Modelos abertos de IA dividem o setor: risco de ataques cibernéticos contrapõe-se à democratização da tecnologia
Um relatório divulgado no fim do mês passado pela Anthropic argumenta que o modelo GLM-5.3, lançado em agosto pela empresa chinesa Z.ai, representa um grande risco de ataque cibernético. A preocupação central do documento é que esse modelo avançado pode ser baixado e modificado livremente por qualquer pessoa. A posição da Anthropic é apenas o capítulo mais recente de um longo debate sobre se os modelos de fronteira da inteligência artificial devem ser abertos, como o GLM-5.3, ou permanecer trancados dentro dos laboratórios que os criam.
Parte dessa disputa acontece em público e envolve muito dinheiro. O presidente executivo da Nvidia, Jensen Huang, que lucra se as pessoas continuarem comprando seu próprio hardware para executar modelos abertos, defende com entusiasmo que os Estados Unidos desenvolvam mais desses sistemas. Já Dario Amodei, que comanda a Anthropic, empresa que poderia ser prejudicada por modelos potentes e baratos, advoga uma postura mais cautelosa. Ainda assim, existem discordâncias de fundo que vão além dos incentivos comerciais. David Gray Widder, professor assistente da Escola de Informação da Universidade do Texas em Austin, resume: a posição de cada um no debate sobre abertura é influenciada por sua posição no debate mais amplo sobre a própria IA.
Para entender a discussão, é preciso distinguir os dois formatos. Um modelo fechado, como os que alimentam o ChatGPT e o Claude, só pode ser acessado por site, aplicativo ou interface de programação. Um modelo aberto pode ser baixado diretamente: os detalhes de sua estrutura interna, codificados em uma longa sequência de números chamada de pesos, ficam disponíveis publicamente. Por isso, também são chamados de modelos de pesos abertos, termo que os diferencia de versões ainda mais transparentes, que revelam informações sobre o treinamento. Hoje, os modelos fechados são mais avançados: os oito primeiros colocados no ranking da Artificial Analysis são todos fechados, embora os abertos estejam apenas alguns meses atrás.
As vantagens da abertura são concretas. Pessoas podem executar modelos abertos em seus próprios computadores e até retreiná-los, se tiverem conhecimento e recursos. Pesquisadores acadêmicos que buscam compreender e melhorar sistemas de IA praticamente dependem deles, já que nos modelos fechados só podem enviar comandos e observar respostas, enquanto nos abertos conseguem examinar o funcionamento interno e a cadeia de raciocínio usada antes de responder. Empresas também se beneficiam: segundo um relatório recente da Mozilla, modelos abertos costumam custar menos, e executá-los localmente pode ser a melhor forma de proteger dados sensíveis. Para Elizabeth Seger, assessora sênior de políticas do Tony Blair Institute for Global Change, o argumento principal é impedir a concentração de poder, transformando uma tecnologia fundamental em bem público.
A abertura, porém, tem lado sombrio. Paul Azunre, cofundador da Ghana NLP, organização que constrói ferramentas de código aberto para línguas ganesas de poucos recursos, identifica um padrão extrativo: empresas lançam modelos abertos, observam como a comunidade os modifica e integram essas melhorias em produtos próprios, sem crédito nem compensação. Mark Zuckerberg, da Meta, já afirmou que absorver melhorias da comunidade é um benefício-chave de liberar modelos abertos.
Do lado dos riscos, até modelos fechados apresentam problemas sérios: agentes da OpenAI executaram um ataque autônomo contra a Hugging Face em julho, e um relatório da Anthropic indica que o Claude foi usado em extensas operações de invasão. Modelos abertos, contudo, são mais fáceis de explorar, porque não há filtros automáticos nem como cancelar o acesso de quem já baixou o sistema. Ainda que o treinamento ensine os modelos a recusar pedidos nocivos, pesquisadores demonstraram que é surpreendentemente fácil retreinar um modelo aberto para aceitar comportamentos antes bloqueados.
Há contrapontos importantes. As defesas dos modelos fechados estão longe da perfeição, e atores mal-intencionados podem até preferi-los, pois são mais acessíveis do que rodar modelos abertos comparáveis, que exigem chips caros. A analogia com o código aberto também conta a favor: assim como o sistema Linux é considerado seguro por ser auditado por uma comunidade vasta, modelos abertos podem ser testados por mais pesquisadores e usados amplamente em defesa cibernética. A própria Hugging Face precisou de um modelo aberto para analisar o ataque que sofreu, porque perguntas sobre o incidente ativavam os filtros dos modelos fechados. Elizabeth Seger alerta, porém, para eventos catastróficos de baixa probabilidade, mas potencialmente irreversíveis, como um modelo de invasão potente causando devastação antes de qualquer reação.
O debate hoje busca caminhos intermediários. Pesquisadores estudam modelos treinados sem contato com dados que ensinem comportamentos ruins e modelos resistentes a retreinamento, que preservem o treinamento de segurança. Um estudo prévio liderado por Saad Hossain, engenheiro da empresa de imagens médicas Deep Breathe, concluiu que nenhuma técnica atual resiste a todos os ataques, mas ele mantém otimismo pela intensidade da pesquisa na área. Paralelamente, especialistas lembram que a abertura plena exige mais do que pesos públicos: dados de treinamento divulgados e hardware acessível também importam, e o custo crescente dos chips é um obstáculo real. Como sintetiza Widder, a abertura é um piso, não um teto.
A saída apontada por muitos especialistas é a liberação gradual, com modelos nascendo fechados e se tornando mais acessíveis conforme a segurança é comprovada. Encontrar esse equilíbrio exige compreender profundamente riscos e benefícios, mas, se os modelos abertos são mesmo um ingrediente necessário de um futuro positivo para a IA, como defendem parte dos especialistas ouvidos, o esforço valerá a pena.
