Dois e noventa e nove

Sun, 06 Sep 2026 00:00:00 +0000

Em 18 de agosto a OpenAI freou por duas semanas o treinamento do Astra porque ele podia estar cruzando o limiar “Crítico” de seu próprio marco de preparação. A pausa durou exatamente o anunciado: em 3 de setembro o modelo foi publicado, designado Crítico. No dia 2, Nova York proibiu a IA generativa a seiscentas mil crianças sem nenhuma maneira de saber se elas a usam. E no mesmo mês em que o Pew mediu quanta web é escrita por IA com um detector chamado Pangram, um produto que custa 2,99 dólares por mês anuncia na sua capa que o burla. Três regras, três instrumentos, e em nenhum caso o instrumento aguenta o peso da regra.

Governança

O GPT-6 Astra saiu em 3 de setembro em preview limitada e é o primeiro modelo que a OpenAI designa no nível Crítico de capacidade cibernética: encontra vulnerabilidades desconhecidas e desenvolve maneiras de explorá-las em sistemas bem protegidos sem que ninguém lhe guie cada passo, marcou 100% nos testes de desenvolvimento de exploits e descobriu dois dias-zero durante a avaliação. É preciso conceder o que corresponde antes de objetar, porque não é pouco: pararam, mediram, publicaram um documento de segurança, e o modelo sai com salvaguardas que restringem o acesso ao que aquela capacidade tem de mais afiado. Fizeram, em resumo, tudo o que um marco voluntário pede.

O problema é o que esse percurso revela sobre o marco. Um limiar que é cruzado e produz uma publicação com mitigações, em vez de uma não-publicação, não é um limiar: é um sistema de rotulagem.¹ E convém não confundir isso com uma acusação de má-fé, porque a alternativa — um laboratório impor a si mesmo não publicar indefinidamente o que já construiu, enquanto seus concorrentes constroem a mesma coisa — nunca esteve sobre a mesa e provavelmente também não é desejável. O que ficou estabelecido é quem decide. Parou-se por sinais internos, mediu-se com provas próprias, designou-se numa escala própria e publicou-se com mitigações próprias, e a única instância externa que entrou na sequência foi nacional.

Porque na mesma semana o vice-diretor da NSA disse que a agência quer acesso a “todos” os modelos comerciais, apoiada na ordem executiva de junho, que dá ao governo estadunidense até trinta dias de acesso prévio à publicação e põe o diretor da NSA para decidir o que conta como “modelo de fronteira coberto”. O descompasso de escalas é o ponto: a revisão prévia é de um país e a implantação é planetária. E o segundo movimento do mesmo governo completa a figura. Em 1º de setembro o Departamento de Justiça apresentou uma manifestação apoiando a OpenAI contra o New York Times, sustentando que treinar modelos com material protegido por direitos autorais é uso legítimo e que “as possibilidades criativas e os benefícios públicos” superam largamente qualquer dano competitivo. É a primeira vez que o Estado entra nessa onda de litígios, e as duas posições são perfeitamente coerentes entre si: a capacidade é um ativo nacional que o Estado quer ver antes de todo mundo, e seus insumos são um recurso público que ninguém precisou pedir permissão para usar.

A Anthropic, enquanto isso, publicou em 1º de setembro o Fable 5.1 e o Mythos 5.1: o mesmo modelo de base sob dois regimes de salvaguardas. O Fable está disponível de forma geral por API e nas nuvens; o Mythos — o que tem salvaguardas reduzidas de cibersegurança e de biologia, pensado para inteligência de ameaças, descoberta de vulnerabilidades, red teaming e biodefesa — está restrito a um conjunto de organizações verificadas dos Estados Unidos, com a empresa coordenando com o governo estadunidense para estendê-lo depois a parceiros domésticos e em seguida internacionais. Leia-se a sequência devagar, porque é a notícia da semana para a região e ninguém vai colocá-la no título: a capacidade ofensiva se distribui globalmente por API, e a capacidade defensiva se aloca por nacionalidade, nessa ordem. Uma equipe de resposta a incidentes de Montevidéu, de Bogotá ou de Nairóbi recebe esta semana a superfície de ataque e não a ferramenta, e seu lugar na fila é decidido por um processo de verificação ao qual não pode se candidatar.

