O risco não exige AGI
A IA avançada poderia aumentar o risco biológico ajudando um ator malicioso a buscar literatura, comparar opções, resolver problemas de trabalho laboratorial, ou operar ferramentas biológicas especializadas. Um modelo não precisaria de consciência, superinteligência, ou autonomia completa para importar. Precisaria apenas reduzir um ou mais gargalos em um fluxo de trabalho já perigoso.
Esse mecanismo é plausível e importante, mas sua magnitude atual é incerta. O Relatório Internacional de Segurança em IA de 2026 conclui que as capacidades relevantes melhoraram e que alguns estudos mais recentes encontram assistência significativa em tarefas substitutas (proxy), enquanto estudos anteriores encontraram efeitos pequenos ou estatisticamente insignificantes. Também enfatiza barreiras materiais persistentes e grandes lacunas de avaliação (Relatório Internacional de Segurança em IA de 2026). A posição precisa, portanto, não é “a IA já pode criar uma pandemia” nem “os modelos apenas repetem fatos inofensivos da internet”.
O que os pesquisadores entendem por uplift
Um estudo de uplift compara o desempenho com assistência de IA contra uma linha de base, como o acesso apenas à internet. O resultado depende de quem participa, qual tarefa é tentada, qual modelo e salvaguardas são usados, como o desempenho é pontuado, e se a tarefa é um plano em papel, um exercício substituto de aquisição, ou trabalho laboratorial real.
A informação é apenas uma parte de uma cadeia de ataque biológico. Um ator pode precisar selecionar um agente, obter materiais, adquirir habilidade laboratorial tácita, realizar controle de qualidade, escalar a produção, evitar autolesão e detecção, e alcançar disseminação. A IA poderia ajudar substancialmente em uma etapa enquanto toda a operação permanece além do alcance do ator. Por outro lado, uma assistência modesta no gargalo certo poderia importar mais do que uma grande melhoria de pontuação em um teste irrelevante.
Estudos seguros evitam produzir instruções operacionais e usam revisão especializada, ambientes controlados, e tarefas substitutas. Mesmo assim, a validade externa é difícil. Os participantes podem não se assemelhar a atores de ameaça reais. Estudos curtos não conseguem capturar meses de resolução de problemas. Mudanças rápidas de modelo podem tornar um resultado cuidadoso obsoleto logo após a publicação.
A evidência mudou depois de resultados nulos iniciais
Um estudo de red team da RAND, de 2024, não encontrou diferença estatisticamente significativa nas avaliações de especialistas sobre planos de ataque biológico feitos por equipes com acesso a modelos de linguagem e equipes usando apenas a internet. A RAND concluiu que o planejamento de ataque estava além da fronteira de capacidade dos modelos testados como ferramentas assistivas, embora tenha alertado que não havia medido o quão além (relatório da RAND). Isso foi evidência significativa sobre aqueles modelos, participantes, e tarefa de planejamento — não uma descoberta permanente sobre todos os sistemas futuros.
Evidências posteriores são mais preocupantes, mas ainda incompletas. O Relatório Internacional de Segurança em IA de 2026 descreve um estudo de uplift do mundo real mais recente, no qual uma IA de propósito geral sem salvaguardas forneceu assistência substancial em tarefas substitutas de aquisição de bioarmas, em comparação com o acesso à internet. Ele também observa estudos de modelos apoiando trabalho científico e equipamento de laboratório. Esses resultados atualizam o quadro: não é mais preciso dizer que os sistemas atuais não reduziram significativamente as barreiras práticas. Continua difícil quantificar o quanto o risco geral aumentou, ou quais gargalos materiais persistem.
Avaliações de desenvolvedores acrescentam evidência, mas têm conflitos de interesse e frequentemente retêm detalhes sensíveis. Elas deveriam ser rotuladas como autorrelatos de empresas e interpretadas ao lado de trabalho governamental e independente.
O que significa a ativação do ASL-3 da Anthropic
A Anthropic anunciou proteções ASL-3 para a família Claude Opus 4 em 2025 porque não conseguia descartar um uplift significativo em certos fluxos de trabalho químicos, biológicos, radiológicos, ou nucleares. A empresa descreveu explicitamente a ativação como precaucionária e disse que não havia estabelecido definitivamente que o modelo ultrapassou o limiar de capacidade relevante (anúncio de ASL-3 da Anthropic).
