Olá a todos!
Disclaimer do costume, e hoje faz falta: eu corro modelos locais, tenho um preconceito assumido a favor do on-premise e escrevo sobre isso aqui há c’anos. Portanto, quando aparece uma história em que a nuvem fica mal na fotografia, vocês têm todo o direito de desconfiar do entusiasmo com que eu pego nela. Vou tentar merecer o benefício da dúvida sendo chato com uma coisa: nada do que se segue está provado. Há acusações, há negações formais, e há um indício incómodo que ninguém de fora consegue verificar. É precisamente essa impossibilidade de verificação que me interessa, muito mais do que a culpa de quem quer que seja.
O que aconteceu, em poucas linhas
A 1 de agosto, a OpenAI anunciou que uma versão interna do modelo a que chama Astra tinha produzido resultados novos para dez problemas em aberto de matemática e de ciência da computação teórica, todos com pelo menos uma década de vida. Publicou um manuscrito de 249 páginas e certificados Lean 4 para os dez resultados, num repositório de GitHub sob Apache 2.0, com contagem de sorry igual a zero, ou seja, sem um único passo por demonstrar. O custo de compute apontado para gerar as dez soluções publicadas rondou os 2000 dólares.
O resultado que abriu os noticiários foi a construção explícita de um grupo não sófico, uma pergunta que estava aberta desde que Mikhail Gromov introduziu a noção de soficidade em 1999. Vinte e sete anos sem resposta, e de repente um exemplo, verificado por máquina.
O passo técnico central desse resultado assenta diretamente num artigo de 2019 de Gábor Kun e Andreas Thom, e num resultado de 2016 de Kun.
Andreas Thom é teórico de grupos na TU Dresden e passou duas décadas nesta zona da matemática. Quando viu o anúncio, escreveu por email a dois investigadores da OpenAI, Mark Sellke e Sébastien Bubeck, a dizer que ele e um colega de Dresden tinham andado meses a discutir o problema do emparelhamento em expansores, e extensões do trabalho com Kun, dentro do ChatGPT. E fez duas perguntas concretas: essas conversas entraram nos dados de treino, e estavam acessíveis ao processo de raciocínio que resolveu o problema?
A resposta de Sellke, na íntegra, foi uma linha: quanto às conversas com o ChatGPT, isso não aconteceu.
A metade de uma pergunta
Foi só semanas depois, com outra polémica a rebentar, que Thom voltou a olhar para aquela frase e percebeu o que ela tem de estranho.
Ele tinha feito duas perguntas distintas. Treino e acesso. São coisas tecnicamente diferentes: uma é o modelo ter sido moldado por aqueles textos durante o treino, a outra é o sistema ir buscar dados de utilizador enquanto trabalha. Uma negação categórica de sete palavras cobre as duas coisas por arrastamento, sem dizer qual delas está realmente a negar, sem qualificação, sem explicação e sem base. Thom descreve isto, publicamente, como desonestidade no mínimo dos mínimos.
O que fez a moeda cair foi a OpenAI ter dito, no caso seguinte, uma frase que muda tudo de figura: que nenhum dado específico de utilizador foi acedido, mas que não pode excluir que dados desidentificados derivados da utilização dos seus produtos tenham ajudado a melhorar os modelos.
Leiam isso devagar, porque é uma obra de arte de engenharia jurídica. “Nenhum dado específico foi acedido” e “não podemos excluir que dados derivados da tua utilização melhoraram os modelos” são compatíveis entre si. E a segunda parte é, na prática, uma admissão de que ninguém lá dentro consegue traçar o caminho de um texto teu até aos pesos do modelo. Se conseguissem, diriam que sim ou que não.
Thom acrescenta dois pormenores que valem pelo que revelam do sistema, não pelo que provam do caso. Primeiro: desligou o treino a 29 de junho. Essa opção é prospetiva, não retroativa, e não é auditável por quem a liga. Tu carregas num interruptor e recebes uma promessa. Não recebes um recibo, um log, um hash, nada que possas mostrar a um auditor daqui a dois anos. Segundo: a abordagem que ele e Kun tinham aberto não era sequer a favorita da comunidade para atacar a não-soficidade. A maioria dos investigadores apostava em métodos vindos dos jogos quânticos. O Astra foi pela porta dele.
Isto não prova nada. Coincidências acontecem, sobretudo quando um modelo treinado em toda a literatura disponível encontra um artigo publicado em 2019 e decide que aquilo é promissor. O artigo de Kun e Thom é público. Ninguém precisa das conversas privadas para o ler.
