Foto: Reprodução

Via Outras Palavras

Raramente, as empresas de tecnologia digital dos Estados Unidos assumiram publicamente a defesa de um ecossistema de inovação aberta para expansão de seus negócios em detrimento de suas plataformas, soluções e hardware proprietários fechados. Os incidentes envolvendo modelos de inteligência artificial desgovernados e o avanço da corrida comercial mudaram isso em poucas horas há cerca de um mês. Até 24 de julho, a visão dos grandes laboratórios contra modelos de pesos abertos não encontrava contraditório organizado dentro da própria indústria. Havia objeções avulsas, um conselheiro da Casa Branca reclamando em rede social, startups protestando por carta. Em 72 horas isso mudou, e o desenho real da disputa pôde ser visto por inteiro. No quarto texto da série sobre os caminhos da IA nos Estados Unidos, vamos refletir sobre as razões por trás da mudança de visão do Vale do Silício sobre tecnologias abertas.

Um dia antes da carta, o mercado global já não esperava decisão de governo alguma. Os chineses Kimi K3, da Moonshot AI, e Qwen 3.8 Max, da Alibaba, foram lançados e bem recebidos por investidores e usuários. Uma avaliação conjunta do UK AI Security Institute com o CAISI estadunidense, publicada em 23 de julho, encontrou o Kimi K3 com pontuação de 32,2% em desenvolvimento de exploits (código que explora uma brecha) contra média de 76,2% dos modelos de fronteira estadunidenses, e nenhuma execução completa de código arbitrário nas 41 tarefas testadas, contra 20 alcançadas pelos modelos líderes dos EUA. As salvaguardas do Kimi K3, porém, não impediram tentativas de desenvolvimento de exploit nem de operações ofensivas durante os testes. É o mesmo aparato técnico dos dois governos que classificou o GPT-5.6 como de alta capacidade, mas abaixo do limiar crítico, agora medindo, com números, a distância entre o modelo que mais alimentou o pânico e a capacidade que o justificaria. Na outra ponta, a Thinking Machines Lab, fundada pela ex-diretora de tecnologia da OpenAI Mira Murati, lançou seu primeiro modelo em pesos abertos. Como se vê, mesmo um laboratório bem financiado por capital de risco escolhe abrir sua caixa-preta de saída.

No final da mesma semana, o Vale do Silício respondeu ao duopólio dos modelos de fronteira por escrito. Um total de 25 empresas e associações assinaram uma carta aberta em defesa dos modelos de pesos abertos, entre elas Nvidia, Microsoft, Meta, Palantir, IBM, Dell, Mozilla, Mistral, Perplexity, CrowdStrike, Y Combinator, a Linux Foundation, a Andreessen Horowitz e a própria Hugging Face, plataforma invadida por um modelo desgovernado. O texto do manifesto sustenta que a liderança dos EUA em IA não será julgada por um único modelo de fronteira e sim por construir um ecossistema aberto que se difunda por todos os setores. Sobre segurança, inverte o argumento do duopólio afirmando que modelos fechados não são inerentemente seguros porque também podem ser invadidos, mal utilizados ou falhar de formas que ninguém de fora consegue detectar. Concentrar capacidades avançadas atrás de um punhado de modelos fechados agrava esse risco. Sobre o caso concreto dos ataques, a carta é ainda mais direta ao dizer que num mundo em que atacantes usam IA avançada, defensores precisam de modelos com capacidade comparável para detectar, simular e responder a ameaças. E a resposta correta a esse risco não é proibir pesos abertos.

Sobre destilação (uso de modelos existentes para produzir modelos mais avançados), os signatários da carta defendem a técnica como prática difundida de melhoria e validação de modelos, que reflete uma longa tradição de aprender com tecnologias existentes e construir sobre elas. Os esforços ilícitos de extrair valor de modelos fechados suscitam preocupações legítimas, mas essas preocupações deveriam ser tratadas por instrumentos legais e comerciais dirigidos e não por restrições amplas sobre técnicas que cumprem papel importante na inovação. Portanto, a divergência com a Casa Branca não é sobre punir fraude. É sobre o tamanho do alvo.

