Um inquérito a 1 200 pessoas confirma um ponto antigo, o Fable 5 regressa com condições, a computação quântica deixa de ser um problema do futuro, as barreiras de proteção do ChatGPT cedem e a Meta elimina um controlo de privacidade.
Nesta edição
- 01Toda a gente tem consciência do risco. Quase ninguém é resiliente.
- 02O Fable 5 regressou. Mas metade do código continua a ir parar ao Opus 4.8.
- 03A computação quântica é um problema de 2029. Os seus dados já estão a ser copiados hoje.
- 04As barreiras de proteção aguentaram, até que um prompt ligeiramente modificado as atravessou.
- 05A Meta está a eliminar o controlo de rastreamento que um dia foi motivo de orgulho.
Receba o próximo GRC Brief na sua caixa de entrada.
Subscrever The GRC BriefToda a gente tem consciência do risco. Quase ninguém é resiliente.
O Cybersecurity Assessment 2026 da Bitdefender inquiriu 1 200 profissionais de TI e segurança em seis países, e o tema central é o fosso entre consciencialização e resiliência. As organizações compreendem os riscos melhor do que nunca, mas têm dificuldade em operacionalizar esse conhecimento. Alguns números sobressaem. Líderes e técnicos discordam nos pontos básicos: 58 por cento dos gestores acreditam ter visibilidade total sobre a utilização de IA pelos colaboradores, contra 45,9 por cento dos profissionais que lhes reportam. Embora as ameaças relacionadas com IA dominem as três principais preocupações, os Bitdefender Labs verificaram que 84 por cento dos ataques de elevada gravidade utilizaram técnicas de Living off the Land, que abusam de ferramentas já presentes no ambiente, sendo que apenas um em cada cinco inquiridos as classificou como preocupação prioritária. Além disso, 55 por cento das organizações que sofreram uma violação afirmam ter sido instruídas a manter o incidente em silêncio, mesmo quando consideravam que as autoridades deveriam ter sido notificadas.
Fonte: The Hacker News · Bitdefender 2026 Assessment, 1 Jul 2026
A minha análise
Momento de satisfação pessoal, e vou aproveitá-lo. É o que tenho dito a clientes durante anos e o tema que tenho repetido nas minhas intervenções recentes. O meu webinar PECB deste ano, <a href="https://www.youtube.com/watch?v=OtzGRLayYR8" target="_blank" rel="noopener">Closing the Decision Gap</a>, defendeu exatamente este argumento, e agora está medido em 1 200 pessoas. Consciencialização não é resiliência. Conhecer o risco, comprar a ferramenta, passar na auditoria, nada disso equivale a sobreviver ao incidente.
Dois números para ponderar. Os gestores dizem que conseguem ver a utilização de IA. Os profissionais que lhes reportam dizem que não. Esse fosso resume o problema numa linha: a liderança a decidir com base numa imagem que quem executa o trabalho sabe ser errada.
E o número do Living off the Land é revelador. Toda a gente entra em pânico com a IA, enquanto 84 por cento dos ataques sérios simplesmente abusam das ferramentas já presentes no ambiente. A ameaça banal é a que está a atingir as organizações. A resiliência constrói-se com trabalho pouco glamoroso, não com manchetes.
O Fable 5 regressou. Mas metade do código continua a ir parar ao Opus 4.8.
Após o Departamento de Comércio dos EUA ter retirado a sua diretiva de controlo de exportações a 30 de junho, a Anthropic restabeleceu o Claude Fable 5 para todos os utilizadores globalmente a 1 de julho, cerca de três semanas depois de o ter retirado. Mesmo modelo, mesmo preço, sem verificação de nacionalidade. A ressalva está nas salvaguardas. A Anthropic reimplementou o Fable 5 com um classificador de segurança mais restritivo e indica que, no curto prazo, algumas tarefas de rotina, incluindo programação e depuração de código, serão bloqueadas e redirecionadas para o modelo mais pequeno Opus 4.8, com notificação ao utilizador. A Anthropic apresenta esta configuração como uma medida cautelar temporária, que irá ajustar nas próximas semanas, e refere que os seus próprios testes demonstraram que modelos menos capazes conseguiam reproduzir o trabalho de análise de vulnerabilidades que desencadeou todo o episódio.
