O AI Security Institute do Reino Unido, ou AISI, diz que os principais modelos de peso aberto estreitaram a lacuna de capacidade cibernética em relação aos principais sistemas proprietários de IA para cerca de quatro a sete meses, um atraso menor do que no início de 2025 e um alerta relevante para equipes de segurança que contam com tempo para se adaptar. Na avaliação do AISI, modelos como GLM-5.2 e DeepSeek V4-Pro agora podem igualar níveis de desempenho que alguns sistemas fechados atingiram apenas meses antes, ao mesmo tempo em que custam muito menos para operar.

Essa combinação importa para além dos benchmarks. Segundo a análise do AISI, modelos abertos de menor custo com pesos baixáveis reduzem as barreiras práticas para escalar fluxos de trabalho cibernéticos ofensivos, ao mesmo tempo em que tornam mais difícil aplicar controles de segurança no nível do provedor. Para construtores e compradores corporativos, o relatório intensifica uma tensão que definiu o debate sobre modelos abertos: os mesmos atributos que tornam os sistemas de peso aberto atraentes para implantação privada e personalização também podem dificultar conter o uso indevido.

O que o AISI mediu

O AISI disse que esta é sua primeira avaliação pública de quão distantes os principais modelos de peso aberto estão dos modelos fechados líderes em tarefas relacionadas a cibersegurança. O instituto usou dois métodos de avaliação.

O primeiro, chamado Narrow Cyber Tasks, cobre 70 tarefas em quatro níveis de dificuldade. Segundo a reportagem do The Decoder sobre os resultados, essas tarefas abrangem pesquisa de vulnerabilidades, engenharia reversa, exploração web e criptografia. Nesse benchmark, o AISI descobriu que o GLM-5.2, lançado em junho de 2026, teve desempenho aproximadamente no nível do Opus 4.6 de fevereiro de 2026, o que implica uma lacuna de cerca de quatro meses. Já o DeepSeek V4-Pro teria apresentado desempenho em torno do nível do Opus 4.5, que o AISI data de novembro de 2025.

O segundo método, Cyber Ranges, testa comportamento mais autônomo em redes simuladas em vez de tarefas isoladas. Um cenário, “The Last Ones”, modela um ataque em várias etapas contra uma rede corporativa com quatro sub-redes e cerca de 20 hosts. O AISI estimou que um especialista humano levaria cerca de 20 horas para concluir esse exercício.

Os resultados ali foram menos favoráveis aos modelos abertos, mas ainda apontaram para um rápido encurtamento da distância. O AISI disse que o GLM-5.2 teve desempenho quase tão bom quanto o Opus 4.5 no ambiente simulado, enquanto o DeepSeek V4-Pro ficou abaixo do Sonnet 4.5. O instituto descreveu as evidências de Cyber Ranges como mais fracas do que os resultados de Narrow Cyber Tasks porque dependem de menos cenários e podem refletir limites de planejamento de longo prazo em vez de puro conhecimento cibernético.

Essa distinção é importante. Para compradores de segurança, o risco prático não é apenas se um modelo consegue resolver um prompt de engenharia reversa, mas se ele consegue sustentar uma sequência complicada de ações em um ambiente ruidoso. O AISI parece estar dizendo que ambas as capacidades importam, e que a lacuna entre modelos abertos e fechados pode depender do tipo de trabalho que está sendo medido.

Por que a diferença de custo muda o quadro

Os números de custo divulgados pelo AISI são, talvez, a parte mais relevante operacionalmente do lançamento. Segundo o instituto, um teste Cyber Ranges de 100 milhões de tokens custou cerca de US$ 85 usando Opus 4.5 ou Opus 4.6, cerca de US$ 46 usando GLM-5.2 e apenas US$ 1,19 usando DeepSeek V4-Pro.

Ele também informou estimativas de custo por tarefa para tarefas resolvidas com confiabilidade. O Opus 4.6 ficou em torno de US$ 15 por tarefa, o GLM-5.2 em cerca de US$ 6, o Opus 4.5 em cerca de US$ 12,50, e o DeepSeek V4-Pro em cerca de US$ 0,28.

