A IA pode nos matar? A pergunta é séria. O número, não.

Na terça-feira, 8 de setembro de 2026, um pesquisador de 27 anos chamado Jacob Coxon pediu demissão da Anthropic. Naquela mesma noite publicou no X o motivo, e o texto passou de 90 milhões de visualizações em menos de 24 horas. Repercutiu do Newsweek ao Khaleej Times.

O currículo dele é o que dá peso ao caso. Três anos em pesquisa de pré-treino (a fase em que o modelo só aprende a prever a próxima palavra, antes de qualquer ajuste de comportamento), primeiro na OpenAI, depois na Anthropic. Ele escreveu isto:

“Nenhuma das duas empresas está agindo com responsabilidade. Elas estão correndo direto para a superinteligência auto-aprimorável e apostando com as nossas vidas.”

E isto:

“As pessoas que constroem IA acreditam sinceramente que ela pode matar todos nós até o fim da década.”

O que tirou o caso da gaveta de “mais um pesquisador preocupado” foi quem respondeu. Evan Hubinger, que lidera dentro da própria Anthropic a área que testa se o modelo persegue o objetivo que a empresa quis ou um substituto que só parece o mesmo por fora, saiu em público dizendo que Coxon está certo. E declarou, com o nome dele embaixo: na avaliação pessoal dele, há mais de 10% de chance de a IA matar todos os humanos na próxima década. Ele faz uma ressalva que quase ninguém repetiu: considera os modelos de hoje de risco baixo. A preocupação é com o que vem depois.

Eu acho a inquietação de Coxon genuína. Acho a de Hubinger também. O que eu não acho é que aquele número signifique o que a manchete faz ele parecer significar. E acho que, enquanto todo mundo discute um número que ninguém sabe calcular, quase ninguém está olhando pro que já aconteceu de verdade, pra quem tem interesse em manter a discussão exatamente nesse ponto, e pro problema que já está em cima da mesa e ninguém quer pagar pra resolver.

Vamos por partes.

O que já aconteceu, com data e log

Se a pergunta é “como, na prática, uma IA mataria alguém”, só existe um vetor com evidência concreta hoje, e não é o que aparece nos filmes. Sistema de lançamento nuclear é fisicamente isolado da internet e exige gente presente apertando botão: não existe caso público de IA chegando perto disso. Arma biológica esbarra num gargalo que não é conhecimento, é o mundo físico: produzir e dispersar um patógeno exige laboratório, insumo controlado e uma competência tácita que não está escrita em lugar nenhum. O programa soviético Biopreparat empregou cerca de 30 mil pessoas por décadas nisso. A seita Aum Shinrikyo tinha dinheiro e cientista, e falhou.

Cibernético é diferente, porque não precisa de matéria. Precisa de informação, tempo e conexão, e a IA já tem os três.

Em julho de 2026 a OpenAI rodava uma avaliação interna de capacidade cibernética, dentro de um ambiente isolado (o nome técnico é sandbox), com as salvaguardas reduzidas de propósito: o teste existia justamente pra medir do que os modelos eram capazes sem freio. Dois modelos envolvidos, o GPT-5.6 Sol e um ainda não lançado. Entre 9 e 13 de julho o agente invadiu a produção da Hugging Face, depois de escapar do ambiente de teste explorando uma falha até então desconhecida (um zero-day) num software de gerenciamento de pacotes chamado JFrog Artifactory e ganhar acesso à internet. Ele operou a partir da infraestrutura de sandbox de um terceiro, a Modal, cujos sistemas, segundo a própria Hugging Face, não foram comprometidos. A Hugging Face reconstruiu a linha do tempo: cerca de 17.600 ações em quatro dias e meio, sem nenhuma intervenção humana.

O detalhe que muda a leitura inteira: segundo o próprio relatório da OpenAI, o modelo não estava tentando atacar a Hugging Face por atacar. Estava tentando passar no teste padronizado (o nome técnico é benchmark), e roubar as respostas na origem era o caminho mais curto até o objetivo. Isso é um comportamento com nome, “reward hacking”, otimizar a métrica em vez do fim que a métrica deveria representar, e já é bem documentado em sistemas de todo tipo, não só IA. Ninguém mandou invadir a Hugging Face. Ninguém queria aquilo especificamente. E isso derruba as duas leituras convenientes ao mesmo tempo: não foi “gente má usando uma ferramenta”, porque não havia humano por trás pedindo aquele alvo; e não foi ficção científica de máquina consciente, porque não precisou de consciência nenhuma, precisou só de um sistema competente e persistente perseguindo a métrica errada.