Fonte: Anthropic · Redeploying Fable 5, 1 Jul 2026
A minha análise
Portanto, regressou. E para trabalho real funciona mal, por design. Faço programação e depuração de código, que é exatamente o que o novo classificador redireciona para o Opus 4.8. Assim, escolho o modelo mais capaz e recebo o mais pequeno, a meio de uma tarefa, com uma notificação. Compreensível do ponto de vista da cautela da Anthropic. Frustrante quando se pagou pelo Fable e se recebe o Opus.
Leia isto à luz do que disse na semana passada. Disse que a IA de fronteira se tinha tornado numa licença que Washington concede e revoga, e que era preciso manter uma segunda opção que não precise de autorização. Uma semana depois, a licença foi devolvida, com novas condições, e o modelo passa silenciosamente para um mais fraco nas tarefas que me interessam. O ponto nunca foi este modelo em concreto. O ponto é a dependência.
Sendo justo, a própria Anthropic afirma que esta é uma configuração conservadora que irá relaxar, e que modelos menos capazes conseguem realizar o mesmo trabalho. Acredite ou não, a lição mantém-se: não integre um único modelo em algo que não possa perder.
A computação quântica é um problema de 2029. Os seus dados já estão a ser copiados hoje.
A Microsoft afirmou estar a acelerar o seu roteiro de segurança pós-quântica, alertando que os computadores quânticos criptograficamente relevantes podem chegar mais cedo do que o previsto e que o trabalho de migração é suficientemente significativo para começar agora. O principal fator é o harvest now, decrypt later: dados cifrados roubados hoje podem ser armazenados e desencriptados quando o hardware estiver disponível. A Microsoft prevê migrar produtos e serviços críticos para criptografia pós-quântica até 2029, e o seu conselho privilegia menos a substituição de algoritmos a curto prazo e mais a preparação: adotar protocolos modernos como o TLS 1.3, construir cripto-agilidade para que os algoritmos possam ser substituídos sem redesenhar as aplicações, e modernizar as cadeias de confiança por trás da assinatura de código e dos certificados. A Apple, a Google e a Signal já iniciaram este processo.
Fonte: BleepingComputer · Microsoft Quantum Safe Program, 30 Jun 2026
A minha análise
O que as pessoas vão entender mal: este não é um problema de 2029. O harvest now, decrypt later significa que o relógio já começou a correr. Tudo o que cifrar hoje e que precise de continuar secreto daqui a dez anos, registos de saúde, contratos, propriedade intelectual, pode ser copiado agora e aberto mais tarde.
A medida a tomar não é entrar em pânico com os algoritmos. É governança. Sabe sequer onde vive a sua criptografia? Consegue substituir um algoritmo sem reescrever a aplicação? Isso é cripto-agilidade, e a maioria das organizações não a tem. Comece por um inventário e pelo TLS 1.3, tal como a Microsoft, a Apple, a Google e a Signal já fizeram.
Para o seu Anexo A e para o seu registo de riscos, a computação quântica deixa de ser uma nota de rodapé este ano. Não porque o computador já exista, mas porque a recolha de dados não espera por ele.
As barreiras de proteção aguentaram, até que um prompt ligeiramente modificado as atravessou.