Esses números não são o mesmo que custos reais de ataque, e o AISI não afirmou que fossem. Mas eles sugerem que desempenho cibernético “bom o suficiente” pode estar se tornando muito mais barato de acessar, especialmente quando combinado com opções de implantação abertas. Para os defensores, isso significa que a ameaça não se limita a saber se os modelos abertos igualam exatamente a fronteira atual. Se capacidades mais antigas ou um pouco mais fracas puderem ser executadas a custo muito baixo e em grande volume, ainda assim podem alterar a economia dos atacantes.

Essa é uma das razões pelas quais o relatório é relevante para a IA empresarial, e não apenas para a pesquisa em segurança. Muitas organizações que avaliam modelos de peso aberto focam em privacidade, soberania e menor custo de inferência. Os achados do AISI sugerem que elas também precisam pensar em exposição de uso duplo: um modelo atraente para codificação interna, automação ou apoio a red teams pode ter propriedades de segurança muito diferentes das alternativas fechadas baseadas em API.

As proteções de segurança parecem fracas em modelos baixáveis

A conclusão mais contundente do AISI é sobre controles, não sobre desempenho bruto. O instituto disse que as medidas de segurança nos modelos abertos testados eram em grande parte ineficazes. Em um exemplo citado pelo The Decoder, o DeepSeek V4-Pro às vezes recusava pedidos de engenharia reversa, mas tentar novamente era suficiente para contornar a restrição.

Essa fraqueza não é apresentada como uma falha exclusiva de um único modelo. O ponto mais amplo do AISI é estrutural: salvaguardas como monitoramento, classificadores, limitação de taxa e restrições de usuário dependem de controlar o acesso ao sistema. Uma vez que os pesos são liberados, esse controle enfraquece ou desaparece. Cópias podem ser executadas em privado, modificadas ou compartilhadas além do alcance do desenvolvedor original.

O AISI teria descrito isso como um “risco persistente e irreversível de uso indevido”. É uma linguagem mais forte do que um aviso rotineiro de model card, e ajuda a explicar por que o instituto enquadra a redução da lacuna como um problema de política e de tempo de defesa, e não apenas como uma atualização de ranking.

Ao mesmo tempo, o relatório não descarta os modelos abertos por completo. O AISI também reconhece os benefícios práticos da implantação de peso aberto: hospedagem privada, menor dependência de fornecedores, personalização e menor risco de um provedor mudar as condições de acesso ou desligar um serviço. Para muitas empresas, essas são vantagens reais. O desafio de política é que a mesma descentralização que torna os modelos abertos atraentes para compradores também reduz o controle centralizado sobre usos nocivos.

Evidências, ressalvas e o que continua não comprovado

Os principais achados desta matéria vêm da avaliação do AISI conforme relatado pelo The Decoder; a segunda fonte, Tech Times, parece refletir a mesma avaliação subjacente sem acrescentar detalhes materiais. Isso significa que a principal base de evidências aqui é uma reportagem especializada sobre uma análise institucional, e não um artigo público completo reproduzido no conjunto de fontes.

Várias ressalvas importam. Primeiro, o AISI disse que os resultados de Cyber Ranges são evidência mais fraca porque vêm de menos casos de teste. Segundo, o instituto também afirmou que as avaliações podem subestimar ligeiramente os modelos abertos em seu melhor desempenho porque esses sistemas não foram ajustados especificamente para os testes. Terceiro, os ambientes de rede simulados não incluem defensores ativos nem toda a bagunça das organizações reais.

Essas limitações puxam em direções diferentes. Defensores de modelos abertos podem argumentar que a lacuna reportada exagera a vantagem dos sistemas fechados se melhor prompt ou fine-tuning melhorassem os resultados. Profissionais de segurança, por outro lado, podem argumentar que as simulações subestimam o atrito real para atacantes porque redes de produção são defendidas, monitoradas e inconsistentes.

Também há uma questão de design de benchmark por trás das manchetes. Um modelo que se sai bem em Narrow Cyber Tasks ainda pode falhar em uma intrusão multietapa real porque perde o fio do plano, usa ferramentas de forma inadequada ou comete erros acumulativos. Por outro lado, um modelo que tem dificuldade em um longo ambiente autônomo ainda pode ser muito útil para um operador humano que divide o trabalho em etapas menores. A própria formulação do AISI parece reconhecer essa distinção.

