A permissão de Trump para IA de fronteira não tem formulário

Ao longo de 2025 e 2026, o governo do presidente Donald Trump prometeu uma regulação mais leve para IA e depois restringiu os principais modelos de fronteira sem criar licença, limite publicado ou recurso. O AI Security Institute constatou que os modelos de pesos abertos agora ficam atrás das fronteiras fechadas em capacidade cibernética por apenas quatro a sete meses, ante seis a dez meses durante a maior parte de 2025. O gatilho de emergência de Washington permaneceu intacto enquanto a diferença de capacidade diminuía.

Autoridades de Trump perseguiram dois desenhos ao mesmo tempo. Em inteligência artificial, favoreceram velocidade, escala nacional e alívio em relação a regras estaduais fragmentadas. Em cibersegurança, preservaram a capacidade do Executivo de agir antes de divulgar o que sabia. Durante o primeiro governo Trump, regras interagências permitiam que autoridades decidissem se divulgavam ou retinham falhas de segurança, com as falhas retidas reavaliadas anualmente. O processo tinha um ciclo de revisão, mas o governo preservava discricionariedade porque a publicação poderia destruir o valor da capacidade em análise.

De 2025 para 2026, as autoridades convergiram para uma tutela executiva acionada por incidentes, em vez de uma desregulação duradoura ou de um regime transparente de licenças. O acesso ordinário permaneceu amplo até que desempenho cibernético ou exposição à segurança nacional provocassem pressão da Casa Branca, condições de contratação, controles de exportação ou restrições a modelos. O controle se centralizou sem limites estáveis, regras de evidência ou recurso.

Um plano pouco restritivo manteve intacto o gatilho de emergência

O Plano de Ação para IA do governo continha mais de 90 recomendações e buscava reverter medidas da era Biden voltadas a viés e ameaças de cibersegurança. Ambientes regulatórios de teste, uniformidade federal e uma postura de “experimentar primeiro” tratavam de como os Estados Unidos poderiam acelerar a adoção enquanto concorrentes avançavam. Uma autoridade federal permanente de revisão de modelos responderia a outra pergunta: quando o governo pode reter a permissão de implantação? O plano não criou uma.

A Casa Branca mais tarde explorou um grupo de trabalho sobre IA que poderia examinar procedimentos de supervisão, incluindo avaliação antes do lançamento. Uma proposta de decreto sobre cibersegurança teria instruído agências a fazer parceria com empresas de IA sem exigir testes governamentais antes do lançamento. As autoridades consideraram revisão institucional, mas nenhuma das propostas descreveu um sistema operacional com limites publicados, um avaliador final e uma via rotineira de aprovação.

Agências do Executivo podem mirar uma exposição específica sem submeter todos os modelos a licenciamento prévio. Também podem preservar a retórica pró-inovação porque a maioria dos desenvolvedores nunca encontra o gatilho. Uma empresa que o encontra precisa descobrir qual preocupação desencadeou a ação, qual agência detém o julgamento e quais evidências poderiam revertê-lo.

As avaliações cibernéticas mudaram o custo de esperar

A Palo Alto Networks informou que, em seus testes, três semanas de análise assistida por IA de fronteira equivaleram a um ano completo de testes manuais de invasão, ao mesmo tempo que cobriram mais terreno. O Claude Mythos Preview, da Anthropic, alcançou uma taxa relatada de sucesso de 73% em desafios de capture-the-flag de nível especialista que nenhum modelo conseguia concluir antes de abril de 2025. Esses resultados não demonstram intrusão autônoma no mundo real, mas mostram uma forte compressão do tempo e do trabalho antes exigidos de especialistas escassos.

Um benchmark pode medir descoberta de vulnerabilidades, uso de ferramentas e execução em múltiplas etapas sem reproduzir o defensor, a estrutura de monitoramento, as restrições de acesso ou a incerteza operacional de uma rede ativa. Na avaliação cibernética do GPT-5.5, o modelo se tornou o segundo a concluir uma simulação de ataque em múltiplas etapas de ponta a ponta. A avaliação alertou que seu ambiente não tinha defensores ativos nem ferramentas defensivas. Sucesso controlado é evidência de capacidade, não prova de uma campanha de ataque.

