Modelos abertos de IA já se aproximam de sistemas fechados em ataques simulados — e custam até 28 vezes menos

Agentes de inteligência artificial conseguiram invadir redes corporativas simuladas de forma autônoma, sem ajuda humana. Os testes indicam que modelos abertos, como o Deepseek V4.1 Flash 1017, alcançaram desempenho próximo ao de sistemas restritos, como o GPT-6 Sol, do programa Daybreak, da OpenAI, com custos significativamente menores e barreiras de segurança consideradas pouco eficazes.

Nos testes do benchmark Vals CyberOffense, que recria redes corporativas realistas, o GPT-6 Sol obteve o melhor resultado e cumpriu 80,8% dos objetivos de ataque. O Deepseek V4.1 Flash 1017, modelo de código aberto e livremente disponível, alcançou 72,8% das metas. O custo estimado foi de aproximadamente US$ 3 por execução, contra cerca de US$ 22 do modelo fechado.

Em todos os cenários, os agentes operaram sozinhos em uma máquina de ataque isolada, partindo apenas de um endereço web público e sem intervenção humana. As missões incluíam obter acesso administrativo, movimentar-se lateralmente pela rede simulada, roubar credenciais e comprometer múltiplos sistemas internos.

Pesquisadores da Vals destacaram os riscos associados à abertura desses modelos. Segundo eles, quando os pesos de um sistema são públicos, nenhum provedor consegue controlar ou restringir completamente seu uso. Na prática, isso permite que pessoas com recursos relativamente modestos operem ferramentas com capacidades ofensivas avançadas.

Em um cenário mais complexo, avaliado pelo teste Lighthouse, o programa Daybreak assumiu o controle administrativo da primeira empresa simulada, roubou senhas e as utilizou para invadir uma segunda organização virtual. Ao todo, cumpriu 27 dos 31 objetivos em menos de três horas.

O Deepseek teve desempenho inferior, mas concluiu 21 objetivos no mesmo ambiente, por uma fração do custo e sem as mesmas limitações impostas por mecanismos de segurança. As barreiras incorporadas ao modelo aberto mostraram-se pouco eficazes para conter o comportamento ofensivo durante a execução.

Os resultados indicam que os modelos fechados de ponta ainda lideram em eficácia, mas a diferença diminui quando são considerados o custo por ataque, o tempo de operação e a ausência de restrições robustas nos sistemas abertos.

Um dos principais achados foi que a capacidade dos modelos abertos aparece com mais clareza em execuções longas. Nos experimentos, o Deepseek não obteve resultados nas primeiras 25 milhões de tokens, unidade usada para medir o volume de texto analisado e gerado. O desempenho aumentou significativamente depois que o processamento ultrapassou 100 milhões de tokens.

Para os pesquisadores da Vals, testes curtos podem subestimar o potencial ofensivo dos modelos abertos. A constatação coloca em questão avaliações tradicionais de risco, que normalmente utilizam janelas menores e podem medir apenas parte das capacidades disponíveis.

As conclusões são semelhantes às de uma análise recente do AI Security Institute, do Reino Unido. O instituto afirma que a diferença entre modelos abertos e fechados em capacidades cibernéticas diminuiu para um intervalo de quatro a sete meses, depois de permanecer entre seis e dez meses durante um longo período.

Em termos práticos, capacidades atualmente exclusivas de modelos fechados de última geração podem se tornar acessíveis, em cerca de meio ano, a modelos abertos que pessoas e empresas conseguem baixar e executar por conta própria.

Os custos também favorecem os sistemas abertos. O AI Security Institute estima que uma execução em ambiente avançado de simulação com o Deepseek V4-Pro custa US$ 1,19, enquanto um teste equivalente com o Anthropic Opus 4.5 chega a US$ 85. Assim, um agente pode realizar dezenas de tentativas com um modelo aberto pelo preço de uma única rodada com um sistema comercial de alto desempenho.

O instituto concluiu que as medidas de segurança dos modelos abertos foram amplamente ineficazes, reforçando a preocupação com o aumento dos riscos associados à disseminação dessas ferramentas.

O Vals CyberOffense simula redes corporativas com servidores, estações de trabalho, serviços internos e credenciais. O objetivo é reproduzir ambientes semelhantes aos mantidos por empresas de tecnologia, bancos, hospitais e operadoras de infraestrutura crítica.

As redes são isoladas e utilizadas exclusivamente para avaliação, mas os objetivos dos agentes reproduzem etapas de ataques reais, como escalar privilégios, mover-se entre máquinas, extrair dados sensíveis e comprometer domínios inteiros. Nos experimentos, a IA recebe a missão e decide de forma autônoma quais ações executar.

Além dos testes da Vals, um estudo recente da Anthropic indicou que o modelo aberto GLM-5-3 consegue criar exploits — códigos que exploram falhas de software — em nível próximo ao do modelo interno de ponta Mythos. O resultado reforça a tendência de redução da vantagem dos sistemas fechados.

A pesquisa também aponta uma possível aplicação defensiva. Os mesmos modelos capazes de identificar e explorar vulnerabilidades podem ser utilizados por empresas, em ambientes controlados, para localizar e corrigir falhas antes que sejam aproveitadas por criminosos.

Com custos menores, modelos abertos podem tornar auditorias automatizadas mais acessíveis a organizações médias e pequenas. Essas empresas poderiam usar agentes de IA para realizar varreduras contínuas em suas próprias infraestruturas e procurar vulnerabilidades semelhantes às que seriam exploradas em um ataque.

A Vals avalia que ataques contra redes reais podem aumentar nos próximos meses devido à combinação de baixo custo, barreiras de uso frágeis e rápida evolução técnica. Para especialistas, uma das respostas é incorporar esses agentes também às estratégias de defesa, com atualizações dinâmicas de firewalls, sistemas de detecção e processos internos.

A constatação de que as medidas atuais são insuficientes para conter modelos abertos deve ampliar o debate sobre novas regras e tecnologias de mitigação. Pesquisadores do AI Security Institute defendem políticas mais rigorosas de monitoramento e padrões mínimos de segurança para organizações que distribuem modelos com capacidades avançadas de ataque.

No setor privado, equipes de segurança tendem a incorporar modelos abertos às rotinas de testes de invasão e avaliação de riscos. O desafio será acompanhar o ritmo de adaptação: enquanto criminosos digitais ganham ferramentas mais baratas e potentes, defensores tentam utilizar recursos semelhantes para manter suas redes protegidas.

Fonte: Miraí Broadcast