Uma auditoria independente publicada a 12 de agosto de 2026 pela SaferAI colocou o GLM-5.2, da chinesa Zhipu (marca comercial Z.ai), sob escrutínio. O resultado incomodou boa parte da comunidade de segurança: a capacidade ofensiva do modelo em cenários de ciberataque está ao nível do GPT-5.5 da OpenAI, mas sem qualquer filtro de conteúdo a travar pedidos perigosos. Duas semanas depois, a 26 de agosto, a Z.ai lançou o GLM-5.3-Flash, construído sobre a mesma base do GLM-5.2. A pergunta que fica no ar é simples: o problema de segurança viajou também para a nova geração?
Este não é um debate académico. O GLM-5.2 é um modelo de pesos abertos, disponível para download e execução local através da Hugging Face, o que significa que qualquer pessoa com hardware suficiente pode correr o modelo sem as camadas de moderação que a OpenAI ou a Anthropic aplicam nos seus serviços fechados. Quando um modelo com esse nível de acesso também demonstra competência ofensiva séria, o cálculo de risco muda para toda a indústria.
O que a auditoria da SaferAI encontrou no GLM-5.2
A SaferAI testou o GLM-5.2 num conjunto de tarefas ligadas a criptografia, exploração web, engenharia reversa e exploração de binários (a categoria conhecida como pwn). O objetivo era medir se o modelo consegue executar, de forma autónoma, passos técnicos que normalmente exigem um analista de segurança com formação específica. A conclusão dos auditores foi direta: o GLM-5.2 completa esses passos sem hesitar e sem acionar qualquer aviso de segurança interno.
O ponto que mais preocupou os investigadores não foi a capacidade técnica em si, mas a ausência total de filtragem de conteúdo. Modelos fechados como o GPT-5.6 e o Claude Opus 5 acionam avisos, pedem confirmação de intenção ou recusam determinados pedidos a meio do processo. O GLM-5.2 simplesmente não o faz. Em pedidos ligados a orientações próximas de ransomware, persuasão manipuladora ou pressão para mentir, o modelo respondeu sem recusa em nenhum dos casos testados, enquanto os concorrentes fechados travaram em pelo menos parte dos cenários.
CyBench: o benchmark que expôs a diferença
O CyBench é um conjunto de desafios no estilo capture-the-flag, usado para avaliar se um modelo consegue realizar tarefas ofensivas reais de cibersegurança sem intervenção humana. Cada desafio simula uma vulnerabilidade concreta, e o modelo tem de encontrar e explorar essa falha sozinho, tal como faria um atacante humano num torneio de hacking.
Nos resultados divulgados pela SaferAI, o GLM-5.2 completou 29 dos 34 desafios do CyBench, um valor idêntico ao do Claude Opus 4.7. O GPT-5.5, usado como referência de comparação no estudo, completou 31. A diferença de dois ou quatro desafios pode parecer pequena, mas o dado relevante não é a pontuação final. É o comportamento durante a execução: o GLM-5.2 avançou por todos os passos sem qualquer interrupção de segurança, enquanto o Claude e o GPT ativaram mecanismos de filtragem em momentos-chave da cadeia de exploração, mesmo tendo concluído a maioria das tarefas.
Para um investigador de segurança que já domina essas técnicas, um filtro a meio do processo é apenas um incómodo contornável. Para alguém sem essa formação, é a diferença entre conseguir montar um ataque funcional e ficar preso a meio do caminho. É exatamente essa barreira que, segundo a auditoria, desaparece por completo no GLM-5.2.
Tabela: GLM-5.2 contra GPT-5.5 e Claude Opus 4.7 no CyBench
| Modelo | Empresa | Tarefas CyBench (de 34) | Filtros de segurança ativados | Tipo de pesos |
|---|---|---|---|---|
| GLM-5.2 | Zhipu / Z.ai | 29 | Não | Abertos |
| Claude Opus 4.7 | Anthropic | 29 | Sim | Fechados |
| GPT-5.5 | OpenAI | 31 | Sim | Fechados |
Os números mostram algo incómodo para quem defende a abertura total de pesos como caminho preferencial para a IA: a competência técnica dos modelos abertos já não fica atrás dos modelos fechados de referência. O que falta é a camada de contenção que os laboratórios ocidentais construíram por cima do modelo base, e essa camada não viaja junto com o download dos pesos.