Essas ressalvas limitam afirmações sobre autonomia ofensiva imediata, mas a Palo Alto ainda comprimiu um ano de testes manuais em semanas. Uma autoridade de segurança nacional, portanto, enfrenta custos assimétricos: reagir em excesso a uma avaliação benigna impõe custos visíveis a uma empresa, enquanto reagir de menos a uma capacidade que depois ganha escala pode produzir perdas muito além do resultado médio do teste. “Em média, o modelo falhou” oferece pouco conforto quando uma cadeia bem-sucedida basta.

O CEO da Anthropic, Dario Amodei, defendeu testes obrigatórios de terceiros cobrindo riscos cibernéticos, biológicos e de autonomia, com autoridade para bloquear ou revogar implantações perigosas. Sua proposta colocava a decisão antes do lançamento e a atribuía a um avaliador. O governo agiu, em vez disso, por meio de poderes que já detinha. Ambas as abordagens aceitam que algumas capacidades exigem autorização; divergem sobre quem define o limite antes de o conflito começar.

Agentes deslocaram o controle para abaixo do modelo

Um agente de IA combina a saída do modelo com ferramentas, credenciais e a possibilidade de alterar o mundo descrito no prompt. Empresas de software empresarial começaram a migrar de copilotos que auxiliam usuários para agentes que agem por eles. A camada de aplicação se tornou o lugar em que um modelo poderia abrir uma conta, gastar dinheiro, alterar código ou implantar infraestrutura.

A Cloudflare habilitou agentes a criar contas, iniciar assinaturas pagas, registrar domínios e implantar aplicações em nome de um usuário. A OpenAI adicionou sandbox nativo e um harness em distribuição ao seu Agents SDK para implantação e testes de longo horizonte. A Microsoft introduziu a Agent Control Specification para dar aos desenvolvedores controle granular e consistente sobre o comportamento de agentes. Cada empresa tratou do mesmo fato de engenharia: regras no nível do modelo não podem governar uma ação que apenas a aplicação ao redor tem permissão para executar.

Operadores, portanto, dividiram o problema de segurança de agentes em decisões menores de autorização. O modelo pode propor um comando; o sandbox decide onde ele pode ser executado. A aplicação pode solicitar uma compra; o sistema de pagamento decide se a credencial pode autorizá-la. O agente pode identificar uma vulnerabilidade; o ambiente de implantação decide se ele pode se conectar ao alvo. A responsabilidade está nessas fronteiras porque é ali que uma intenção se transforma em ato irreversível.

A revisão humana detecta erros e registra quem aceitou a responsabilidade, quais evidências essa pessoa viu e qual ação cruzou a fronteira. Remover o humano pode melhorar o fluxo de trabalho, mas o sistema ao redor precisa então atribuir a responsabilidade em outro lugar.

Instituições definem limites; vagas ampliam a discricionariedade

A OpenAI pediu que a CAISI, e não a NSA, liderasse avaliações obrigatórias de risco cibernético de sistemas avançados. A Casa Branca discutiu um grupo de trabalho de supervisão, enquanto a Casa Branca e a Anthropic teriam trabalhado em uma estrutura para avaliar a gravidade de falhas de segurança em IA. Autoridades e empresas de modelos haviam identificado a camada institucional que faltava.

A CAISI e o NIST também revelaram as restrições de capacidade que dificultam a formalização. O diretor da CAISI, Chris Fall, renunciou após assumir o instituto federal de testes em abril, deixando o diretor do NIST, Arvind Raman, como diretor interino. O NIST restringiu o trabalho na National Vulnerability Database a vulnerabilidades no catálogo de exploração conhecida da CISA após um acúmulo relacionado a uma interrupção de financiamento em 2024. Nomear um avaliador não torna os limites repetíveis sem pessoal, continuidade e capacidade suficiente para manter a base de evidências.