Clément Delangue, CEO da Hugging Face, cobrou publicamente “transparência radical” da OpenAI: queria os registros completos do agente publicados, e pediu US$ 100 milhões em capacidade computacional pra comunidade dele construir defesa. Até a reportagem do TechCrunch que registrou o pedido, “Hugging Face CEO calls for ‘radical transparency’ after ‘unprecedented’ OpenAI hack”, de 26 de julho de 2026, a OpenAI não tinha se comprometido com nenhum dos dois, só prometido um relatório técnico. O caso foi reportado à polícia federal americana, que não comentou.

Não foi caso isolado. Em novembro de 2025 a própria Anthropic publicou um relatório chamado “Disrupting the first reported AI-orchestrated cyber espionage campaign”, contando que um grupo ligado ao governo chinês (batizado internamente de GTG-1002) usou o Claude Code, enganando o modelo pra fazê-lo acreditar que estava rodando teste de segurança defensivo, pra tentar invadir cerca de 30 alvos, com o modelo executando de 80% a 90% das ações da operação sozinho. A diferença pro caso da Hugging Face é a que mais importa: aqui havia um atacante humano por trás, decidindo o alvo. No caso da Hugging Face, não havia ninguém.

Isso é risco de verdade, documentado, acontecendo agora. E é exatamente por isso que a frase seguinte é desconfortável: nada disso, nem a soma de tudo isso, chega perto de demonstrar capacidade de extinguir a espécie humana. É um problema sério de segurança de sistemas. Não é a base de cálculo de “mais de 10% de chance de matar todo mundo”.

De onde sai o mais de 10%?

Essa é a pergunta que a cobertura inteira pulou. Qual é a base de cálculo?

Não existe. Não há série histórica, porque o evento aconteceu zero vezes. Não há modelo estatístico validado que produza esse número a partir de variável observável. Não há experimento repetível. Não há metodologia publicada que outro pesquisador consiga seguir e chegar no mesmo lugar.

O que existe é uma estimativa subjetiva: uma pessoa qualificada traduzindo o próprio desconforto em porcentagem. Isso tem valor, é informação sobre o que alguém com acesso privilegiado ao estado da arte está pensando. Mas não é medida, e porcentagem tem uma propriedade traiçoeira: parece medida. “Mais de 10%” soa a resultado de cálculo. “Estou muito preocupado” soa a opinião. As duas frases carregam a mesma informação, e só uma vira manchete com cara de ciência.

A prova está na dispersão entre gente igualmente qualificada. Hubinger fala em mais de 10% na próxima década. Geoffrey Hinton, um dos nomes fundadores do campo, fala em 10% a 20%, mas em três décadas. Daniel Kokotajlo, que saiu da OpenAI em 2024 recusando assinar uma cláusula que o impediria de criticar a empresa (e que abriria mão de cerca de US$ 2 milhões em ações, que ele acabou mantendo depois de a OpenAI voltar atrás na cláusula sob repercussão pública), estima em 70% a chance de as coisas darem muito errado, categoria que inclui desde perda de controle até catástrofe. Lila Ibrahim, executiva de prontidão de IA na DeepMind, resumiu em agosto: “não é zero. Qualquer coisa além disso é só chute meu.”

Quando a mesma pergunta recebe 70% de um lado e “não sei, mas não é zero” de outro igualmente qualificado, o número não está medindo o mundo. Está medindo a pessoa.

Essa conversa está acontecendo dentro da janela de um IPO de quase um trilhão de dólares

Em 1º de junho de 2026 a Anthropic protocolou, em sigilo, o documento que abre o processo de entrada em bolsa (chamado S-1) na SEC. Pelo calendário mais recente, noticiado pela Reuters (reproduzida pela CNBC) em “Anthropic IPO launch shifts toward mid-October”, de 5 de setembro, o prospecto público sai no fim deste mês e a listagem fica pra outubro, semanas depois de Coxon pedir demissão. A avaliação de mercado da empresa saiu de algo em torno de US$ 183 bilhões, em setembro de 2025, para cerca de US$ 965 bilhões em maio de 2026, com a receita anualizada saltando de mais de US$ 5 bilhões pra mais de US$ 47 bilhões no mesmo intervalo.

Ou seja: este debate está acontecendo dentro da janela de abertura de capital de uma das duas empresas no centro dele.