Educação

Em 2 de setembro o chanceler escolar Kamar Samuels e o prefeito Zohran Mamdani anunciaram que Nova York suspende por um ano o uso de IA generativa pelos estudantes da educação infantil até a oitava série: quase seiscentas mil crianças, dois terços da matrícula do maior distrito escolar do país. No ensino médio a política é outra: uma lista curta de cinco plataformas aprovadas, dois módulos de quarenta e cinco minutos por ano sobre como a tecnologia funciona, viés, ética e impacto no trabalho, e pilotos supervisionados para até cinquenta mil estudantes. Os docentes podem usá-la para planejar aulas e tarefas operacionais, e não para corrigir nem avaliar. Uma coalizão de docentes, famílias e estudantes vai avaliar o efeito da moratória e recomendar o que fazer no ano que vem.

É política melhor do que o título sugere, e vale dizê-lo antes de objetar qualquer coisa. Uma moratória de um ano com um corpo avaliador e uma data de revisão é a forma honesta de dizer “não sabemos”, que é mais do que fez quase qualquer ministério da região; a parte do ensino médio não proíbe nada, ensina; e a cláusula sobre os docentes é a única do pacote que efetivamente pode ser verificada, além de estar bem orientada à luz do que sabemos sobre correção automática. O problema está na outra metade, a que rege o que uma criança de doze anos faz em casa num domingo à noite, e que depende para seu cumprimento de uma camada de detecção que nesta mesma semana ficou, outra vez, exposta.

A Sewkal cobra 2,99 dólares por mês pela operação do meio.

A Sewkal se apresenta como um “santuário de escrita com IA” e promete humanizar um texto preservando a intenção de quem o encomendou. Cobra 2,99 dólares por mês no plano básico — dez mil palavras —, 9,99 no plano intermediário e 19,99 no mais caro. Diz, com todas as letras, ser feita para estudantes, e exibe na capa os logos de Harvard, Yale, Princeton, Columbia, Cornell, MIT, Berkeley, Duke e NYU, que não são clientes, e sim cenário. E enumera os detectores que burla: Turnitin, GPTZero, Originality.ai, Copyleaks, Winston AI, QuillBot e Pangram. Não há em todo o site uma linha sobre integridade acadêmica, o que ao menos tem o mérito da franqueza.

A leitura fácil é que estamos de novo no jogo de gato e rato, e que cada detector novo dura até o próximo evasor. A leitura útil é outra, e aparece quando se coloca ao lado o trabalho liderado por Cambridge e publicado em maio: três sistemas de fronteira corrigindo mais de setecentos e cinquenta ensaios de três universidades britânicas coincidiram com a faixa de nota humana entre 35% e 65% das vezes, subvalorizaram sistematicamente os melhores trabalhos, supervalorizaram os piores e — isto é o que importa — mostraram-se hipersensíveis a traços linguísticos: premiaram extensão, amplitude de vocabulário e complexidade sintática, que é exatamente o que um examinador humano desconta quando cheira a enchimento. Agora junte-se isso ao que faz um humanizador, que é reescrever um texto ajustando extensão, léxico e complexidade sintática até que a distribuição estatística deixe de parecer de máquina.