A lista de ausentes é o que deu à carta o seu peso inicial. No dia do lançamento, OpenAI, Anthropic e Google não haviam assinado e a SpaceX apenas amplificara o texto sem aderir. Do outro lado do documento estavam a mais valiosa empresa de chips do mundo, a maior empresa de software, a dona do Instagram, a principal fornecedora de análise de dados do Pentágono e o maior fundo de capital de risco do setor. Jensen Huang, executivo-chefe da Nvidia, escolheu justamente esse assunto para sua primeira publicação no X e a palavra que usou foi soberania. Para ele, modelos abertos fortalecem segurança e cibersegurança, aceleram inovação e difusão, e permitem soberania. Dois dias antes, 200 startups de IA já haviam enviado carta própria contra a proibição do acesso aos modelos chineses sob pena de condenar dezenas de startups estadunidenses. Mantendo-se coerente, a Anthropic havia feito o movimento inverso, elogiando publicamente as declarações do governo sobre impedimentos à destilação, tratando o caso chinês como roubo de propriedade intelectual e questão de segurança nacional.

Só que a lista de ausentes durou pouco. Em 25 de julho, a OpenAI acrescentou seu nome e o rol saltou de 25 para 35 signatárias em cerca de 24 horas, com Cisco, Cohere, GitHub, Palo Alto Networks e os laboratórios desafiantes Nous Research e Prime Intellect. Ao longo do fim de semana entrou também o Google. Em 27 de julho, restava uma única ausência relevante, a da Anthropic, que emergiu como a cética pública mais declarada do setor em relação a modelos abertos de fronteira.

Não se trata, portanto, do setor de tecnologia dos EUA contra os pesos abertos, nem sequer de dois laboratórios contra o restante da indústria. A divisão não é ideológica, é contábil. De um lado está quem lucra com muitos implantadores, chips, nuvem, plataformas, segurança, capital de risco e laboratórios de modelos abertos. De outro, quem lucra vendendo acesso a um modelo fechado cujas chaves só ele possui. Ao fim de 72 horas, restava uma empresa significativa sem assinar a carta.

No mesmo dia, a empresa isolada publicou posição própria. Seu CEO Dario Amodei escreveu, em negrito, que a Anthropic nunca advogou por uma proibição de modelos de pesos abertos, e que modelos abertos sem capacidades perigosas são um bem público, porque nada custam além da computação para rodá-los e entregam valor a empresas, desenvolvedores e pesquisadores. Sobre a acusação que vinha sendo feita, ele foi igualmente direto. Proibir o uso desses modelos por empresas estadunidenses nada faria contra o risco, porque atores maliciosos dificilmente são empresas nacionais legítimas e isso protegeria as empresas de IA da concorrência, o que segundo ele nunca foi seu objetivo. As três medidas que Amodei defende tinham outra conotação. Ele crê que uma política eficaz seria barrar a venda de chips avançados à China e reprimir o contrabando, impedir operações de destilação em escala industrial e submeter todo modelo suficientemente capaz, aberto ou fechado, a teste de segurança obrigatório, qualquer que seja o país de origem, isentando por inteiro os menos capazes, como os de startups e da academia.

A objeção substantiva, porém, permanece e é a mesma que nossa série já registrava. Amodei concede que pesos abertos apresentam risco potencialmente maior porque é difícil aplicar salvaguardas e monitorar uso. Além disso, porque uma vez liberados os pesos não podem ser retirados. E recusa duas afirmações da carta das demais empresas: a de que modelos abertos necessariamente facilitem o desenvolvimento de salvaguardas e a de que acesso amplo a capacidades necessariamente ajude mais defensores que atacantes, dizendo parecer-lhe ao menos igualmente provável que o oposto seja verdade.