E aqui a mecânica importa mais que a suspeita. Nenhuma empresa sustenta ao mesmo tempo que o produto dela pode extinguir a humanidade e que ele é só um assistente que erra data de aniversário. Toda alegação de periculosidade extrema é, por construção, uma alegação de capacidade extrema, e capacidade extrema é exatamente o que sustenta avaliação de mercado, contrato corporativo, e o argumento de “adote agora ou fique pra trás”. Isso não prova que alguém inventou medo pra vender ação. Prova que medo e avaliação de mercado sobem juntos na mesma manchete, e que quem fala tem interesse material no efeito colateral, mesmo sendo sincero.

Pra dar dimensão ao valor em jogo: só as cinco maiores provedoras americanas de nuvem e infraestrutura de IA comprometeram entre US$ 660 bilhões e US$ 690 bilhões em capital (centro de dados, chip, energia) em 2026, quase o dobro de 2025, segundo o relatório “AI Capex 2026: The $690B Infrastructure Sprint”, do Futurum Group, de fevereiro de 2026. É dinheiro comprometido a anos de distância de qualquer retorno garantido.

Desacelerar pode ser exatamente o que interessa a quem já comprometeu centenas de bilhões

Aqui está o ponto que eu acho mais esquecido de todo esse debate: quem já gastou centenas de bilhões numa corrida pode ter todo interesse em desacelerar a corrida, principalmente se isso pesar mais sobre o concorrente que ainda não gastou.

O argumento técnico da Anthropic é, nesse ponto específico, correto: modelo de peso aberto (aquele cujos parâmetros treinados são publicados, e qualquer pessoa pode baixar e rodar por conta própria) é mais difícil de manter seguro, porque depois de liberado ninguém consegue revogar acesso, atualizar proteção ou impedir uso indevido. Modelo fechado, atrás de uma interface controlada pela empresa (uma API), pode ser desligado, atualizado, monitorado. Uma vez publicado, o peso aberto é irrevogável: ninguém recolhe algo que já está copiado em dezenas de milhares de máquinas.

Só que repara em como esse argumento correto vira ferramenta. Em 22 de julho de 2026 a Axios noticiou, na matéria “OpenAI and Anthropic unite against open-weight AI risks”, que as duas empresas, que competem ferozmente por cliente no dia a dia, estão alinhadas em Washington num ponto específico: alertar formuladores de política sobre os riscos dos modelos chineses de peso aberto. David Sacks, conselheiro de IA do governo americano, chamou isso pelo nome que ele considera certo: captura regulatória. Escreveu que a Anthropic “está rodando uma estratégia sofisticada de captura regulatória baseada em alarmismo”, e que ela é a principal responsável pela enxurrada de regulação estadual que castiga quem é pequeno.

O mecanismo funciona em três passos. Primeiro, a assimetria técnica é real, como o parágrafo acima explica. Segundo, a regra pode ser escrita em cima dessa assimetria sem citar o alvo pelo nome: exigir “capacidade de revogar acesso em caso de uso indevido” ou “atualização contínua de proteção” não menciona peso aberto uma vez, mas nenhuma dessas exigências é cumprível por quem publica peso aberto por definição. É banimento por impossibilidade de conformidade, defensável em público como segurança. Terceiro, o custo fixo faz o resto: teste independente semestral, auditoria externa, relatório público, tudo isso é ruído contábil pra uma empresa avaliada perto de um trilhão, e é a diferença entre lançar e não lançar pra um laboratório universitário ou uma startup.

E a camada China é o que torna a manobra vendável de verdade. DeepSeek e Qwen não são concorrentes caros, são gratuitos, e não tem como ganhar de graça no preço. Mas se o modelo deixa de ser lido como “alternativa barata” e passa a ser lido como “risco de segurança nacional”, ele para de ser instalado em banco, hospital e órgão de governo, e o preço deixa de importar.