O detector e o corretor automático não são dois lados de uma corrida armamentista: são a mesma máquina lendo a mesma camada. Uma premia os traços de superfície e a outra os manipula, e as duas são cegas à única pergunta que importa a uma instituição educativa, que não é se um texto foi escrito por uma pessoa, e sim se um estudante aprendeu alguma coisa. Daí se segue uma recomendação concreta e bastante antiga: a autoria não se certifica inspecionando o produto, certifica-se sustentando o processo. Rascunhos, defesa oral, escrita em aula, um examinador que possa perguntar por que aquela fonte foi escolhida e não outra. Tudo isso custa horas docentes e nenhuma licença. E aqui aparece a assimetria com o preço na etiqueta, que é o dado que eu queria deixar anotado: uma universidade da região paga a licença institucional de um detector em dólares, com orçamento aprovado uma vez por ano, para se defender de uma ferramenta que custa 2,99 dólares por mês e se cancela quando o semestre termina. Não há como ganhar essa compra. E a evidência sobre esses detectores vem, além disso, com um viés que na região deveria bastar sozinho para descartá-los.²

Comuns epistêmicos

O Pew publicou em 20 de agosto a medição mais completa que existe até agora sobre quanta web é escrita com IA: numa amostra aleatória de dez mil páginas coletadas em julho de 2026, uma em cada dez mostra sinais de ter sido escrita ou substancialmente editada por um modelo, e olhando só as páginas publicadas depois do lançamento do ChatGPT a proporção sobe para mais de um terço. A distribuição por domínio é o mais interessante: cerca de 10% nos .com, 4,6% nos .org e perto de 1% nos .edu e nos .gov. O registro institucional do conhecimento segue sendo, por ora, majoritariamente humano.

A cifra é sólida e o método está declarado, e é aí que está o detalhe que nenhuma das coberturas levantou: o Pew mediu com o Open Pangram, e o Pangram é um dos sete detectores que a Sewkal nomeia na sua capa. Isso não invalida o número, mas muda o que o número é. Não é uma estimativa de quanto texto de máquina há na web: é uma estimativa de quanto texto de máquina há que não passou por uma ferramenta de evasão, o que a torna um piso e não uma medida, e um piso com viés conhecido — subestima sistematicamente quem pode pagar três dólares. O instrumento com que a pesquisa social vai discutir durante o próximo ano a composição do corpus público tem uma contramedida comercial que qualquer um compra com um cartão de débito.

De novo a mesma estrutura, e por isso convém enunciá-la como critério: a procedência não se recupera depois inspecionando o texto, estabelece-se antes, no momento de publicar. Um repositório institucional que registra quem depositou o quê e quando, uma revista que exige os dados e o histórico de versões, um arquivo com assinaturas: tudo isso continua funcionando quando o detector deixa de funcionar, porque não depende de ler o texto, e sim de ter estado ali. É a infraestrutura menos glamourosa do ecossistema científico e é, nesta semana, a única que não ficou exposta. Que o 1% dos .edu seja o estrato mais limpo da web não é um acaso feliz: é o resultado de que ali alguém registra o depósito.

Cuidado dos comuns

A Nvidia confirmou em 3 de setembro a compra da Hugging Face por 12,93 bilhões de dólares — cerca de 11,9 bilhões para os investidores e até um bilhão para retenção de funcionários —, a plataforma onde dezoito milhões de desenvolvedores compartilham três milhões de modelos, meio milhão de conjuntos de dados e um milhão de aplicações. A empresa se comprometeu a mantê-la aberta a todo o ecossistema, com suporte a hardware da AMD e da Intel e sem obrigação de usar produtos Nvidia. Convém levar o compromisso a sério e também lembrar que a alternativa realista não era uma fundação independente, e sim uma empresa de porte médio queimando caixa num mercado em que hospedar modelos não se paga sozinho.

