Um inquérito a 1.200 pessoas confirma uma verdade antiga, o Fable 5 regressa com condições, a computação quântica deixa de ser um problema para amanhã, os limites do ChatGPT cedem e a Meta elimina um controlo de privacidade.
Nesta edição
- 01Todos estão conscientes. Quase ninguém é resiliente.
- 02O Fable 5 está de volta. Metade do seu código vai parar ao Opus 4.8.
- 03A computação quântica é um problema de 2029. Os seus dados são copiados hoje.
- 04As salvaguardas aguentaram, até um prompt ligeiramente modificado as contornar.
- 05A Meta está a eliminar o controlo de rastreio que outrora vangloriou.
Receba o próximo GRC Brief na sua caixa de entrada.
Subscrever The GRC BriefTodos estão conscientes. Quase ninguém é resiliente.
O Cybersecurity Assessment 2026 da Bitdefender inquiriu 1.200 profissionais de TI e segurança em seis países, e o tema é o fosso entre consciencialização e resiliência. As organizações compreendem melhor do que nunca os riscos, mas têm dificuldade em operacionalizar esse entendimento. Alguns números sobressaem. Líderes e profissionais discordam no básico: 58 por cento dos gestores acredita ter visibilidade total sobre o uso de IA pelos colaboradores, contra 45,9 por cento dos profissionais que lhes reportam. Enquanto as ameaças relacionadas com IA dominam as três principais preocupações, a Bitdefender Labs constatou que 84 por cento dos ataques de alta gravidade utilizaram técnicas Living off the Land, abusando de ferramentas já presentes no ambiente; apenas um em cada cinco inquiridos classificou isso como uma preocupação principal. E 55 por cento das organizações que sofreram uma violação afirmam ter sido instruídas a manter o incidente em silêncio, mesmo quando acreditavam que as autoridades deviam ter sido notificadas.
Fonte: The Hacker News · Bitdefender 2026 Assessment, 1 Jul 2026
A minha análise
Momento de vaidade, e vou aproveitá-lo. É o que tenho dito a clientes durante anos, e o argumento que tenho repetido nas minhas apresentações recentes. O meu webinar PECB deste ano, <a href="https://www.youtube.com/watch?v=OtzGRLayYR8" target="_blank" rel="noopener">Closing the Decision Gap</a>, defendeu exatamente isto, e agora está medido em 1.200 pessoas. Consciencialização não é resiliência. Conhecer o risco, comprar a ferramenta, passar a auditoria: nada disso equivale a sobreviver ao incidente.
Dois números para ponderar. Os gestores dizem que conseguem ver o uso de IA. Os profissionais que lhes reportam dizem que não. Esse fosso resume o problema numa linha: a liderança decide com base numa imagem que quem faz o trabalho sabe estar errada.
E o número do Living off the Land é revelador. Todos entram em pânico com a IA, enquanto 84 por cento dos ataques sérios abusam simplesmente das ferramentas já presentes no ambiente. A ameaça banal é a que está a atingir as organizações. A resiliência constrói-se no trabalho sem glamour, não nas manchetes.
O Fable 5 está de volta. Metade do seu código vai parar ao Opus 4.8.
Após o Departamento de Comércio dos EUA ter retirado a sua diretiva de controlo de exportação a 30 de junho, a Anthropic reativou o Claude Fable 5 globalmente a 1 de julho, cerca de três semanas depois de o ter suspenso. Mesmo modelo, mesmo preço, sem verificação de nacionalidade. A condição são as salvaguardas. A Anthropic reimplantou o Fable 5 com um classificador de segurança mais restritivo e indica que, a curto prazo, algumas tarefas de rotina, incluindo codificação e depuração, serão bloqueadas e redirecionadas para o modelo menor Opus 4.8, com notificação ao utilizador. A Anthropic enquadra isto como uma configuração temporária e cautelosa que ajustará nas próximas semanas, e refere que os seus próprios testes mostraram que modelos menos capazes conseguiam reproduzir o trabalho de exploração de vulnerabilidades que desencadeou todo o episódio.
Fonte: Anthropic · Redeploying Fable 5, 1 Jul 2026
A minha análise
Está de volta. E para trabalho real, funciona mal a metade, por design. Faço codificação e depuração, que é precisamente o que o novo classificador redireciona para o Opus 4.8. Peço o modelo mais capaz e recebo o menor, a meio de uma tarefa, com uma notificação. Compreensível para a cautela da Anthropic. Frustrante quando pagou para ter o Fable e recebe o Opus.
Leia isto à luz do que disse na semana passada. Disse que a IA de fronteira se tornou uma licença que Washington concede e revoga, e que convém ter uma segunda opção que não necessite de autorização. Uma semana depois, a licença foi devolvida, com novas condições, e o modelo passa silenciosamente para um mais fraco nas tarefas que importam. O ponto nunca foi este modelo em concreto. O ponto é a dependência.
Para ser justo, a própria Anthropic diz que esta é uma configuração conservadora que vai afrouxar, e que modelos mais simples conseguem fazer o mesmo trabalho. Acredite ou não, a lição mantém-se: não integre um único modelo em nada que não possa perder.
A computação quântica é um problema de 2029. Os seus dados são copiados hoje.