É importante não colapsar vários conceitos. Um AI Safety Level é um pacote de proteções de segurança e implantação. Um limiar de capacidade é evidência que pode acionar salvaguardas mais fortes. A política da Anthropic também distinguiu produção química/biológica não inédita, desenvolvimento de armas inéditas, e uplift para programas mais sofisticados. “ASL-3” não é uma classificação científica universal e não significa que o modelo consegue construir de forma autônoma toda classe de arma QBRN.
A política da Anthropic continuou mudando; seu arquivo público lista a versão 3.4 em agosto de 2026 (RSP da Anthropic). Os leitores deveriam usar a versão e a data associadas a uma decisão de modelo, em vez de importar linguagem de uma estrutura anterior.
Salvaguardas precisam de várias camadas
Controles de modelo e implantação incluem treinar sistemas para recusar assistência perigosa, classificadores de entrada-saída, monitoramento de padrões suspeitos de múltiplas etapas, limites de taxa, verificação de conta, e acesso controlado para pesquisadores credenciados. Essas medidas podem reduzir o mau uso casual, mas podem ser contornadas por jailbreaks, decomposição de tarefas, acesso a modelos menos protegidos, ou remoção de salvaguardas de pesos abertos.
O lançamento condicionado à avaliação conecta resultados de teste a decisões. Os desenvolvedores podem testar durante o treinamento, encomendar avaliações externas, restringir o acesso a ferramentas, e atrasar um lançamento quando a evidência ultrapassa um limiar definido. Os relatórios deveriam descrever a incerteza residual, não apenas se um limiar foi formalmente ultrapassado.
A triagem de síntese de ácido nucleico aborda a ponte entre a informação digital e o material físico. Os provedores podem triar clientes e sequências de pedidos contra critérios de risco, com privacidade, recurso, e coordenação internacional apropriados. A triagem não é suficiente por si só: equipamento, patógenos, laboratórios, e cadeias de suprimentos variam globalmente.
A resiliência da saúde pública reduz o dano independentemente de um surto ser natural, acidental, ou deliberado. Vigilância, diagnósticos rápidos, melhorias no ar interno, equipamento de proteção, plataformas de vacinas, estoques médicos, e comunicação confiável são defesas amplas. Políticas de segurança que focam apenas nas recusas do modelo perdem esse sistema maior. Para a versão em nível domiciliar dessa resiliência — respiradores, filtragem de ar, e planejamento de isolamento — veja Noções básicas de biossegurança pessoal.
A governança e biossegurança laboratorial permanecem centrais. Treinamento, revisão institucional, controles de acesso, relato de incidentes, e cultura de segurança abordam tanto rotas maliciosas quanto acidentais. A IA também pode fortalecer a defesa apoiando detecção, descoberta de medicamentos, e pesquisa biológica; os controles deveriam preservar o trabalho legítimo sempre que possível.
Como raciocinar sem sensacionalismo
Separe quatro afirmações. Primeiro, os modelos atuais podem fornecer informação biológica substancial; isso é observado. Segundo, algumas avaliações indicam uplift prático em tarefas substitutas selecionadas; essa é evidência emergente com limitações. Terceiro, um ator malicioso poderia combinar IA futura com ferramentas e materiais para causar um surto catastrófico; esse é um caminho de risco plausível. Quarto, uma pandemia causada por IA é iminente; a evidência disponível não estabelece essa previsão.
A distinção importa para a confiança pública. O exagero pode incentivar o fatalismo ou anunciar capacidades, enquanto a dispensa pode atrasar defesas. Os relatórios deveriam descrever o sistema testado, salvaguardas, linha de base, participantes, ponto final, incerteza, e financiamento. Detalhes operacionais que permitiriam dano não deveriam ser publicados.
A conclusão prática
O risco biológico assistido por IA está entre as preocupações de dano severo mais concretas porque a assistência científica útil e a assistência perigosa se sobrepõem. A evidência avançou além do primeiro resultado de “nenhum uplift significativo”, mas não mostra que os modelos eliminaram as exigentes barreiras físicas e organizacionais para um ataque em larga escala.
A resposta racional é em camadas e adaptativa: continuar estudos independentes de uplift, conectar capacidades de modelo a salvaguardas exequíveis, proteger cadeias de suprimentos biológicas, e fortalecer a saúde pública. Essas medidas continuam valiosas em uma ampla gama de cronogramas de IA — e evitam fingir que o nível de segurança de uma empresa é um veredito sobre o estado do risco biológico.