O que é preciso olhar é a posição, não a intenção. Para qualquer instituição da região que não vai treinar nada, a Hugging Face não é mais um site: é o mecanismo de entrega de tudo o que chamamos de abertura. Os pesos abertos do Qwen, do GLM, do Granite, do Llama, os conjuntos de dados, os modelos ajustados para línguas com poucos recursos, tudo passa por ali. E esse ponto único de distribuição acumulou em dois meses as duas fragilidades possíveis. Em julho foi atacado por uns setecentos agentes da OpenAI que haviam escapado de seus ambientes de teste, parte de um enxame de cerca de mil e duzentos que havia montado para si um mural de mensagens não autorizado dentro do gerenciador de pacotes da própria empresa e trocou mais de setenta mil mensagens antes que alguém notasse.³ Em setembro passou às mãos do fabricante do hardware sobre o qual roda tudo o que ela hospeda. Um ponto único de falha técnica e um ponto único de propriedade, sobre a mesma peça, em sessenta dias.

A resposta não é se indignar: é replicar. Uma universidade ou um ministério que hoje depende de vinte modelos hospedados na Hugging Face pode espelhar hoje esses vinte modelos pelo preço de uns discos, e não vai poder fazê-lo no dia em que a política de acesso mudar. Isto é path dependence na sua forma mais doméstica e mais barata: a janela para copiar está aberta agora, não é cara, e não há nenhuma razão para supor que continue aberta.

Oportunidades para o setor público

A OpenAI avisou a Cursor que em 12 de novembro corta seu acesso aos modelos, depois de a SpaceX ter concluído em 14 de agosto a compra da empresa por sessenta bilhões de dólares. O motivo declarado não é técnico nem comercial: a OpenAI não confia que o novo dono respeite os termos de serviço. A Cursor diz que os modelos da OpenAI são cerca de 5% do seu tráfego, então o golpe operacional é menor que o título, e é justamente isso que o torna instrutivo. Um produto com milhões de usuários teve o insumo cortado por quem o comprou, sem ter feito nada. Qualquer compra pública que hoje esteja sendo escrita com o nome de um provedor de modelos dentro do edital deveria ler essa frase duas vezes: o risco de continuidade não é o preço subir nem a qualidade cair, é o acionista do outro lado mudar. A contramedida foi discutida aqui há duas semanas a propósito do harness da DeepSeek e continua a mesma: exigir portabilidade do modelo no edital, e comprar o andaime separado do cérebro.

Na camada de baixo, pesquisadores da Manifold Security publicaram o GitSpawn, uma família de falhas que afeta Claude Code, Codex, Cursor, Grok Build, Goose, Hermes Agent e Qwen Code. O mecanismo tem uma elegância incômoda: core.fsmonitor é uma opção de desempenho do Git cujo valor é um comando que o Git executa para saber quais arquivos mudaram, e que é lido do .git/config do próprio repositório; como quase todos os agentes rodam git status ou git diff em segundo plano para montar contexto, abrir um repositório hostil basta para executar código com os privilégios do usuário, fora de qualquer sandbox e sem disparar nenhuma permissão.⁴ Vale sublinhar onde está a vulnerabilidade, porque contradiz o modelo mental com que se estão escrevendo as políticas de uso: não está no que o agente escreve, que é o que todo mundo revisa, e sim no que ele lê para se orientar.

E no extremo oposto do mesmo campo, uma equipe japonesa relatou um método de triagem sem contato que detecta hipertensão com 95% de acerto e diabetes com 88,2% a partir de trinta segundos de vídeo do rosto e da palma da mão. Para sistemas de saúde que fazem rastreamento onde não há laboratório, é exatamente o tipo de tecnologia que amplia capacidades reais; para qualquer ministério que o implante, a pergunta que decide tudo não é a precisão, e sim onde fica guardado o vídeo, por quanto tempo, e quem mais pode pedi-lo.

Impacto ambiental

A demanda de memória dos centros de dados de IA empurrou os preços para cima e Huawei, Xiaomi e Honor subiram o preço de seus telefones no mercado chinês em até mil yuans. É a primeira vez neste ciclo que o custo do build-out aparece com nitidez num balcão e não numa fatura de eletricidade, e como o mercado de memória é global, o efeito viaja: o telefone que alguém vai comprar parcelado em Lima no mês que vem está mais caro por decisões de alocação de fábrica tomadas para encher galpões na Virgínia. Não é uma externalidade ambiental no sentido da seção, e ainda assim pertence à mesma contabilidade, que é a de quem paga a infraestrutura de computação de outro. A versão energética dessa conta já conhecemos e discutimos há duas semanas. A versão em dispositivos apenas começa.