GLM-5.3-Flash chega a 26 de agosto: o que muda
Enquanto a auditoria ainda circulava entre investigadores, a Z.ai avançou com a próxima geração. O GLM-5.3, lançado a 14 de agosto, usa a mesma base do GLM-5.2, mas com um treino posterior mais extenso, e a variante rápida GLM-5.3-Flash seguiu-se a 26 de agosto. Segundo o levantamento de lançamentos do mês, a Z.ai posicionou o GLM-5.3 com um preço de 1,40 dólares por milhão de tokens de entrada e 4,40 dólares por milhão de tokens de saída, um valor competitivo face aos modelos fechados equivalentes.
O detalhe que separa as duas gerações raramente aparece nos anúncios de lançamento: a Z.ai reforçou o treino de instrução e a qualidade das respostas, mas não há, até à data, uma auditoria de segurança independente publicada sobre o GLM-5.3 ou o GLM-5.3-Flash equivalente à que expôs o GLM-5.2. Isso significa que, tecnicamente, ninguém sabe ainda se o problema de filtragem foi corrigido, mantido ou até agravado na nova geração. O salto de desempenho do GLM-5.3 no Terminal Bench já tinha mostrado ganhos claros de capacidade técnica, o que só reforça a urgência de perceber se essa capacidade continua a vir sem travões.
Resposta da Zhipu ao relatório
Até à publicação deste artigo, a Zhipu não divulgou um comunicado formal a responder ponto por ponto às conclusões da SaferAI. A empresa mantém, no entanto, a política habitual dos laboratórios chineses de modelos abertos: disponibilizar os pesos sem restrições de utilização comercial e deixar a moderação a cargo de quem implementa o modelo em produção. É uma escolha de modelo de negócio, não um acidente técnico, e é precisamente essa escolha que a auditoria da SaferAI questiona.
Panorama dos modelos de fronteira em agosto de 2026
Agosto de 2026 foi um mês particularmente movimentado para lançamentos de modelos de fronteira. O Claude Opus 5, da Anthropic, lançado a 24 de julho, continua a liderar a maioria dos rankings independentes, com o modelo irmão Claude Fable 5 (lançado a 9 de junho) também entre os melhores. O GPT-5.6 da OpenAI e o Grok 4.6 da xAI, lançado a 12 de agosto, seguem próximos, com custo por token mais baixo. Do lado dos pesos abertos, o Kimi K3 da Moonshot AI, publicado a 26 de julho e descrito como o maior modelo de pesos abertos já lançado, tornou-se a referência da categoria auto-hospedável, disputando terreno diretamente com a família GLM. Já tínhamos analisado esse lançamento em detalhe no artigo sobre Kimi K3 e os seus 2,8 biliões de parâmetros.
A Alibaba entrou em cena com o Qwen3.8-Max, que ganhou acesso geral via API a 3 de agosto, ainda sem pesos abertos publicados apesar da promessa da empresa. A Google avançou com o Gemini 3.7 Flash a 13 de agosto, reforçando a aposta em modelos rápidos e de baixo custo como opção predefinida na aplicação Gemini. A Meta, por sua vez, lançou o Muse Spark 1.2 a 5 de agosto e o Muse Glimmer, de 30 mil milhões de parâmetros sob licença Apache 2.0, a 10 de agosto. Este ritmo de lançamentos, quase um modelo novo relevante a cada dois ou três dias, é o pano de fundo que torna a discussão sobre segurança ainda mais urgente. Não há tempo nem recursos para auditar cada modelo com o mesmo rigor antes de chegar ao mercado.
