O GLM 5.2, modelo aberto da chinesa Z.ai, já aparece em discussões de fóruns criminosos e demonstrou capacidade para encontrar vulnerabilidades complexas. O risco não é uma “IA maligna” agindo sozinha: é a combinação de pesos abertos, alta competência em programação e controles que podem ser modificados por quem executa o modelo localmente.
A documentação pública consultada em 6 de agosto descreve arquitetura, contexto de 1 milhão de tokens, benchmarks e formas de implantação. Não encontramos nela uma avaliação de risco cibernético comparável aos system cards publicados por alguns laboratórios de modelos fechados. Isso não prova que a Z.ai não realizou testes nem que o serviço hospedado opere sem filtros; mostra uma lacuna de transparência na documentação pública disponível.
Por que o GLM 5.2 chamou atenção da segurança?
O GLM 5.2 tem 753 bilhões de parâmetros e foi projetado para tarefas longas de programação e agentes. Seus pesos podem ser baixados, executados localmente e adaptados. Essa liberdade é valiosa para empresas que precisam manter dados dentro da própria infraestrutura, mas também reduz a capacidade do desenvolvedor original de impor limites depois que o modelo é distribuído.
Em junho, a Axios informou que participantes de fóruns em língua russa discutiam como contornar proteções do GLM 5.2 para tarefas de hacking, citando um pesquisador da GuidePoint Security. Essa é evidência de interesse criminoso, não comprovação de que o modelo esteja por trás de uma campanha específica.
Encontrar vulnerabilidades não é automaticamente um ataque
Uma demonstração conduzida pelo pesquisador Niels Provos usou agentes movidos pelo GLM 5.2 em um fluxo de descoberta de vulnerabilidades no QEMU, software de virtualização amplamente utilizado. O trabalho mostra que um modelo aberto pode apoiar pesquisas técnicas avançadas sem depender de uma API restrita.
Esse tipo de capacidade tem uso duplo. Uma equipe autorizada pode localizar e corrigir falhas antes de criminosos. Um invasor pode tentar usar técnicas semelhantes contra sistemas sem permissão. O limite não está apenas no modelo, mas na autorização, no ambiente, nas ferramentas conectadas e na finalidade do operador.
“Sem trava” não significa exatamente “sem segurança”
Modelos abertos podem ser distribuídos com alinhamento e recusas incorporadas. A diferença é que um operador com conhecimento e recursos pode alterar o modelo, aplicar ajustes ou substituir camadas de proteção. Já em serviços fechados, OpenAI e Anthropic controlam a API e conseguem bloquear solicitações, suspender contas e atualizar salvaguardas centralmente.
Essa centralização também cria problemas para defensores. A Hugging Face relatou que, durante a análise de um incidente, modelos comerciais bloquearam comandos e artefatos reais usados na investigação porque não conseguiram distinguir o trabalho forense de uma tentativa de ataque. A equipe recorreu ao GLM 5.2 executado em infraestrutura controlada para analisar os dados.
O contraste com OpenAI e Anthropic
Em 2026, o governo dos Estados Unidos passou a avaliar e limitar o acesso a alguns modelos avançados por preocupações de segurança nacional. Anthropic recebeu uma ordem para suspender o acesso estrangeiro a Fable 5 e Mythos 5, enquanto o GPT-5.6 da OpenAI teve uma liberação inicial restrita a organizações aprovadas. Parte dessas restrições foi posteriormente alterada.
O contraste é real, mas não deve virar uma comparação simplista entre “Ocidente seguro” e “China sem regras”. A China também regula serviços de IA, e laboratórios americanos enfrentam falhas de controle. O problema específico dos pesos abertos é técnico: uma restrição aplicada a uma API nacional não impede que cópias de um modelo já distribuído sejam executadas em outros países e modificadas fora do alcance do fornecedor.
O que falta na documentação do GLM 5.2
A página oficial detalha programação, tarefas de longa duração, implantação local e resultados de benchmarks. Porém, na versão analisada, não apresenta uma seção equivalente a um relatório completo de segurança com testes de abuso cibernético, limitações conhecidas, metodologia de red team e critérios de liberação.
Ausência pública não permite concluir ausência interna. A cobrança correta é por transparência proporcional à capacidade. Quanto mais um modelo consegue operar ferramentas, compreender grandes repositórios e trabalhar por horas, mais importante é explicar como ele foi testado e quais riscos o desenvolvedor aceita.
Como empresas podem usar modelos abertos sem correr no escuro
- Isole a execução. Use rede segmentada, ambiente descartável e acesso mínimo a arquivos e credenciais.
- Não conecte ferramentas por padrão. Shell, navegador, e-mail e repositórios devem exigir autorização e escopo.
- Registre ações. Mantenha logs de prompts, ferramentas chamadas, mudanças e saídas relevantes.
- Valide o modelo escolhido. Teste recusas, vazamento de dados, injeção de prompt e comportamento em tarefas longas.
- Mantenha revisão humana. Descobertas de vulnerabilidades precisam de reprodução autorizada e tratamento responsável.
As mesmas precauções valem para outros modelos. Em nosso artigo sobre MCP e skills nas empresas, mostramos por que dar ferramentas a uma IA muda completamente o nível de risco.
O debate não é fechar ou liberar tudo
O GLM 5.2 ilustra uma tensão que governos ainda não resolveram. O mesmo modelo que ajuda uma equipe a investigar malware sem enviar dados para terceiros pode ser adaptado por criminosos. Restringir apenas APIs comerciais não elimina a capacidade; apenas muda onde ela pode ser executada.
Por isso, chamar o modelo de “sem trava” é uma boa provocação, mas uma descrição incompleta. A pergunta mais útil é quem controla a implantação. Em um laboratório responsável, um modelo aberto pode ficar cercado de permissões, registros e isolamento. Nas mãos erradas, não há fornecedor remoto capaz de apertar o botão de desligar.
Fontes consultadas
- Z.ai no Hugging Face — página e documentação do GLM 5.2;
- Z.ai — documentação oficial do modelo;
- Niels Provos — descoberta de vulnerabilidades com GLM 5.2;
- Hugging Face — modelo aberto em resposta a incidentes;
- Axios — interesse de fóruns criminosos no modelo;
- Anthropic — restrições governamentais a modelos avançados.
Informações e documentação verificadas em 6 de agosto de 2026.