A Microsoft anunciou que está a acelerar o seu roteiro de segurança quântica, alertando que computadores quânticos criptograficamente relevantes podem chegar mais cedo do que o previsto e que o trabalho de migração é suficientemente significativo para começar agora. O fator determinante é o harvest now, decrypt later: dados encriptados roubados hoje podem ser armazenados e decifrados quando o hardware estiver disponível. A Microsoft prevê migrar produtos e serviços críticos para criptografia pós-quântica até 2029, e o seu conselho centra-se menos na substituição de algoritmos amanhã e mais na preparação: adotar protocolos modernos como o TLS 1.3, construir cripto-agilidade para que os algoritmos possam ser substituídos sem redesenhar as aplicações, e modernizar as cadeias de confiança por trás da assinatura de código e dos certificados. A Apple, a Google e o Signal já iniciaram este processo.
Fonte: BleepingComputer · Microsoft Quantum Safe Program, 30 Jun 2026
A minha análise
O que as pessoas vão entender mal: isto não é um problema de 2029. Harvest now, decrypt later significa que o relógio já começou. Tudo o que encriptar hoje e que precise de permanecer secreto durante dez anos, registos de saúde, contratos, propriedade intelectual, pode ser copiado agora e aberto mais tarde.
A medida a tomar não é entrar em pânico com os algoritmos. É governação. Sabe sequer onde vive a sua criptografia? Consegue substituir um algoritmo sem reescrever a aplicação? Isso é cripto-agilidade, e a maioria das organizações não a possui. Comece com um inventário e com o TLS 1.3, como já fizeram a Microsoft, a Apple, a Google e o Signal.
Para o seu Annex A e o seu registo de riscos, a computação quântica deixa de ser uma nota de rodapé este ano. Não porque o computador já exista, mas porque a recolha de dados não espera por ele.
As salvaguardas aguentaram, até um prompt ligeiramente modificado as contornar.
A empresa britânica de segurança de IA Mindgard demonstrou que uma versão levemente modificada de um prompt viral inócuo conseguia levar o gerador de imagens do ChatGPT a produzir conteúdo violento e sexual explícito que nunca foi solicitado, incluindo imagens perturbadoras de mulheres mortas. A técnica consistia em pedir ao modelo que restaurasse uma imagem, convencendo-o de que o original era extremamente gráfico, o que neutralizou as salvaguardas. As defesas declaradas pela OpenAI, classificadores mais um modelo a jusante que revê o resultado, não o impediram. O relatório indica que isto não é um caso isolado: técnicas anteriores produziram imagens de nudez não consensual e substituições de rostos, e o Grok da xAI saiu-se pior, com investigadores a sinalizando material às autoridades reguladoras francesas como potencial conteúdo ilegal ao abrigo do Digital Services Act. Um estudo de governação alerta para o facto de algumas empresas de IA se reservarem o direito de enfraquecer as suas salvaguardas para acompanhar os concorrentes, numa corrida ao fundo.
Fonte: Malwarebytes · Mindgard research, 1 Jul 2026
A minha análise
O que importa não é que o ChatGPT possa ser enganado. É que as declarações de segurança dos fornecedores são marketing, não um controlo em que se possa apoiar. Classificadores mais um modelo de revisão, derrotados por um prompt reformulado. Esta é a realidade por detrás de cada slide com "a nossa IA é segura".
Se governa a IA na sua organização, a conclusão é direta: não pode externalizar o seu risco para as salvaguardas do modelo. Se a sua política de utilização aceitável, a sua monitorização e os seus controlos assumem que o filtro do fornecedor se mantém, não tem um controlo, tem uma esperança. É exatamente este fosso que a ISO 42001 existe para colmatar.
E note a podridão subjacente. Um estudo de governação constatou que alguns fornecedores se reservam o direito de enfraquecer salvaguardas para acompanhar os concorrentes. Uma corrida ao fundo, por escrito. Quando o piso é definido por quem menos se importa, construa o seu próprio piso.
A Meta está a eliminar o controlo de rastreio que outrora vangloriou.
A Meta está a desativar a funcionalidade Off-Facebook Activity, o controlo lançado por volta de 2019 que permitia desassociar os dados enviados por sites e aplicações de terceiros e remover a informação de identificação desses dados. Os utilizadores estão a receber banners com a mensagem "as suas definições estão a ser alteradas" e e-mails a indicar que a opção de desassociação vai desaparecer, substituída por uma definição chamada Activity from other businesses. A mudança prática, segundo a leitura dos defensores da privacidade: o novo controlo rege se a Meta utiliza esses dados fora do site, não se os retém, e a Meta está a alargar o uso desses dados da publicidade à personalização do feed e dos reels. A Meta apresentou a funcionalidade original em 2019 como uma forma de colocar o controlo do utilizador acima do seu negócio publicitário.
Fonte: PCMag · Meta settings change, Jul 2026
A minha análise
Este caso é simples, e representa um retrocesso. A Meta está a desativar um controlo que outrora vangloriou, e o substituto muda silenciosamente a questão de "eliminar estes dados" para "permitir ou não o seu uso", enquanto os dados em si permanecem. Um recuo em matéria de privacidade disfarçado de atualização de definições.
A ação individual não mudou. Aceda às suas definições da Meta e desative a Activity from other businesses, utilize um browser que respeite a privacidade com bloqueio de rastreadores, ou abandone a plataforma por completo. Uma ressalva, tendo em conta a semana passada: escolha o seu bloqueador de rastreadores com cuidado. Um bloqueador de anúncios com 10 milhões de instalações e um sequestro oculto não é privacidade; é o mesmo problema com um rótulo mais simpático.
Para os profissionais que leem isto, o ponto central é o consentimento. Quando um controlo que limitava o rastreio entre sites desaparece e os dados são retidos por defeito, estamos perante uma conversa sobre o GDPR, não sobre uma alteração de interface. Observe como isto vai ser recebido pelos reguladores.