Tabela: linha do tempo de lançamentos de modelos em agosto de 2026
| Data | Modelo | Empresa | Nota |
|---|---|---|---|
| 3 de agosto | Qwen3.8-Max | Alibaba | Acesso geral via API, pesos abertos prometidos |
| 4 de agosto | Alpamayo 2 Super | NVIDIA | Passou a disponibilidade comercial |
| 5 de agosto | Muse Spark 1.2 | Meta | Atualização da família Muse |
| 10 de agosto | Muse Glimmer | Meta | 30 mil milhões de parâmetros, licença Apache 2.0 |
| 12 de agosto | Grok 4.6 | xAI | Modelo de fronteira fechado |
| 12 de agosto | Auditoria SaferAI ao GLM-5.2 | SaferAI | Relatório de segurança independente |
| 13 de agosto | Gemini 3.7 Flash | Modelo rápido de baixo custo | |
| 14 de agosto | GLM-5.3 e Qwen3.8-27B | Zhipu / Z.ai, Alibaba | Pesos abertos |
| 26 de agosto | GLM-5.3-Flash | Zhipu / Z.ai | Modelo de fronteira mais recente rastreado |
Contexto histórico: o dilema dos pesos abertos
O debate sobre segurança em modelos abertos não nasceu com o GLM-5.2. Desde o lançamento do primeiro Llama pela Meta em 2023, a comunidade de investigação em segurança discute se distribuir pesos completos sem restrições acelera a inovação ou espalha ferramentas ofensivas sem controlo. Durante muito tempo, o argumento a favor da abertura assentava numa ideia simples: os modelos abertos eram tecnicamente mais fracos do que os fechados, logo o risco prático era limitado.
Essa distância técnica encolheu de forma acentuada ao longo de 2025 e 2026. O DeepSeek já tinha mostrado, com o lançamento do DeepSeek V4-Flash-0731, que um modelo aberto conseguia liderar rankings de utilização no OpenRouter durante semanas seguidas. O Kimi K3 reforçou essa tendência em julho. A auditoria da SaferAI ao GLM-5.2 é a primeira vez, em 2026, que essa aproximação de capacidades é medida especificamente num benchmark ofensivo de cibersegurança, e não apenas em tarefas de programação ou raciocínio geral. Isso muda a natureza do debate. Já não se trata de saber se os modelos abertos vão alcançar os fechados, mas de gerir o que fazer agora que já alcançaram, pelo menos numa categoria com implicações diretas de segurança.
Impacto no mercado: empresas entre custo e risco
Para as equipas de engenharia que decidem entre modelos abertos e fechados, o cálculo ficou mais complicado. Um modelo como o GLM-5.2, executado localmente ou através de um fornecedor de inferência de terceiros, custa uma fração do preço de um modelo fechado equivalente e evita o envio de dados sensíveis para servidores externos. É por isso que tantas empresas de médio porte, sobretudo fora dos Estados Unidos, adotaram modelos chineses de pesos abertos para tarefas internas de código e automação.
A auditoria da SaferAI introduz uma variável nova nessa equação. Se um modelo interno acessível a qualquer colaborador consegue, sem qualquer travão, gerar orientações próximas de ataques informáticos reais, a responsabilidade de conter esse uso passa integralmente para a organização que implementa o modelo. Isso implica investimento adicional em camadas de moderação externas, revisão de políticas de utilização aceitável e, em setores regulados, possível risco de conformidade. O custo mais baixo de licenciamento pode, na prática, ser compensado por um custo mais alto de governação.
Comparação competitiva: abertos contra fechados em segurança
Vale a pena separar dois eixos que costumam ser confundidos: capacidade técnica e comportamento de segurança. No eixo da capacidade, o GLM-5.2 já compete diretamente com o GPT-5.5 e com o Claude Opus 4.7, como mostram os números do CyBench. No eixo do comportamento de segurança, a distância entre modelos abertos e fechados continua enorme, mas por razões de desenho e não de competência.