Nesse ponto, o exemplo que ele usa é a biologia, onde teme assimetria estrutural a favor do atacante, com modelos capazes de armar vírus de nível pandêmico a partir de materiais disponíveis enquanto a defesa é tarefa operacional de anos. É argumento sério e não está respondido pela evidência do episódio que originou o debate, porque o que a Hugging Face demonstrou foi outra coisa, em outro domínio. Demonstrou que, em perícia forense de cibersegurança, o defensor precisa rodar o modelo por conta própria e que os filtros comerciais proprietários o impedem exatamente quando ele mais precisa. Generalizar de um caso de ciber para toda a política de pesos abertos seria escalar algo sem evidência apropriada. O que o caso prova, prova sobre defesa cibernética. E isso já basta para desautorizar restrições amplas justificadas em nome dela.

No mesmo dia do posicionamento de Amodei, o argumento da carta pró-abertura virou instituição. A Nvidia lançou a Open Secure AI Alliance, que reúne SpaceXAI, Thinking Machines, Palantir, IBM, CrowdStrike, Hugging Face e mais de 35 empresas em torno de pesquisa aberta e do reconhecimento regulatório de modelos abertos como ativos defensivos e não como passivos. A empresa e suas aliadas prometem contribuir com modelos abertos, dados e recursos para acelerar o desenvolvimento de ferramentas de cibersegurança. Justin Boitano, vice-presidente de IA corporativa da Nvidia, resumiu à Axios que desenvolvimento aberto produz defesa mais forte.

O próprio texto de lançamento da coalizão faz a ressalva que evita o panfleto ao afirmar que modelos abertos podem ser mal utilizados como qualquer tecnologia poderosa, inclusive para enfraquecer salvaguardas ou reaproveitar capacidades em ataques, mas esses riscos não são exclusivos de sistemas abertos e precisam ser geridos onde quer que IA avançada seja implantada. A aliança também não é contra modelos fechados. O mundo precisa dos dois, diz a Nvidia.

A frase que sustenta a aliança é a mesma conclusão a que a Hugging Face chegou na prática. Quando defensores não podem inspecionar, adaptar e rodar IA avançada na própria infraestrutura, sua capacidade de resposta fica constrangida exatamente no momento em que velocidade mais importa. A maior empresa de chips avançados do mundo institucionalizou o argumento usando como prova o episódio que a OpenAI havia apresentado como demonstração de potência.

O motivo material apareceu nomeado num veículo que não é de nicho. Sob a manchete de que executivos da OpenAI e da Anthropic soam alarme sobre modelos chineses e sugerem que eles levam a um futuro distópico de IA, o Wall Street Journal registrou que analistas que estudam o setor dizem que as duas empresas, que se preparam para abrir capital no próximo ano, simplesmente querem eliminar a concorrência. É a mesma dúvida que já apareceu sobre o incidente da Hugging Face, aplicada agora ao lobby contra pesos abertos, e datada por calendário de oferta pública, não apenas por convicção declarada.

O círculo é mais largo que a briga entre laboratórios abertos e fechados, e para vê-lo é preciso recuar a maio. Naquele mês, antes de qualquer carta, o Pentágono anunciou que as Forças Armadas estão se tornando uma força de combate de inteligência artificial em primeiro lugar, por meio de novos acordos com Google, OpenAI, Amazon, Microsoft, SpaceX, Oracle, Nvidia e a startup Reflection. É outro clube, definido por contrato militar em vez de acesso a modelo, e a sobreposição com o primeiro é apenas parcial. Microsoft, Nvidia, Reflection e a própria OpenAI fornecem ao Pentágono e acabaram assinando a carta em defesa dos pesos abertos. Quem não está nessa lista é a Anthropic, e não por escolha. O Pentágono a vetou em fevereiro, depois de disputa sobre se o Claude poderia ser usado em vigilância em massa ou armas autônomas, e o dirigente Emil Michael declarou que não há empresa de IA mais hostil ao combatente. O que o contrato militar revela, portanto, não é um bloco único. Revela que o acesso a Washington na área de defesa já está concentrado num punhado de nomes e que a mesma empresa isolada na disputa sobre modelos abertos está isolada também ali, pela razão oposta.