Guardem na mesma a sensação, porque ela repete-se na história seguinte com uma precisão que começa a incomodar.
O segundo caso, e este tem um pormenor que devia arrepiar qualquer pessoa que trabalhe com IA
A 8 de setembro, Tristan Buckmaster, do Courant Institute da NYU, publicou três demonstrações feitas com Levent Alpöge, matemático que trabalha na Anthropic mas que ali estava a título pessoal. Resultados de blow-up em tempo finito para as equações de Euler incompressíveis em 3D, Boussinesq e meios porosos incompressíveis, sob forçamento suave, prolongando um programa aberto por Diego Córdoba e Luis Martínez-Zoroa, formalizados em Lean. Terence Tao chamou-lhe uma realização notável. Essa parte não está em disputa por ninguém.
Poucas horas depois, a OpenAI publicou aquilo a que chamou uma demonstração completa do problema central de existência e suavidade para Navier-Stokes, um dos sete problemas do milénio. Modelo interno não lançado, descrito como significativamente mais capaz do que o Astra, cerca de dez mil agentes a coordenar-se durante 88 horas, 300 mil milhões de tokens de saída, milhões de dólares de compute.
E depois vem o relato de Buckmaster, que publicou antes do anúncio, numa declaração de quatro páginas.
Segundo ele: avisou proactivamente um matemático ligado à OpenAI, a 3 de setembro, de que o trabalho era pessoal e sem ligação institucional a nenhuma das empresas. Dias mais tarde soube que um modelo interno já tinha produzido uma demonstração de cerca de 100 páginas para Navier-Stokes forçado. A rota usada era a das opções c e d na formulação de Fefferman do problema, exatamente o caminho estreito que ele e Alpöge tinham escolhido em silêncio durante quase um ano, e que quase ninguém mais estava a percorrer. Foi-lhe dito, inicialmente, que o modelo tinha recebido apenas o enunciado, com muito pouca intervenção humana, versão que, segundo ele, se foi desfazendo ao longo de duas chamadas à medida que a equipa passava correções ao vivo: afinal havia uma equipa inteira no problema, tinham sido tentadas várias abordagens, houve aquecimento com uma versão de Euler, e até o prompt que lhe mostraram tinha sido gerado a pedir a um Codex que o escrevesse.
Agora a parte que interessa a este blog.
Buckmaster e Alpöge usaram o Codex ao longo de todo o projeto, e guardaram os rascunhos das demonstrações e as notas de trabalho dentro das sessões do Codex. Ele perguntou diretamente se o modelo interno tinha sido treinado nesses dados de sessão, ou tinha tido acesso a eles. Disseram-lhe que o modelo não consulta dados de utilizador. Quando insistiu com a segunda pergunta, a do treino, diz que não obteve resposta nenhuma.
É a mesma fenda. A mesma pergunta partida ao meio, com a metade confortável respondida e a outra deixada no ar.
Buckmaster foi escrupuloso a dizer que não sabe a resposta e que não está a acusar ninguém de o ter feito. Só regista que perguntou duas vezes e que ficou sem resposta.
O resto da história é feio mas é lateral ao meu argumento: Buckmaster alega que lhe foram propostas duas saídas, uma publicação coordenada ou um artigo assinado só por ele a creditar o modelo interno, com Alpöge fora da autoria por trabalhar num concorrente, e que Bubeck lhe terá dito “porque é que ias arruinar a tua carreira?” e, depois, que não tinha de ser simpático. Bubeck classificou as alegações como falsas e inflamatórias, publicou textos que, diz, mostram uma proposta de lançamento coordenado feita de boa-fé, e nega em absoluto ter pedido a remoção de Alpöge da autoria do próprio trabalho dele. Sam Altman defendeu-o publicamente e confirmou, de passagem, uma coisa curiosa: o esforço arrancou por causa de rumores na internet de que modelos da Anthropic teriam resolvido um problema do milénio, e a OpenAI ficou curiosa em saber se os seus também conseguiam.
Não estive nas chamadas. Vocês também não. Não faço ideia de quem tem razão sobre o tom, sobre as propostas de autoria ou sobre quem foi simpático com quem, e não é isso que me traz aqui.
O que me traz aqui é uma pergunta técnica, feita duas vezes por duas pessoas diferentes, em dois casos separados por mais de um mês, à qual não foi dada resposta. E o facto, muito mais desconfortável, de que essa resposta não pode ser obtida de fora. De modo nenhum. Por ninguém.
