Em 2 de setembro, o deputado Greg Casar publicou sua correspondência de acompanhamento com OpenAI e Anthropic sobre grandes incidentes de cibersegurança, junto com as respostas de ambas as empresas. A cobertura que se seguiu transformou isso em uma história sobre a OpenAI desenvolver uma capacidade automatizada de desligamento. O material mais incisivo do comunicado é direcionado à outra empresa.
O que a carta diz
A linguagem de Casar, citada em seu próprio comunicado à imprensa, é incomumente direta para uma correspondência de acompanhamento: "Sua resposta foi insuficiente. Vocês deixaram de divulgar os registros, como a carta solicitava. Vocês deixaram de responder integralmente à maioria das perguntas feitas na carta." Em seguida, ele aponta a omissão específica — a resposta "não abordou nossa pergunta sobre quantas vezes, no último ano, um modelo implantado internamente" esteve envolvido em um incidente — e conclui que a empresa "não está tratando esses incidentes de cibersegurança com a seriedade exigida." Ele pede que ambas as empresas respondam até 15 de setembro.
Duas cartas, uma narrativa
Casar enviou acompanhamentos às duas empresas e publicou ambos, junto com a carta-resposta de cada uma. O ciclo de cobertura escolheu a revelação que rendia a melhor manchete — a OpenAI descrevendo trabalho em desligamento automatizado para suas ferramentas — e em grande parte deixou de lado a segunda via. Pelo critério aplicado pelo próprio gabinete, responder às perguntas feitas, o registro publicado em 2 de setembro é pior para a Anthropic do que para a OpenAI.
O que a formulação comum erra
Uma carta de acompanhamento do Congresso não é uma investigação, uma intimação nem uma conclusão. Nada aqui obriga a entrega dos registros; o que existe é um membro da minoria pedindo de novo, em público, com uma data anexada. Tratar o prazo de 15 de setembro como um marco de fiscalização exagera seu significado. A leitura correta é mais estreita e ainda assim relevante: ambos os laboratórios de fronteira foram solicitados a enviar registros de incidentes, ambos se recusaram a fornecê-los, e um dos dois também deixou sem resposta a maior parte das perguntas substantivas.
A pergunta que ninguém respondeu
O item sem resposta é o que vale acompanhar. Quantas vezes um modelo implantado internamente foi implicado em um incidente de segurança no laboratório que o criou não é uma divulgação que qualquer desenvolvedor de fronteira faça atualmente, em um documento protocolado, um sistema card ou um relatório de transparência. É também a pergunta que separa a avaliação de segurança publicada da realidade operacional. Ambas as empresas têm até 15 de setembro para dizer se vão respondê-la.