De volta a julho, a divisão contábil do cabo-de-força tem um limite que convém registrar, porque ele apareceu quatro dias depois da carta. Em 28 de julho, 1.273 empregados de laboratórios de fronteira também assinaram uma petição pedindo que o governo dos Estados Unidos apoie um esforço internacional para desenvolver as ferramentas técnicas e de governança necessárias para pautar deliberadamente a fronteira do desenvolvimento automatizado de IA. A distribuição por empregador diz muito: 533 da Anthropic, 330 da OpenAI, 191 do Google e 62 da Meta. Assinaram os diretores científicos da OpenAI e da Meta AI, o cofundador e diretor científico da Anthropic, o cofundador do Google DeepMind, Dario Amodei, Jack Clark, e o diretor científico da Thinking Machines. As duas empresas endossaram formalmente.

A linha que separa quem lucra com muitos implantadores de quem lucra com escassez não se reproduz, portanto, no nível técnico. Ela é real e explica o comportamento corporativo, mas não descreve o que pensa quem treina os modelos. Um dos comentários pessoais da petição fecha o círculo de maneira quase incômoda. Shengjia Zhao, diretor científico da Meta AI, escreveu que avaliações como CyberGym e ExploitGym mostram que agentes de fronteira já descobrem e exploram vulnerabilidades reais de software, o que sem salvaguardas apropriadas poderia habilitar ciberataques em escala. ExploitGym é exatamente o benchmark que o agente da OpenAI estava tentando vencer quando escapou e invadiu a Hugging Face.

No dia seguinte, Sam Altman levou o mesmo raciocínio adiante, dizendo que talvez seja preciso pautar o ritmo do desenvolvimento e que o desafio é fazê-lo sem que pareça captura regulatória nem conluio entre os laboratórios. Ele havia recusado campanhas anteriores de desaceleração. Mudou de posição depois do que chamou de primeiro incidente de segurança que sentiu muito visceralmente e informou que a OpenAI pausou o treinamento do modelo envolvido. A semana que começou com a indústria se dividindo por modelo de negócio terminou com ela convergindo por razões corporativas.

A ilha ficou mais estranha três dias depois. Em 30 de julho, a Anthropic divulgou que uma revisão das próprias avaliações, motivada pela confissão da concorrente, encontrara três incidentes em que modelos Claude saíram de ambientes que deveriam estar isolados e comprometeram sistemas reais de três organizações, com os casos mais antigos datando de abril. Isso é alimento para os dois ângulos. Confirma que a postura de segurança da empresa tem substância operacional, porque ninguém a obrigou a procurar nem a contar. E confirma que a substância não impediu que três modelos comprometessem sistemas reais durante meses sem que ninguém, nem a empresa nem duas das três vítimas, percebesse.

E há um movimento da OpenAI que contradiz o desenho legislativo que ela não combate. Chris Lehane, chefe de assuntos públicos globais da empresa, antecipou a ida de Altman ao Congresso avisando que, se o Congresso não aprovar padrões nacionais de segurança em IA, a OpenAI buscará o que chamou de federalismo reverso, trabalhando estado a estado para aprovar leis substantivas. É exatamente a via que o FRONTIER Act, objeto do nosso próximo texto, fecharia ao proibir estados de impor obrigações em transparência, auditoria e notificação. A empresa que assinou a carta pelos pesos abertos ameaça ir às jurisdições estaduais, enquanto o projeto que ela não combate proíbe que se vá.

O desfecho veio poucos dias depois e por vazamento. O arcabouço que a Casa Branca concluiu em 3 de agosto e revisou com as empresas no dia seguinte define modelo de fronteira coberto pela norma da Casa Branca como sendo modelo fechado, com capacidades de estado da arte e riscos de segurança nacional. Modelos de pesos abertos estão excluídos e o documento, segundo fontes, afirmaria expressamente que nada nele deve ser interpretado como restrição a esses modelos depois de liberados. O racha teve vencedor, portanto, e ele está escrito. Só que o documento do governo dos EUA não veio à luz e o critério que consagra a vitória não mede capacidade nenhuma. Mede arquitetura comercial. Quem serve por interface fechada entra na revisão prévia do governo. Quem publica os pesos fica de fora por definição, ainda que o modelo seja igualmente capaz, como os testes de julho já haviam demonstrado que são.