A assimetria que teima não se consegue fechar
Vamos ser rigorosos sobre o que aqui está em causa, porque é a raiz de tudo.
Suponham que a OpenAI é inteiramente honesta (LOL) e que nada disto aconteceu. Perfeitamente possível. Ambos os resultados assentam em artigos publicados. Ambas as rotas eram descobríveis por um modelo que leu a literatura toda. A explicação inocente é plausível e eu, sinceramente, acho-a mais provável do que a alternativa.
Repare-se no que isso não muda.
Thom e Buckmaster continuam sem forma de o saber. Tu e eu continuamos sem forma de o saber. A única entidade no planeta que consegue responder àquela pergunta é a própria empresa a quem a pergunta é feita, e a resposta que ela dá é, no melhor dos casos, uma afirmação sobre processos internos que ninguém pode inspecionar. Não há registo. Não há prova criptográfica. Não há auditoria de terceiro. Há uma frase.
Em segurança aprendemos há décadas a não aceitar isto. Não confiamos que o fornecedor cifra bem, exigimos o algoritmo e a chave. Não confiamos que apaga os dados, exigimos política de retenção e prova. Mas na IA generativa, uma indústria inteira aceitou, em três anos, um modelo de confiança que não aceitaria num serviço de backup. Mandamos o trabalho não publicado para dentro de uma caixa e ficamos à espera que a caixa se porte bem.
E notem que o problema não desaparece com boa-fé do outro lado. Mesmo uma empresa honesta não consegue, hoje, dizer-te com certeza técnica se um texto teu de março influenciou os pesos de um modelo de setembro. É por isso que a formulação usada é aquela: não podemos excluir. Não é cinismo, é a descrição exata do estado da arte. Os pipelines de dados são gigantescos, passam por desidentificação, por agregação, por destilação sintética, e no fim ninguém tem um grafo de proveniência que ligue um token de saída a uma conversa de entrada.
A pergunta do Thom não tem resposta porque o sistema não foi construído para a ter.
E se não fores matemático?
Alguém vai dizer que isto é uma refrega entre académicos por causa de umas equações. Deixem-me traduzir.
Aquilo que Thom tinha dentro do ChatGPT era duas décadas de trabalho por publicar. Aquilo que Buckmaster e Alpöge tinham dentro das sessões de Codex eram rascunhos de demonstrações inéditas para um problema com um prémio de um milhão de dólares.
Agora substitui isso pelo que a tua empresa lá mete todos os dias.
O contrato de fornecimento que ainda não foi assinado, colado inteiro na caixa de texto para pedir um resumo das cláusulas. O relatório de due diligence. A memória descritiva de uma invenção que ainda vai dar entrada no INPI, e onde o requisito de novidade é literalmente a diferença entre ter patente e não ter nada. O código proprietário que é a única coisa que distingue o vosso produto do da concorrência. A base de dados de clientes que alguém colou para “só arranjar os formatos”. A tese de doutoramento de quem está no terceiro ano. O plano de despedimentos. O parecer jurídico. A proposta que vai a concurso público na sexta-feira.
Tudo isso vai pelo mesmo tubo, com os mesmos termos e a mesma resposta possível às mesmas perguntas.
E, diga-se o que se disser sobre estes dois casos concretos, há uma coisa que não é alegação nenhuma: os utilizadores do escalão de consumo estão, por omissão, a contribuir para melhorar os modelos. Isso está escrito e assumido. A discussão pública é só sobre os limites disso, sobre o que conta como desidentificado e sobre o que acontece antes de carregares no interruptor.
O argumento que não depende de má-fé de ninguém
Aqui está a parte que eu queria mesmo escrever, e que sobrevive mesmo que amanhã se prove que a OpenAI se portou impecavelmente nos dois casos (novamente LOL).
Em maio de 2025, um tribunal federal norte-americano ordenou à OpenAI que preservasse indefinidamente os logs de saída do ChatGPT, no processo movido pelo New York Times e outros editores. Conversas apagadas incluídas. Conversas temporárias incluídas. A empresa opôs-se com força, disse publicamente que aquilo colidia com os seus compromissos de privacidade, recorreu, e perdeu. Os utilizadores que tentaram intervir foram considerados terceiros sem legitimidade no processo. A ordem prospetiva só foi levantada em outubro de 2025, e aquilo que já tinha sido preservado continuou preservado. Depois, em janeiro de 2026, um juiz confirmou a ordem que obriga à entrega de uma amostra de 20 milhões de conversas desidentificadas aos queixosos. E em julho de 2026 os editores pediram sanções, alegando, entre outras coisas, que a empresa apagou ou comprimiu milhares de milhões de conversas apesar da ordem de preservação.