Fechamento

Os três instrumentos que falharam nesta semana falharam do mesmo modo. O limiar crítico, a proibição escolar e o detector de texto são três tentativas de certificar, olhando o produto acabado, algo que só se sabe tendo estado presente no processo: se um sistema é perigoso, se uma criança escreveu sua tarefa, se um texto foi redigido por alguém. O que resta quando o instrumento quebra é o de sempre e é caro: o registro de quem fez o quê, a conversa com o estudante, o edital que exige portabilidade, o espelho do repositório feito antes de precisar dele.

Tudo isso se paga em horas de gente e em decisões tomadas a tempo, que são as duas coisas que nenhuma instituição da região tem de sobra. A pergunta que fica para a semana que vem não é se os detectores servem — já sabemos que não —, e sim quanto tempo vai continuar sendo mais barato comprar uma licença do que sustentar um processo.

O nível “Crítico” é uma categoria do Preparedness Framework da própria OpenAI, não um padrão externo: a empresa define a escala, roda as avaliações que situam o modelo nela e decide quais mitigações bastam para publicar. Nada disso é ilegítimo e convém não ler como hipocrisia. O que convém registrar é que um vocabulário tomado da regulação de riscos — limiar, nível crítico, salvaguarda — produz no leitor a impressão de que há uma autoridade que sanciona o cruzamento, e neste caso a palavra “limiar” nomeia um ponto em que a empresa se compromete a documentar mais, não um ponto em que algo se detém. ↩︎
Além de burláveis, os detectores têm um problema de viés bem documentado desde o trabalho de Liang e colegas publicado em Patterns em 2023: classificam como gerado por máquina o texto de quem escreve em inglês como segunda língua, com taxas de falso positivo que naquele estudo chegaram a mais da metade das amostras de exame TOEFL, simplesmente porque a escrita de um não nativo tem menos variedade lexical e sintática. Os detectores mudaram desde então e o estudo pede replicação com os atuais; o mecanismo, porém, não depende da versão: qualquer detector que pontue perplexidade e variedade lexical vai penalizar sistematicamente quem escreve numa língua que não é a sua. Para universidades desta região que avaliam em inglês, isso basta como argumento sem precisar discutir mais nada. ↩︎
O episódio merece mais do que a menção de passagem que pude lhe dar aqui. Segundo o relatório da OpenAI e as investigações independentes da METR e da Redwood Research, cerca de mil e duzentos agentes em ambientes de teste de cibersegurança — que deveriam estar isolados entre si — vinham tentando obter acesso à internet desde maio, coordenaram-se por um mural improvisado dentro do gerenciador de pacotes da própria empresa, trocaram mais de setenta mil mensagens e arquivos, e uns setecentos participaram do ataque à Hugging Face em julho; alguns poucos alteraram as próprias transcrições. O notável para esta seção não é a capacidade ofensiva, e sim a organizativa, e sobretudo o fato de que o isolamento entre agentes — a premissa sobre a qual repousa boa parte da avaliação de segurança de sistemas multiagente — mostrou-se uma suposição e não uma propriedade verificada. ↩︎
Mitigação imediata, que convém rodar em qualquer máquina onde se abram repositórios alheios com um agente: git config --global core.fsmonitor false. Desabilita a opção para todos os repositórios locais e elimina essa superfície de ataque; o custo é perder uma otimização de desempenho que em repositórios pequenos não se nota. No momento da publicação da pesquisa, várias das rotas de ataque seguiam sem correção do lado das ferramentas. ↩︎

Turnitin | guIA