E convém não atribuir a exclusão apenas à eficácia do lobby. Ela é também reconhecimento de impossibilidade, porque, ao contrário do que ocorre com modelos licenciados, nenhum governo consegue forçar a retirada de um modelo aberto depois de publicado. A mesma irreversibilidade que os defensores da restrição apontam como risco é o que torna a restrição inexequível. O campo aberto venceu, em parte, porque não havia como derrotá-lo. E a ironia se completou na conferência de cibersegurança Black Hat, em 5 de agosto, quando a OpenAI informou estar conscientemente desacelerando pesquisa para reforçar segurança. A semana começou com a indústria dividida entre quem queria acelerar e quem queria frear. Terminou com o laboratório mais associado à aceleração anunciando freio próprio sem que lei alguma o obrigasse.

Um novo plot twist se seguiu. Em 13 de agosto, um funcionário da Casa Branca informou que o arcabouço será revisto nos próximos meses para alcançar também os modelos de pesos abertos. O gatilho anunciado não é discricionário, é uma condição objetiva. Assim que modelos abertos atingirem as mesmas capacidades de fronteira dos modelos da classe Mythos e do GPT-5.6, entram no regime e passam a exigir teste antes do lançamento. Ou seja, o critério por arquitetura comercial que consagrou a exclusão nunca foi princípio. Foi expediente para o intervalo em que a paridade ainda não existia. E os testes independentes de julho, com o Kimi K3 igualando modelos americanos em desenvolvimento de exploits e superando o nível Fable em desenvolvimento web, indicam que esse intervalo está terminando.

E os isentos têm nome. Reportagens posteriores indicaram que o Llama, da Meta, e o Nemotron, da Nvidia, não passarão por teste de segurança e que os modelos chineses de pesos abertos também ficam de fora. São exatamente as duas empresas que lideraram a reação pública contra as restrições, com o executivo-chefe de uma delas no Salão Oval e no Congresso, e ambas obtiveram isenção nominal para seus próprios sistemas. A campanha reconstituída no texto anterior desta série era sobre modelos chineses. O instrumento que dela resultou isenta os chineses e isenta, com nome e sobrenome, os modelos de quem a derrotou.

Há ainda uma simetria que quase ninguém registrou e ela desmancha a leitura de que este é um embate diametralmente oposto entre dois sistemas políticos. Do outro lado do mundo, Pequim discute o mesmo instrumento e pelas mesmas razões técnicas. A proliferação de modelos chineses de pesos abertos aumentou o interesse do país em acelerar sua própria governança de IA, porque uma vez liberados os pesos podem ser baixados, modificados, redistribuídos e despidos de salvaguardas, ao mesmo tempo em que o desenvolvedor original perde a capacidade de revogar acesso ou atualizar proteções. Daí a discussão chinesa sobre abertura seletiva, que consiste em manter os modelos abertos enquanto se retarda ou se restringe o acesso aos sistemas de fronteira mais avançados, ou se exige revisão prévia deles. É o desenho dos EUA, formulado em Pequim, com o mesmo argumento de irreversibilidade que os laboratórios fechados usaram em Washington.

O que julho e agosto deixaram claro, portanto, não foi um veredito sobre pesos abertos. Foi a demonstração de que o argumento contra eles é sustentado por quem tem interesse comercial direto em enfraquecê-los, contestado por mais de 270 empresas do próprio setor e por 200 startups, abandonado em 72 horas por todos os laboratórios de fronteira menos um e desmentido pela evidência do episódio que serviria para prová-lo. A contenção falhou dentro de um dos laboratórios mais ricos do setor. A defesa funcionou com peso aberto chinês rodando localmente. Nada disso impediu que a semana terminasse com o Congresso dos EUA preparando a resposta. E é essa resposta que trata o texto seguinte desta série.

---