pesos abertos distribui inovação e acesso defensivo, mas também elimina os pontos centrais de aplicação que os serviços hospedados mantêm.

Um provedor de modelo fechado controla uma interface de programação de aplicações, que é a conexão gerenciada pela qual clientes enviam solicitações. Esse controle permite autenticação, limites de taxa, registros e detecção de abuso.

O provedor também pode alterar o serviço após o lançamento. Ele pode corrigir uma falha, reforçar um classificador, restringir um recurso ou remover um modelo.

Essas medidas são imperfeitas. Atacantes podem criar contas, ocultar intenções, distribuir o trabalho, contornar salvaguardas ou roubar credenciais de acesso.

Sistemas fechados também concentram risco. Uma falha de segurança de um provedor pode afetar muitos clientes, enquanto práticas opacas de treinamento e moderação limitam o escrutínio externo.

Sistemas de pesos abertos invertem várias propriedades. Os usuários ganham acesso e personalização, enquanto o desenvolvedor original perde o controle contínuo sobre cópias posteriores.

A posição sobre pesos abertos da Anthropic em 2026 retrata essa troca. A empresa apoia modelos abertos sem capacidades perigosas e se opõe a proibições generalizadas.

A preocupação declarada pela empresa começa quando um modelo alcança capacidade perigosa em cibersegurança ou biologia. Depois que esses pesos são lançados, cópias podem operar privadamente e as salvaguardas podem ser removidas.

Essa posição sustenta parte do argumento de Rajavel, mas não estabelece que os modelos abertos sejam categoricamente a maior ameaça. A Anthropic tem interesses comerciais no acesso controlado a modelos.

Desenvolvedores e defensores de modelos abertos apresentam um argumento diferente. Pesquisadores externos podem inspecionar comportamentos, reproduzir testes, desenvolver mitigadores e adaptar sistemas para uso defensivo.

A implantação local também favorece o controle de dados. Um hospital, escritório de advocacia ou equipe de segurança pode preferir processar material sensível em uma infraestrutura que administra.

Sistemas abertos reduzem a dependência de políticas e disponibilidade de provedores. Eles podem ampliar o acesso para acadêmicos, startups, órgãos públicos e regiões pouco atendidas por serviços comerciais.

O valor de segurança dessa acessibilidade é real. A expertise e as ferramentas defensivas são distribuídas de forma desigual, assim como a capacidade ofensiva.

Um modelo disponível para download pode ajudar uma pequena equipe de segurança a analisar scripts suspeitos sem enviar dados proprietários a um provedor externo. Ele também pode apoiar pesquisas reproduzíveis.

O problema é que benefícios e danos compartilham o mesmo canal de distribuição. Um lançamento público não consegue distinguir de forma confiável um defensor de um atacante.

Essa é a principal troca por trás da reportagem do Google News. O controle central permite intervenção, enquanto o acesso distribuído permite adaptação.

Nenhum rótulo isolado resolve isso. “Aberto” não significa seguro, e “fechado” não significa protegido.

A pergunta mais útil é se uma capacidade específica se torna substancialmente mais perigosa quando pode operar sem monitoramento. A cibersegurança oferece vários casos plausíveis.

Um deles é a descoberta escalável de vulnerabilidades. Um modelo que inspeciona grandes bases de código pode ajudar defensores a encontrar falhas, mas atacantes podem direcionar a mesma capacidade a softwares expostos.

Outro é o desenvolvimento de exploits. Modelos podem explicar falhas, gerar variações e ajudar na depuração, mesmo quando não conseguem concluir de forma independente um exploit sofisticado.

Um terceiro é a automação de campanhas. A IA pode coordenar reconhecimento, geração de conteúdo, alterações de código e decisões operacionais em muitos alvos.

Medidas de segurança incorporadas ao comportamento do modelo podem reduzir o uso indevido casual. Pesos disponíveis para download permitem que operadores determinados modifiquem ou contornem essas medidas.

Isso não torna todos os lançamentos abertos igualmente arriscados. A capacidade do modelo, os requisitos de hardware, a dificuldade de ajuste fino e a integração de ferramentas alteram a ameaça prática.

Um modelo pequeno que melhora a classificação de documentos apresenta um risco diferente de um sistema que encontra e explora de forma confiável vulnerabilidades desconhecidas.