A OpenAI e a Anthropic constroem, por cima dos seus modelos base, camadas de classificação de pedidos, sistemas de recusa treinados especificamente para cenários de risco e monitorização em produção. Essas camadas custam tempo de engenharia e reduzem, em alguns casos, a utilidade percebida do modelo, mas funcionam como rede de segurança. Um modelo de pesos abertos como o GLM-5.2 chega ao utilizador sem essa rede, e a decisão de a construir, ou não, fica inteiramente do lado de quem implementa o modelo. Nem toda a gente com acesso a um ficheiro de pesos tem interesse, tempo ou conhecimento para construir essa camada.
Um contraponto interessante veio da Coreia do Sul. A Kakao publicou, a 19 de agosto, resultados de avaliação de segurança para a sua família Kanana-2, de modelos pequenos e abertos, mostrando pontuações de segurança superiores às da Gemma (Google) e do Qwen (Alibaba). O modelo Kanana-2-3B-Instruct obteve 0,70 pontos, contra 0,66 da Gemma e 0,62 do Qwen, segundo a análise publicada pela Open Source For You. O caso mostra que abertura de pesos e segurança reforçada não são mutuamente exclusivas. É possível construir um modelo aberto com guardrails mais sólidos, desde que essa prioridade entre no processo de treino desde o início.
O clima mais amplo de segurança em IA neste verão
A auditoria ao GLM-5.2 não surgiu isolada. O verão de 2026 já tinha sido marcado por outros episódios que reforçaram a atenção sobre segurança de modelos de IA. A 8 de agosto, a OpenAI suspendeu o desenvolvimento do projeto interno conhecido como Astra citando preocupações de segurança, avanço noticiado pelo The Guardian. O episódio, somado à auditoria da SaferAI, alimentou uma discussão mais ampla dentro da comunidade sobre se o ritmo de lançamentos está a ultrapassar a capacidade da indústria de testar adequadamente cada novo modelo antes de o disponibilizar ao público.
Um trabalho académico recente, o benchmark Saber, disponível também no GitHub, propõe uma forma sistemática de avaliar a segurança operacional de agentes de IA que escrevem e executam código, uma área diretamente relacionada com os riscos identificados no GLM-5.2. A existência deste tipo de ferramenta académica sugere que a comunidade de investigação está a tentar acompanhar o ritmo dos lançamentos comerciais, ainda que com atraso.
Risco regulatório: o que diz o AI Act sobre modelos abertos
Na União Europeia, as regras de transparência do AI Act já estão em vigor, com coimas que podem atingir 3% do volume de negócios global de uma empresa em casos de incumprimento grave. O regulamento prevê obrigações específicas para modelos de fronteira, incluindo avaliação de risco sistémico, mas o tratamento de modelos de pesos abertos continua a gerar controvérsia entre reguladores e a indústria. A questão prática é: quem responde quando um modelo aberto, sem filtros, é usado dentro da UE para gerar conteúdo que causa dano? O desenvolvedor original, a plataforma que distribui o modelo, ou apenas o utilizador final que o implementou sem moderação?
Casos como o do GLM-5.2 tendem a alimentar diretamente esse debate regulatório. Se um modelo aberto com capacidade ofensiva comprovada continuar a circular sem qualquer exigência de moderação mínima, é provável que surjam propostas de emenda ao enquadramento europeu especificamente dirigidas a modelos distribuídos sem restrições de utilização.
O que isto significa para programadores em Portugal
Para equipas técnicas portuguesas que já usam ou avaliam modelos de pesos abertos em produção, o caso do GLM-5.2 é um lembrete prático: correr um modelo localmente não elimina a responsabilidade de moderação, apenas transfere essa responsabilidade para dentro da própria organização. Uma configuração mínima razoável passa por adicionar uma camada de classificação de pedidos antes de qualquer chamada ao modelo, registar e rever periodicamente os pedidos mais sensíveis, e nunca expor um endpoint de inferência diretamente à internet sem controlo de acesso.
// Exemplo simplificado de camada de moderação
// antes de qualquer chamada a um modelo de pesos abertos
async function chamarModeloComModeracao(pedido) {
const risco = await classificarRisco(pedido);
if (risco.nivel === "alto") {
registarTentativa(pedido, risco);
throw new Error("Pedido bloqueado pela política de utilização aceitável");
}
return await modeloLocal.gerar(pedido);
}Este tipo de camada não substitui uma auditoria de segurança formal, mas reduz de forma significativa a superfície de risco, sobretudo em ambientes onde vários colaboradores têm acesso direto ao modelo sem supervisão constante.