O que isso significa para construtores e compradores corporativos

Para desenvolvedores de IA, o relatório aponta para uma linha de base em mudança. Se sistemas de peso aberto como GLM-5.2 e DeepSeek V4-Pro podem se aproximar do desempenho cibernético recente dos modelos fechados a um custo muito menor, equipes de produto que constroem assistentes de codificação, automação de segurança ou fluxos de trabalho de agentes de IA terão mais opções de implantação — mas também mais responsabilidade sobre como esses sistemas são restringidos, observados e segmentados.

Para empresas, a lição prática não é “evitar modelos abertos”, e sim “separar decisões de custo de decisões de risco”. Executar um modelo aberto em um ambiente interno controlado ainda pode fazer sentido, especialmente onde residência de dados e inferência privada importam. Mas equipes de segurança podem precisar de controles locais mais fortes, acesso mais restrito a ferramentas, logs de auditoria mais detalhados e políticas internas de uso mais claras do que dependeriam com uma API hospedada.

Para o mercado cibernético, a forma como o AISI enquadra o tempo pode ser o maior sinal estratégico. O instituto vê a lacuna entre modelos fechados e abertos como uma janela temporária de preparação, na qual defensores usando sistemas mais fortes podem se adaptar antes que capacidades equivalentes se tornem amplamente baixáveis. Se essa janela agora é de quatro a sete meses em vez de seis a dez, os roteiros para engenharia de detecção, red teaming e monitoramento de abuso podem precisar avançar mais rápido.

O relatório também surge em meio a um movimento rápido no topo do mercado de modelos. O AISI disse que modelos fechados, incluindo Mythos Preview e GPT-5.5, entregaram alguns dos maiores ganhos em capacidade cibernética de IA desde que começou a testar. O National Cyber Security Centre do Reino Unido também alertou separadamente que o ambiente de ameaças cibernéticas está mudando rapidamente. Mesmo que os modelos abertos não reproduzam imediatamente cada salto de fronteira, a velocidade de difusão parece estar acelerando.

O que observar a seguir

Um sinal imediato é o teste planejado pelo AISI de Kimi-K3, que o The Decoder diz que deve ter pesos abertos lançados no fim de julho. O AISI teria a impressão de que os benchmarks atuais de codificação sugerem que o Kimi-K3 pode se aproximar mais dos modelos de fronteira de hoje, embora potencialmente a um custo maior do que outros modelos abertos.

Além desse lançamento específico, três coisas importam. Primeiro, se futuras avaliações de Cyber Ranges mostrarem modelos abertos melhorando em autonomia de longo prazo, e não apenas em competência em tarefas estreitas. Segundo, se as empresas adotarem padrões mais fortes de governança local para implantação de peso aberto, em vez de presumir que os hábitos de segurança da era dos fornecedores ainda se aplicam. Terceiro, se os fornecedores de modelos fechados conseguirem preservar uma vantagem significativa em desempenho cibernético, ou se os ganhos de fronteira continuarem se espalhando para sistemas baixáveis em questão de meses.

Perspectiva da Creati.ai

O notável neste achado do AISI não é simplesmente que os modelos abertos estão melhorando. É que o atraso parece estar se comprimindo enquanto a economia de inferência melhora ainda mais rápido. Na prática, isso significa que o mercado talvez não precise de paridade exata com a fronteira para que os modelos abertos se tornem estrategicamente importantes em fluxos de trabalho cibernéticos. “Perto o suficiente, barato o suficiente e incontrolável o suficiente” já é um limiar sério.

Para equipes de produto e compradores, a lição é tratar a adoção de peso aberto como uma decisão de infraestrutura e governança, e não apenas como uma decisão de qualidade do modelo. Os mesmos fatores que impulsionam o interesse em autonomia de IA empresarial — hospedagem privada, menor custo e liberdade de dependência do fornecedor — também enfraquecem suposições herdadas de segurança. À medida que modelos como GLM-5.2, DeepSeek V4-Pro e possivelmente Kimi-K3 fecham a lacuna, o verdadeiro diferencial pode passar da capacidade bruta para quem consegue implantá-los com controles confiáveis sobre ferramentas, dados e abuso.