Uma política baseada apenas na abertura ignoraria essas diferenças. Avaliações baseadas em capacidade oferecem uma abordagem mais direcionada.

O National Institute of Standards and Technology define um modelo de uso dual em parte por seu potencial de viabilizar poderosas operações cibernéticas ofensivas. A definição se aplica independentemente das salvaguardas tentadas.

Esse enquadramento desloca a atenção da licença de um modelo para o que ele realmente consegue fazer. Também reconhece que salvaguardas em sistemas fechados podem falhar ou ser contornadas.

A abordagem do NIST não elimina a questão da distribuição. Dois modelos igualmente capazes podem apresentar riscos operacionais diferentes quando um permanece monitorado e o outro se dissemina por cópias privadas.

A análise de políticas mais robusta deve considerar ambas as dimensões. A capacidade determina o dano potencial, enquanto a distribuição determina com que facilidade provedores ou autoridades podem intervir.

O Risco Também Está Dentro da Cadeia de Suprimentos de IA

Concentrar-se apenas em atacantes que usam modelos abertos ignora o perigo imediato de empresas importarem modelos, bibliotecas e agentes não verificados para ambientes confiáveis.

Rajavel tem argumentado repetidamente que a segurança de IA não pode ser adicionada após a implantação. As empresas precisam proteger conjuntamente o modelo, os dados, a aplicação, a infraestrutura e o ambiente de execução.

Segurança em tempo de execução significa observar e controlar o que um sistema de IA faz enquanto opera. Isso inclui seus prompts, resultados, chamadas de ferramentas, arquivos, identidades e conexões de rede.

A necessidade cresce com a IA agêntica. Um agente que apenas redige textos tem alcance limitado. Um agente capaz de executar código ou consultar registros de clientes apresenta um risco operacional muito maior.

As empresas frequentemente combinam vários modelos em vez de usar um único sistema grande. Um modelo geral pode planejar uma tarefa, enquanto modelos menores analisam documentos, classificam imagens ou extraem informações estruturadas.

Esse design modular melhora a velocidade e o custo. Ele também cria dependências que inventários convencionais de software podem não registrar.

Um modelo baixado de um hub público não é apenas conteúdo. Seu formato, metadados, código de carregamento, tokenizer, ambiente de execução e bibliotecas de suporte podem introduzir vulnerabilidades.

Pesquisadores da Palo Alto Networks divulgaram vulnerabilidades em bibliotecas envolvendo projetos abertos de IA e aprendizado de máquina associados a pesquisadores da NVIDIA, Salesforce e Apple. Versões vulneráveis podiam executar código malicioso por meio de metadados de modelo manipulados.

Os projetos afetados foram NeMo, Uni2TS e FlexTok. Os pesquisadores afirmaram que carregadores vulneráveis podiam executar comandos arbitrários ao processar arquivos de modelo modificados.

Essas descobertas não mostram que modelos abertos sejam inerentemente maliciosos. Elas mostram que artefatos de IA participam de uma cadeia de suprimentos de software com riscos conhecidos de dependências e execução de código.

A orientação de cadeia de suprimentos da OWASP identifica hubs de modelos, pacotes, plataformas de dados e softwares de operações de aprendizado de máquina como possíveis superfícies de ataque.

A orientação recomenda verificar a autenticidade de pacotes, monitorar versões e manter dependências. Essas práticas parecem rotineiras, mas o desenvolvimento de IA pode enfraquecer sua aplicação.

Equipes podem baixar modelos durante experimentos e promovê-los para produção sem uma revisão completa. O trabalho orientado por notebooks pode borrar a fronteira entre pesquisa e software implantado.

Nomes de modelos também criam uma falsa confiança. Popularidade, um autor de upload conhecido ou uma alta contagem de downloads não substituem verificações de procedência e integridade.

Uma organização deve saber quem publicou um modelo, qual versão exata utiliza e se o artefato foi alterado. Também deve acompanhar licenças e vulnerabilidades conhecidas.

As equipes de segurança precisam examinar arquivos de modelos antes de carregá-los. Elas devem preferir formatos de serialização mais seguros e isolar qualquer processo que lide com artefatos não confiáveis.

O princípio do menor privilégio continua essencial. Um agente deve receber apenas os dados e as ferramentas necessários para sua tarefa designada, e não acesso amplo por conveniência.