Previsões para os próximos meses
- A Zhipu deverá publicar, ainda este ano, uma resposta técnica ou uma atualização de segurança para a família GLM, sob pressão da cobertura mediática gerada pela auditoria.
- É provável que surjam auditorias independentes semelhantes dirigidas ao GLM-5.3 e ao GLM-5.3-Flash nos próximos dois a três meses, replicando a metodologia do CyBench.
- Outros laboratórios de modelos abertos, incluindo a Alibaba e a Moonshot AI, deverão enfrentar pedidos crescentes de auditorias de segurança comparáveis antes de lançamentos futuros.
- Fornecedores de infraestrutura de inferência, como plataformas de hospedagem de modelos abertos, tendem a adicionar camadas de moderação opcionais para diferenciar a oferta e responder a clientes empresariais preocupados com risco.
- O debate regulatório europeu sobre modelos de pesos abertos deverá ganhar tração ao longo do último trimestre de 2026, alimentado por casos como este.
Perguntas frequentes
O que é o GLM-5.2 e quem o desenvolve?
O GLM-5.2 é um modelo de linguagem de pesos abertos desenvolvido pela Zhipu, empresa chinesa que opera comercialmente sob a marca Z.ai. Está disponível para download através de plataformas como a Hugging Face e pode ser executado localmente por qualquer pessoa com hardware suficiente.
O que descobriu a auditoria da SaferAI?
A auditoria, publicada a 12 de agosto de 2026, concluiu que o GLM-5.2 tem capacidade ofensiva de ciberataque ao nível do GPT-5.5 no benchmark CyBench, mas sem qualquer filtro de conteúdo ativo, completando tarefas sensíveis sem acionar avisos de segurança.
O GLM-5.3 e o GLM-5.3-Flash herdam o mesmo problema?
Ainda não há uma auditoria de segurança independente publicada especificamente sobre o GLM-5.3 ou o GLM-5.3-Flash. Como ambos partilham a mesma base do GLM-5.2, com treino adicional por cima, não é possível confirmar se o comportamento de ausência de filtros foi corrigido, mantido ou alterado.
Como funciona o benchmark CyBench?
O CyBench apresenta ao modelo desafios no estilo capture-the-flag, cada um simulando uma vulnerabilidade real de cibersegurança. O modelo tem de identificar e explorar essa falha de forma autónoma, sem orientação humana passo a passo, o que permite medir capacidade ofensiva prática e não apenas conhecimento teórico.
Os modelos fechados como o GPT-5.5 e o Claude são mais seguros?
No comportamento de segurança, sim: ambos acionam filtros de conteúdo durante tarefas sensíveis. Na capacidade técnica pura medida pelo CyBench, a diferença face ao GLM-5.2 é pequena, o que reforça que a distância relevante hoje está na camada de moderação e não na competência do modelo base.
Que impacto tem isto para empresas que usam modelos de pesos abertos?
Empresas que implementam modelos como o GLM-5.2 internamente passam a ter de assumir integralmente a responsabilidade de moderação, o que pode exigir investimento adicional em camadas de classificação de pedidos, registo de utilização e políticas internas de acesso.
Existem modelos abertos com melhor comportamento de segurança?
Sim. A família Kanana-2, da Kakao, obteve pontuações de segurança superiores às da Gemma e do Qwen em avaliações publicadas em agosto de 2026, mostrando que é possível construir modelos abertos com guardrails mais robustos quando essa prioridade entra no processo de treino desde o início.
O AI Act da União Europeia cobre este tipo de situação?
O AI Act já impõe obrigações de transparência a modelos de fronteira, com coimas até 3% do volume de negócios global em casos graves, mas o tratamento específico de modelos de pesos abertos sem moderação continua em debate entre reguladores europeus.