Agora, parem e olhem para isto, porque não interessa nada quem tem razão no processo.
A tua política de privacidade com um fornecedor é um contrato entre ti e ele. Não é oponível a um tribunal de um país terceiro que decida o contrário. O teu direito ao apagamento, o teu opt-out, a promessa de retenção a trinta dias, tudo isso vale até ao dia em que um juiz noutra jurisdição, num litígio em que tu não és parte e sobre o qual não tens qualquer influência, decide que aqueles dados são prova. Nessa altura o teu fornecedor pode ser o melhor do mundo, pode lutar por ti com os melhores advogados, e perder na mesma. Foi exatamente o que aconteceu.
Houve mitigações, é justo dizê-lo: as contas empresariais com retenção zero na API não foram abrangidas, o ChatGPT Enterprise foi excluído da preservação, e as conversas originadas no Espaço Económico Europeu, no Reino Unido e na Suíça ficaram de fora da retenção prospetiva. Ótimo. Reparem no que isso significa, ainda assim: a tua proteção depende do escalão que compraste, da geografia onde estás e do resultado de um processo judicial noutro continente. É uma proteção contratual e jurisdicional. Não é uma propriedade técnica do sistema.
E é aqui que eu acho que a comunidade matemática está a descobrir, com muito estardalhaço e alguma ingenuidade, uma coisa que os engenheiros de sistemas deviam ter interiorizado há anos. Se o teu trabalho não publicado depende, para se manter não publicado, do bom comportamento de uma empresa, dos termos que ela pode alterar e de tribunais onde tu não tens voz, então ele não está protegido. Está emprestado.
O que a infraestrutura própria te dá aqui, e o que não te dá
Irei ser honesto sobre os limites antes de fazer o elogio, que é o mínimo depois de vos ter pedido para desconfiarem de mim no início.
Um modelo aberto a correr no teu rack não vai resolver Navier-Stokes. Não vai orquestrar dez mil agentes durante 88 horas. Não vai chegar aos 300 mil milhões de tokens de saída que a OpenAI diz ter queimado naquela corrida. Se a tua necessidade é fronteira absoluta de capacidade, a fronteira está alugada e não é tua. Quem vos disser o contrário está a vender-vos qualquer coisa.
Bem até pode, mas o dinheiro investido irá ser algo de outro planeta.
O que a infraestrutura própria te dá é outra coisa, e é uma coisa que dinheiro nenhum compra do lado de lá: uma resposta verificável à pergunta do Thom.
Se os pesos estão no teu disco, se a inferência corre nas tuas GPUs, se o egress está fechado com uma allowlist e se os logs são teus, então quando alguém te perguntar “as nossas conversas entraram no treino de alguém?” tu não respondes com uma promessa. Respondes com topologia. Não saiu daqui porque não há por onde sair, e eu mostro-te a regra da firewall. Essa é uma frase de natureza completamente diferente de “isso não aconteceu”.
Reparem que o argumento mudou de forma face ao que eu costumo escrever. Não é performance, não é custo por token, não é latência, e nem sequer é segurança no sentido clássico. É proveniência. É poderes provar, a ti próprio, a um cliente, a um revisor, a um auditor ou a um advogado, onde é que a tua propriedade intelectual esteve e onde é que ela não esteve. É a diferença entre teres uma política e teres uma prova.
Na prática, para quem quiser sair do “isto preocupa-me” e chegar ao “isto está tratado”, o caminho é conhecido e nada disto é exótico em 2026. Pesos abertos que se descarregam e se guardam, servidos com vLLM ou llama.cpp, com Ollama para quem quer simplicidade, e uma interface como o Open WebUI por cima para que as pessoas não sintam que perderam o ChatGPT. Autenticação a sério. Egress filtrado no ambiente de inferência, porque um ambiente de IA que fala com a internet inteira por omissão é um desenho de exfiltração à espera de acontecer. E, já agora, o Lean corre na tua máquina: a camada que verifica se uma demonstração está certa é software aberto, não precisa de fornecedor nenhum e não manda nada para lado nenhum.
