Modelos de IA abertos chegam a 72% de eficácia em ataques a redes corporativas, aponta benchmark

Um laboratório que imita uma rede corporativa inteira

A empresa de avaliação de modelos Vals AI criou um teste chamado CyberOffense para medir se um agente de inteligência artificial consegue invadir uma rede corporativa sozinho, do primeiro acesso até o controle total do sistema. O agente roda isolado numa máquina com Kali Linux (distribuição de Linux usada por profissionais de segurança para testes de invasão) e recebe apenas um endereço web público, sem ajuda humana. Cada comando que ele envia é registrado e pontuado automaticamente, segundo o relatório publicado pela Vals AI e reproduzido pelo site The Decoder em 7 de novembro de 2026 (https://the-decoder.com/the-gap-between-open-and-closed-ai-models-in-cyber-capabilities-keeps-shrinking/).

O benchmark tem duas fases. Na mais simples, chamada Nova, o agente precisa cumprir até 21 objetivos dentro de uma única empresa simulada, como explorar uma aplicação web vulnerável e chegar a um servidor Windows. Na fase mais difícil, Lighthouse, ele precisa ir além: tomar o controle de administrador da primeira empresa, roubar credenciais e usá-las para invadir uma segunda empresa, cumprindo até 31 objetivos encadeados.

Os números: a distância entre modelo fechado e modelo aberto

O modelo que teve o melhor resultado foi o GPT-6 Sol, parte de um programa interno e restrito da OpenAI chamado Daybreak, voltado a testar capacidades ofensivas em cibersegurança. Ele cumpriu 80,8% dos objetivos no teste mais simples. Logo atrás veio o Deepseek V4.1 Flash 1017, um modelo de peso aberto (open-weight: todo o código e os parâmetros do modelo são publicados, e qualquer pessoa pode baixar, rodar e modificar sem depender da empresa que o treinou), com 72,8%, custando cerca de 3 dólares por execução contra aproximadamente 22 dólares do modelo da OpenAI.

Na fase Lighthouse, mais realista porque encadeia duas empresas, o Daybreak completou 27 dos 31 objetivos em menos de três horas. O Deepseek chegou a 21 objetivos gastando um décimo do custo, e os pesquisadores da Vals observam que ele não foi limitado apenas pelas barreiras de segurança embutidas no modelo.

Quanto mais tempo rodando, mais o modelo avança

Um achado que passa despercebido em testes rápidos: o Deepseek não produziu resultado nenhum nos primeiros 25 milhões de tokens (tokens são as unidades de texto que o modelo processa a cada passo, e processar mais tokens significa gastar mais tempo e dinheiro) e só avançou de verdade depois de ultrapassar 100 milhões de tokens. Isso quer dizer que um teste curto de cibersegurança subestima o que um modelo aberto é capaz de fazer: ele só mostra o potencial real quando roda por tempo suficiente, o que também está ao alcance de qualquer atacante com paciência e acesso aos pesos do modelo.

A distância entre aberto e fechado vem encolhendo há meses

O resultado do CyberOffense confirma uma tendência já registrada em julho de 2026 pelo AI Security Institute do Reino Unido (AISI, órgão do governo britânico dedicado a avaliar riscos de segurança em IA). Segundo a instituição, a diferença entre os modelos de código fechado mais avançados e os modelos abertos em capacidades ofensivas caiu para uma faixa de quatro a sete meses. Durante a maior parte de 2025, essa mesma distância ainda era de seis a dez meses.

O custo segue a mesma curva. Uma rodada de teste num ambiente simulado (cyber range, nome dado a essas redes de treino isoladas) com o Deepseek V4-Pro custou 1,19 dólar segundo o AISI, contra 85 dólares do Opus 4.5 da Anthropic. As barreiras de segurança embutidas nos modelos abertos se mostraram, segundo o instituto, pouco eficazes para impedir esse tipo de uso. Um estudo separado da própria Anthropic já havia mostrado que o modelo aberto GLM-5-3 constrói exploits (códigos que exploram uma falha de segurança para invadir um sistema) em nível quase igual ao do seu modelo interno mais avançado, chamado Mythos.

O que muda para quem defende sistemas no Brasil

Uma vez que os pesos de um modelo são publicados, nenhuma empresa consegue mais controlar ou restringir como ele é usado, segundo os pesquisadores da Vals. Isso vale tanto para quem ataca quanto para quem defende: o mesmo agente capaz de encontrar a falha também pode ser apontado contra a própria rede da empresa antes que alguém de fora o faça. A Vals destaca esse ponto como a principal oportunidade para equipes de segurança.

Para times de TI e segurança no Brasil, isso tem consequências práticas:

• Rodar simulações de ataque com modelos abertos ficou acessível mesmo para empresas pequenas, já que o custo por execução é uma fração do de um modelo fechado como o GPT-6 Sol.
• Times de segurança podem reproduzir o mesmo tipo de teste (um agente isolado tentando avançar numa rede simulada) para encontrar as próprias falhas antes de um atacante, sem depender de acesso a programas restritos como o Daybreak.
• A barreira de segurança embutida nos modelos não é suficiente sozinha: qualquer plano de defesa que dependa só disso ignora o que o AISI e a Vals já mediram.
• O tempo de execução importa mais do que o benchmark rápido sugere. Um teste de poucos minutos subestima o que um agente com acesso prolongado consegue fazer, e isso vale tanto para o laboratório quanto para um ataque real.

A Vals afirma esperar que ataques contra redes reais aumentem nos próximos meses, à medida que modelos de peso aberto com esse nível de capacidade seguem disponíveis para download. Para quem constrói ou mantém sistemas corporativos no Brasil, o dado concreto é esse: o custo de montar um teste ofensivo sério despencou, e isso vale tanto para o lado de quem ataca quanto para quem precisa chegar primeiro.

Fonte: The Decoder