Restrições de rede também são importantes. Um fluxo de trabalho de modelo comprometido não deve poder contatar livremente sistemas externos ou mover-se lateralmente pela infraestrutura interna.

As empresas devem registrar chamadas de ferramentas e acesso a dados sensíveis. Os logs precisam ter contexto suficiente para reconstruir o que o agente tentou fazer e qual identidade autorizou isso.

A aprovação humana deve permanecer nas fronteiras de alto impacto. Transferências financeiras, alterações em produção, escalonamento de privilégios e comunicações externas exigem controles mais rigorosos do que o resumo de documentos.

O ponto cético é importante. A Palo Alto Networks vende produtos de segurança, portanto seus executivos têm um motivo comercial para enfatizar superfícies de ataque em expansão.

Esse incentivo não invalida o argumento técnico de Rajavel. Significa que os leitores devem separar vulnerabilidades verificadas e comportamento mensurado de previsões mais amplas sobre a “maior” ameaça.

Os volumes de detecção de sua empresa não podem estabelecer que modelos abertos causaram uma parcela específica dos ataques. Tampouco a entrevista fornece uma taxa comparativa de incidentes para sistemas abertos e fechados.

A defasagem de capacidade de quatro a seis meses também precisa de testes repetidos. Benchmarks públicos podem não representar o trabalho real de intrusão, em que persistência, furtividade e adaptação ao ambiente importam.

Provedores fechados enfrentam seus próprios riscos sérios. Controles de conta podem falhar, pessoas internas podem abusar do acesso e modelos capazes podem ajudar usuários mal-intencionados antes que sistemas de monitoramento intervenham.

Os pesos de modelos de fronteira também podem ser roubados. A vantagem de distribuição de um sistema fechado desaparece se atacantes obtiverem e operarem privadamente seus parâmetros.

A conclusão prudente é mais restrita do que a manchete. A distribuição aberta pode amplificar o risco cibernético quando modelos capazes se tornam baratos, modificáveis e difíceis de monitorar.

Esse mecanismo é crível. Sua magnitude atual permanece incerta e deve ser medida, não presumida.

Três Sinais Testarão o Alerta de Rajavel

A próxima fase desse debate dependerá de evidências de capacidade, incidentes no mundo real e práticas de segurança aplicáveis, e não de rótulos de modelos.

O primeiro sinal é a avaliação cibernética independente de modelos de pesos abertos recém-lançados. Pesquisadores precisam de testes que meçam trabalho em múltiplas etapas, não apenas perguntas isoladas ou desafios de programação.

Avaliações úteis devem examinar descoberta de vulnerabilidades, desenvolvimento de exploits, escalonamento de privilégios, persistência e adaptação após falhas. Elas devem comparar sistemas sob ferramentas e orçamentos computacionais semelhantes.

Uma lacuna crescente entre modelos abertos e modelos de fronteira enfraqueceria a tese dos quatro a seis meses. Uma lacuna repetidamente estreita a fortaleceria.

O desenho das avaliações continuará controverso. Publicar testes ofensivos detalhados pode, por si só, disseminar técnicas, enquanto testes privados tornam os resultados mais difíceis de auditar.

Os melhores programas fornecerão metodologia suficiente para credibilidade sem divulgar instruções operacionais que simplifiquem abusos. Avaliadores independentes podem reduzir a dependência de alegações de fornecedores.

O segundo sinal são evidências de ataques reais. Fornecedores de segurança, provedores de modelos, governos e empresas de resposta a incidentes devem documentar como a IA altera o comportamento dos atacantes.

A questão crucial não é se um atacante usou um modelo em algum momento. É se a IA possibilitou maior escala, velocidade, acesso ou capacidade técnica.

Investigadores devem distinguir serviços hospedados de modelos operados privadamente quando as evidências permitirem. Sem essa separação, alegações amplas sobre IA de código aberto continuam difíceis de verificar.

Eles também devem distinguir capacidade de causalidade. Uma máquina pode gerar texto de phishing sem determinar o direcionamento da campanha, a infraestrutura ou a monetização.

A telemetria do mundo real pode revelar quais tarefas os atacantes automatizam primeiro. Também pode mostrar onde as limitações dos modelos ainda exigem expertise humana.

A mudança de maior risco seria a exploração autônoma confiável em ambientes desconhecidos. Isso exige planejamento, uso de ferramentas, interpretação de feedback e recuperação de erros.

