Um interruptor geral, não dirigido

A 12 de junho de 2026, o Bureau of Industry and Security do Departamento de Comércio dos EUA ordenou á Anthropic que suspendesse os modelos Fable 5 e Mythos 5 para cidadãos estrangeiros em todo o mundo, depois de os reguladores terem identificado um jailbreak específico que permitia aos modelos ler uma base de código e encontrar vulnerabilidades exploráveis mais depressa do que o previsto. A diretiva foi apresentada como uma medida de segurança nacional, não como uma restrição geral ás exportações de IA.

A Anthropic afirmou não ter uma forma fiável de distinguir, ao nível da aplicação, um utilizador nacional elegível de um estrangeiro não elegível, pelo que desligou ambos os modelos para todos os clientes do planeta, incluindo os seus próprios funcionários fora dos EUA, para se manter em conformidade. Apenas a National Security Agency obteve uma isenção, alegando que nenhum outro modelo igualava a capacidade do Mythos para descobrir vulnerabilidades.

Tóquio acabou de dizer em voz alta o que se calava

A 10 de agosto, numa entrevista á Kyodo News, Yoichi Iida, diretor nacional de cibersegurança do Japão e vice-conselheiro de segurança nacional, confirmou publicamente pela primeira vez que a suspensão de junho "interrompeu operações de análise de vulnerabilidades de segurança em sistemas governamentais fundamentais" dentro do próprio Japão - a primeira admissão pública de um governo aliado de que a aplicação das regras de exportação de Washington causou um dano operacional real, e não apenas um incomodo comercial, em território amigo.

Iida não tratou o incidente como um motivo para recuar. Classificou de "inevitável" a adoção pelo Japão de tecnologia de IA avançada na ciberdefesa, alertando que "não seria surpreendente que o tempo entre a descoberta de uma vulnerabilidade e a sua exploração se reduzisse a uma fração, uma centésima ou uma milésima do que era antes" sem essas ferramentas.

O momento agrava a situação, não a melhora

A interrupção ocorreu menos de sete semanas antes de a Active Cyber Defense Act, aprovada pelo gabinete da primeira-ministra Sanae Takaichi em março, entrar em vigor a 1 de outubro de 2026. A lei autoriza o governo japonês a agir de forma preventiva perante riscos de ciberataque - exatamente o tipo de análise de vulnerabilidades proativa e acelerada por IA para a qual o Fable 5 e o Mythos 5 estavam a ser usados antes de Washington os desligar.

A Anthropic restabeleceu o acesso mundial ao Fable 5 a 1 de julho, após o levantamento das restrições dos EUA no final de junho, mas o Mythos, o mais capaz dos dois na descoberta de vulnerabilidades, só regressou para um grupo verificado de organizações norte-americanas. Isto significa que a ferramenta de que, segundo o próprio relato de Iida, Tóquio dependia para as análises governamentais pode ainda não estar totalmente disponível, três meses antes da entrada em vigor da Active Cyber Defense Act.

A lição vai muito além da Anthropic e do Japão

O mecanismo que prejudicou o Japão não foi uma política dirigida, mas um limite técnico comum: um fornecedor norte-americano pode ser legalmente obrigado a distinguir utilizadores nacionais de estrangeiros, descobrir que não consegue fazê-lo ao nível da aplicação, e optar por predefinição por desligar uma ferramenta para todos os clientes do mundo em vez de arriscar violar uma ordem de exportação. Este comportamento predefinido aplica-se a qualquer fornecedor de IA de ponta sediado nos EUA, perante qualquer diretiva futura, independentemente de quem esteja realmente implicado.

Para qualquer organização da UE ou do Reino Unido que tenha construído um processo crítico para a segurança - análise de vulnerabilidades, triagem de incidentes, auditoria de código - em torno de um único modelo estrangeiro de ponta, o caso do Japão é a prova mais clara até agora de que o governo do país do fornecedor pode desligar esse processo da noite para o dia, sem aviso prévio e sem exceção para os aliados, por uma questão que nada tem a ver com o cliente. A resposta prática não é evitar fornecedores de IA norte-americanos, mas sim garantir que nenhum fornecedor único se torne um ponto único de falha para algo que tenha de continuar a funcionar no dia em que chega uma ordem de exportação.

Leia a seguir: A Anthropic quer todos os modelos testados  |  O seu contrato de nuvem decide se fica com o Kimi K3