A Anthropic encontrou a diferença prática. Uma fonte disse que a empresa recebeu 90 minutos para cumprir e nenhuma preocupação detalhada antes de o Departamento de Comércio impor controles de exportação sobre seus modelos. Um avaliador formal poderia ter chegado à mesma decisão substantiva, mas teria de identificar o limite, documentar as evidências, especificar a solução e oferecer uma via para reconsideração.

As autoridades, em vez disso, preenchem esses campos ausentes por meio de negociação. Um laboratório de fronteira pode negociar porque controla um modelo escasso, enquanto o governo pode escalar porque controla compras públicas, permissões de exportação e autoridades de segurança nacional. A decisão pode chegar mais rápido que um processo de licenciamento. Ela também vincula as partes imediatas com mais clareza do que a próxima empresa com um modelo ligeiramente diferente e a mesma capacidade subjacente.

Pesos abertos eliminam o conforto de uma liderança permanente

O AI Security Institute constatou que modelos recentes de pesos abertos estavam reduzindo a diferença de capacidade cibernética em relação a modelos fechados de fronteira. Também afirmou que os modelos abertos que testou estavam em grande parte sem impedimentos de salvaguardas, ao mesmo tempo que alertou que o tamanho futuro da diferença permanece incerto.

Essa incerteza vale nos dois sentidos. Fornecedores fechados podem impor controles de conta, monitorar o uso de APIs, retirar o acesso e adicionar salvaguardas no nível do modelo. Lançamentos de pesos abertos reduzem a capacidade do fornecedor de aplicar esses controles após a distribuição. A defasagem medida não garante que sistemas abertos alcançarão todas as capacidades dos modelos fechados no prazo; avaliações, avanços no treinamento e escolhas de lançamento podem alterar a distância em qualquer direção.

A CAISI considerou o DeepSeek V4 Pro cerca de oito meses atrás dos principais modelos dos EUA e o chamou de modelo chinês de IA mais capaz até hoje. Também se esperava que a Casa Branca estendesse sua estrutura de supervisão a modelos abertos assim que eles alcançassem capacidades de fronteira. As autoridades ainda precisam definir o que cruza a linha: os pesos de um modelo, o desempenho medido, a ausência de salvaguardas, a identidade do usuário ou a infraestrutura conectada ao modelo.

Restrições de acesso enfraquecem como ferramentas de contenção quando capacidade comparável se difunde para além das contas de um fornecedor. O governo pode responder descendo na pilha tecnológica. Autoridades dos EUA propuseram controles globais de exportação de chips de IA que exigiriam aprovação do Comércio para remessas da Nvidia e da AMD a cada país. Quando uma chave de API não consegue conter a capacidade, o Estado recorre à remessa de aceleradores que a tornou possível.

Controlabilidade se tornou parte do produto

Laboratórios de fronteira antes vendiam qualidade de modelo como seu principal diferencial. A implantação de agentes acrescentou desenho de sandbox, escopo de credenciais, registros de auditoria, aprovação de ações e revogação. A especificação de controle da Microsoft e o harness de agentes da OpenAI empacotam esses controles junto com a capacidade. Seus produtos precisam identificar o que o modelo pode fazer, qual ator pode detê-lo, onde fica essa fronteira e qual registro permanece.

As compras públicas federais acrescentam outra superfície de controle. A minuta de orientação da GSA endureceu os termos de contratos civis de IA ao exigir que fornecedores permitam qualquer uso legal de seus modelos pelo governo. Agências de segurança nacional consideraram separadamente regras destinadas a evitar dependência de um único fornecedor. O governo age como comprador, não como licenciador, mas um comprador suficientemente grande pode transformar a elegibilidade contratual em requisito operacional.

Fornecedores que mantêm controles de identidade, logs, limites de implantação e acesso para avaliação conseguem demonstrar acesso condicional mais facilmente do que fornecedores que liberam pesos sem controle posterior. Essa vantagem cria dependência: os mecanismos que tranquilizam compradores empresariais e autoridades de segurança também dão ao Executivo uma alavanca direta sobre os clientes, as implantações e os mercados do fornecedor.

A permissão não escrita é a chave de API que continua funcionando após uma ligação de 90 minutos, a cláusula de compras públicas que sobrevive à revisão e a remessa de chips que o Comércio permite deixar o cais.