Hardware, o eterno “quanta VRAM é que eu preciso”. Para uma equipa pequena, uma máquina de memória unificada generosa, do género de um Mac Studio bem servido ou de um mini-PC com 128 GB partilhados, corre modelos de pesos abertos muito competentes para redação, análise de documentos e código do dia a dia. Para uma PME que queira servir várias pessoas em simultâneo, uma workstation com uma GPU profissional de 96 GB, ou duas placas de consumo com bastante VRAM, já dá um serviço interno sério. Para um centro de investigação, isto é um nó, não um projeto. Nenhum destes cenários é o orçamento de uma multinacional, e todos eles custam menos do que um único incidente em que se descobre que a memória descritiva de uma patente andou a passear.
Não é tudo ou nada, e quem vos disser que é está a mentir
Eu não corro tudo em on-prem e não vou fingir que sim. O que faço, e recomendo, é classificar antes de decidir.
Há trabalho que não tem qualquer problema em ir para um modelo de fronteira na nuvem: texto público, tradução de coisas que vão ser publicadas de qualquer maneira, brainstorming genérico, código de exemplo que não é segredo de ninguém. Usem a melhor ferramenta e não tenham culpa nenhuma.
E há uma categoria que nunca sai da vossa rede, e que convém escrever numa política de três linhas que toda a gente perceba: invenções antes de registo, contratos por assinar, dados pessoais de clientes, investigação por publicar, código que constitui o vosso diferencial, e tudo o que esteja debaixo de um acordo de confidencialidade. Para essa categoria, não interessa se o fornecedor é bom ou mau. Interessa que ela fica dentro de portas.
A parte boa é que esta separação é automatizável. Um router à frente das aplicações decide, por regras, o que vai para fora e o que vai para dentro, e as pessoas deixam de ter de tomar essa decisão a cada prompt, às onze da noite, com um prazo a apertar. Já escrevi aqui sobre isso e continua a ser a melhoria com melhor retorno que conheço: tirar a escolha da mão de quem está com pressa.
E se tiverem mesmo de usar a nuvem para coisas sensíveis, comprem o escalão que vos dá retenção zero e ausência contratual de treino, com um DPA assinado. É melhor do que nada. Lembrem-se apenas do que estas duas semanas mostraram: é uma promessa contratual que vocês não conseguem auditar, num pipeline que nem o fornecedor consegue rastrear na totalidade, sujeita a tribunais onde vocês não têm assento.
O que isto me ensinou
A frase que me vai ficar não é nenhuma das acusações. É a que a OpenAI escreveu voluntariamente: não podemos excluir que dados desidentificados derivados da vossa utilização tenham ajudado a melhorar os nossos modelos.
Isso não é um deslize de comunicação. É a descrição honesta de como esta indústria funciona, dita em voz alta por acidente. Ninguém consegue traçar o caminho entre o que tu escreves e o que o modelo se torna. Nem os que te querem enganar, nem os que te querem proteger.
Perante um sistema com essa propriedade, exigir transparência é uma reivindicação justa e provavelmente inútil, porque a informação necessária não existe em lado nenhum para ser divulgada. A única jogada que te devolve controlo não é pedir melhores respostas. É pôr-te numa posição em que a pergunta deixa de precisar de resposta.
Por isso, o meu conselho para esta semana é pequeno e concreto, como costuma ser. Não é comprares um rack. É abrires o histórico do assistente que a tua equipa usa e leres as últimas trinta conversas com olhos de quem está a ler documentos de outra pessoa. Vais encontrar lá coisas que, escritas num email para fora da empresa, te fariam parar a meio.
Se isso te deixar desconfortável, ainda bem. Já sabes a diferença entre o que a tua política diz e o que a tua infraestrutura faz.
Fiquem bem, fechem esse egress, e não ponham lá dentro nada que não estejam dispostos a ver a sair pela porta que vocês não controlam.
Abraço
Nuno
Fontes e leitura adicional: o relato de Andreas Thom está no Mathstodon, com síntese na Notebookcheck e no OfficeChai; o anúncio dos dez resultados do Astra e os certificados Lean estão cobertos pelo SiliconANGLE e pelo The Next Web; o caso Navier-Stokes está no TechCrunch, na Fortune, na Scientific American e no Axios; o detalhe das sessões de Codex e da pergunta sem resposta está no OfficeChai; a resposta de Sébastien Bubeck e o apoio de Sam Altman estão resumidos no The Next Web; e o processo dos logs está descrito pela própria OpenAI, pelo Engadget, pela Bloomberg Law e pelo National Law Review.
Este post foi escrito com o auxílio de um LLM privado. Obrigado Gabriel pelo alerta inicial.