A empresa britânica de segurança de IA Mindgard demonstrou que uma versão ligeiramente modificada de um prompt viral inofensivo conseguia levar o gerador de imagens do ChatGPT a produzir conteúdo violento e sexual explícito que nunca tinha sido solicitado, incluindo imagens perturbadoras de mulheres mortas. O método consistia em pedir ao modelo que restaurasse uma imagem, convencendo-o de que o original era extremamente explícito, o que neutralizava as salvaguardas. As defesas declaradas pela OpenAI, classificadores combinados com um modelo a jusante que revê os resultados, não foram suficientes para o impedir. O relatório indica que isto não é um caso isolado: técnicas anteriores produziram imagens sexuais não consentidas e substituições de rostos, e o Grok da xAI teve resultados piores, com investigadores a reportar material às autoridades reguladoras francesas como potencial conteúdo ilegal ao abrigo do Digital Services Act. Um estudo de governança alerta para o facto de algumas empresas de IA se reservarem o direito de enfraquecer as suas salvaguardas para acompanhar os concorrentes, uma corrida para o fundo.
Fonte: Malwarebytes · Mindgard research, 1 Jul 2026
A minha análise
O que importa não é que o ChatGPT possa ser enganado. É que as declarações de segurança dos fornecedores são marketing, não um controlo em que se possa confiar. Classificadores combinados com um modelo de revisão, derrotados por um prompt reformulado. Esta é a realidade por detrás de cada apresentação com o slide «a nossa IA é segura».
Se governa IA na sua organização, a conclusão é direta: não pode externalizar o seu risco para as barreiras de proteção do modelo. Se a sua política de utilização aceitável, a sua monitorização e os seus controlos assumem que o filtro do fornecedor se mantém, não tem um controlo, tem uma esperança. É exatamente este fosso que o ISO 42001 existe para fechar.
E note o que está por baixo. Um estudo de governança revelou que alguns fornecedores se reservam o direito de enfraquecer as salvaguardas para acompanhar os concorrentes. Uma corrida para o fundo, por escrito. Quando o piso é definido por quem menos se preocupa, construa o seu próprio piso.
A Meta está a eliminar o controlo de rastreamento que um dia foi motivo de orgulho.
A Meta está a descontinuar o Off-Facebook Activity, o controlo que lançou por volta de 2019 e que permitia desligar os dados que sites e aplicações de terceiros lhe enviavam, removendo a informação identificativa desses dados. Os utilizadores estão a receber banners com a mensagem «as suas definições estão a mudar» e e-mails a informar que a opção de desligamento vai desaparecer, substituída por uma definição chamada Activity from other businesses. A alteração prática, na leitura dos defensores da privacidade: o novo controlo determina se a Meta utiliza esses dados externos, não se os retém, e a Meta está a alargar a utilização desses dados da publicidade para a personalização do feed e dos reels. A Meta apresentou a funcionalidade original em 2019 como uma forma de colocar o controlo do utilizador acima do seu negócio publicitário.
Fonte: PCMag · Meta settings change, Jul 2026
A minha análise
Este caso é simples, e representa um retrocesso. A Meta está a descontinuar um controlo de que um dia se orgulhou, e a substituição muda silenciosamente a pergunta de «eliminar estes dados» para «deixar utilizá-los ou não», enquanto os dados em si ficam retidos. Um retrocesso em matéria de privacidade disfarçado de atualização de definições.
A medida individual não mudou. Entre nas definições da sua conta Meta e desative o Activity from other businesses, utilize um browser que respeite a privacidade com bloqueio de rastreadores, ou saia definitivamente. Uma ressalva, tendo em conta o que foi dito na semana passada: escolha cuidadosamente o seu bloqueador de rastreadores. Um bloqueador de anúncios com 10 milhões de instalações e um sequestro oculto não é privacidade, é o mesmo problema com uma etiqueta mais simpática.
Para os profissionais que leem esta newsletter, o ponto central é o consentimento. Quando um controlo que limitava o rastreamento entre sites desaparece e os dados são retidos por defeito, isso é uma conversa sobre GDPR, não um ajuste de UX. Acompanhe como os reguladores vão reagir.