Uma mudança mais imediata pode envolver orquestração. Operadores humanos podem delegar muitas tarefas delimitadas a modelos enquanto mantêm o controle das decisões estratégicas.

O terceiro sinal é se governos e desenvolvedores convergem para padrões de lançamento baseados em capacidade. Esses padrões avaliariam funções perigosas antes da distribuição.

O NIST já promoveu a gestão do ciclo de vida para modelos fundacionais de uso dual. Sua orientação inclui avaliação de modelos, uso indevido cibernético e risco de cadeia de suprimentos.

Uma estrutura viável se aplicaria a desenvolvedores abertos e fechados em limites de capacidade. Ela não presumiria que um modelo de distribuição seja universalmente seguro.

Lançamentos abertos podem exigir mitigação adicional quando um sistema ultrapassa um limite significativo. As opções incluem acesso em fases, testes independentes, lançamento adiado ou retenção de componentes específicos de alto risco.

Cada opção envolve custos. Restrições podem concentrar poder de mercado, desacelerar pesquisas defensivas e reduzir o acesso de organizações menores.

Proibições generalizadas também enfrentariam dificuldades na prática. Pesos podem atravessar fronteiras, cópias podem persistir indefinidamente e modelos menores continuam melhorando.

Provedores comerciais não devem receber uma isenção automática. Seus sistemas exigem monitoramento rigoroso, relatórios transparentes e respostas rápidas a abusos verificados.

Compradores empresariais enfrentam uma decisão mais imediata. Eles devem tratar cada modelo e agente como uma dependência de software com sua própria identidade, permissões, procedência e comportamento em tempo de execução.

Isso significa manter um inventário completo de IA. As equipes precisam saber quais modelos os funcionários usam, quais dados chegam até eles e quais ações podem realizar.

A revisão de segurança deve seguir o risco, não a novidade. Um resumidor hospedado localmente e um agente autônomo de produção não devem enfrentar processos de aprovação idênticos.

As organizações também devem avaliar o que acontece após uma violação. A contenção muitas vezes importa mais do que a confiança de que a prevenção sempre funcionará.

Um agente bem projetado pode falhar sem expor toda uma rede. Um agente mal projetado pode transformar um único prompt malicioso em um incidente corporativo.

Os trabalhadores do conhecimento também têm um papel. Devem evitar inserir material sensível em serviços não aprovados e verificar instruções geradas por IA que tenham consequências relevantes.

Equipes que lidam com documentos técnicos locais podem criar uma base de conhecimento pesquisável com fontes controladas e limites explícitos de acesso. A mesma disciplina se aplica a qualquer espaço de trabalho de IA.

Leitores que chegam pelo Google News devem, portanto, tratar a alegação de Rajavel como uma tese de segurança verificável, e não como uma classificação definitiva de todas as ameaças de IA.

A tese se fortalece se modelos abertos repetidamente se aproximarem do desempenho cibernético de ponta em poucos meses e aparecerem em ataques documentados. Ela enfraquece se as lacunas práticas de capacidade permanecerem grandes.

Ela também enfraquece se o monitoramento não conseguir restringir de forma significativa o uso indevido em modelos hospedados. O controle centralizado só melhora a segurança quando os provedores o utilizam de forma eficaz.

O alerta de Rajavel diz respeito, em última instância, à perda da capacidade de intervenção. Quando pesos capazes se disseminam, nenhum desenvolvedor consegue recuperar todas as cópias, restaurar todas as salvaguardas ou inspecionar todos os usos.

Essa permanência merece atenção séria. O mesmo vale para os benefícios defensivos, a transparência e a concorrência que o desenvolvimento aberto pode apoiar.

A resposta correta não é nem a complacência nem uma proibição reflexa. São necessárias melhores evidências, decisões de lançamento sensíveis à capacidade, cadeias de suprimento protegidas e agentes corporativos com limites rígidos.

Acompanhe o próximo grande lançamento de pesos abertos e faça três perguntas concretas. Quais tarefas cibernéticas ele consegue concluir, quais controles desaparecem após o download e quais incidentes mostram o uso indevido dessas capacidades?

As respostas determinarão se o alerta destacado pelo Google News se tornará o problema definidor da segurança em IA ou um risco entre várias ameaças concorrentes.