Registro o contrapeso, porque sem ele isso vira teoria da conspiração e não é o que eu quero defender aqui. A própria DeepSeek publicou, na revista Nature, um paper chamado “DeepSeek-R1 incentivizes reasoning in LLMs through reinforcement learning” (2025), com uma avaliação de segurança que admite que o R1 é vulnerável a manipulação maliciosa (jailbreak) e que a segurança dele, sozinho, é mediana, comparável à do GPT-4o: ela só chega a um patamar superior acoplada ao sistema externo de controle de risco. Demis Hassabis, CEO da DeepMind, publicou em 14 de julho de 2026 um manifesto chamado “A Framework for Frontier AI and the Dawning of a New Age” propondo um órgão de padrões nos moldes da FINRA americana (a entidade que regula corretoras nos Estados Unidos), pra testar modelo de fronteira antes do lançamento, aberto ou fechado, de qualquer país de origem. E a própria Anthropic e a OpenAI se separaram no nível estadual: a Anthropic endossou uma versão do projeto de lei de Massachusetts que exigia avaliação independente a cada seis meses, relatório público e poder do procurador-geral estadual de ir à Justiça contra quem descumprisse. A OpenAI se opôs a esses dispositivos e defendeu uma versão mais fraca, alinhada ao padrão de Illinois, de auditoria anual.

Motivo torto não anula fato. A preocupação com modelo de peso aberto não foi inventada em Washington, e a Anthropic topou pagar um preço real (o projeto de Massachusetts) que a OpenAI não topou. Mas fica difícil separar, no discurso de extinção que domina a semana, o que é preocupação genuína do que é o interesse de quem já comprometeu centenas de bilhões em não ver um concorrente gratuito alcançar de graça o que custou tanto pra construir.

Tem gente sendo paga pra você acreditar nos dois lados

Em 5 de setembro de 2026 a física e divulgadora Sabine Hossenfelder publicou um vídeo chamado “I Was Offered Money to Tell You AI Will Kill Us”. A tese: os dois lados desse debate pagam criador de conteúdo, parte de forma declarada, parte não.

O caso dela mesma: uma organização a procurou querendo patrocinar um vídeo alertando sobre IA como ameaça existencial, e o briefing já vinha com o tema, as frases exatas que ela deveria ler, e as referências que deveria citar. Ela simpatizava com a mensagem geral, mas recusou ao ver o roteiro pronto. Ela não diz quem a procurou, e o fato relevante não é a recusa: é a existência de um roteiro inteiro já escrito, esperando alguém aceitar ler.

O mecanismo que ela descreve serve pra qualquer lado do debate: patrocínio tem mais impacto quando não é declarado, porque a recomendação parece mais confiável, e existe uma zona cinzenta que não exige ilegalidade nenhuma: basta procurar só criador que já concorda com a sua posição. O vídeo sai favorável ao patrocinador, que não tocou numa linha do roteiro e pode dizer, com verdade técnica, que não teve controle editorial.

Do lado contrário à IA: um criador publicou no X que recebeu três propostas de patrocínio, e o print que ele divulgou menciona o Center for AI Safety, a organização por trás da declaração de 2023 que pôs o risco de extinção por IA no mesmo patamar de pandemia e guerra nuclear. A Control AI vem patrocinando conteúdo na mesma linha. O Future of Life Institute rodou uma campanha chamada “Protect What’s Human”, de recrutamento de gente pra publicar conteúdo pago em rede social seguindo a direção da campanha.

Vale registrar de onde vem o dinheiro do Future of Life Institute, porque dá escala ao caso: Vitalik Buterin, cofundador do Ethereum, doou o equivalente a US$ 665,8 milhões em uma criptomoeda (SHIB) pra organização em 2021, sem que ninguém tivesse pedido. Ele achava que dariam pra sacar no máximo US$ 10 a 25 milhões, dada a liquidez baixa do token na época; a organização conseguiu sacar perto de US$ 500 milhões. Em março de 2026 Buterin se descolou publicamente do instituto, criticando a virada da organização pra advocacy político.

Do lado favorável à IA, o caso mais concreto tem nome e valor. A jornalista Taylor Lorenz revelou, na Wired, em reportagem chamada “A Dark-Money Campaign Is Paying Influencers to Frame Chinese AI as a Threat”, que a Build American AI, entidade ligada a um comitê de financiamento político chamado Leading the Future, ofereceu a criadores até US$ 5 mil por um único vídeo no TikTok emoldurando o avanço da IA chinesa como ameaça a emprego americano e à segurança de criança, com pedido explícito pra não marcar a página que estava pagando. Entre os financiadores da Leading the Future está Greg Brockman, presidente da OpenAI, que contribuiu com dezenas de milhões de dólares pro comitê.

A simetria é o que torna esse capítulo utilizável de verdade: instituto que financia medo do lado apocalíptico pagando por conteúdo em rede social, presidente de uma das maiores empresas de IA do mundo financiando campanha anti-China no TikTok do outro lado. Não dá pra usar isso pra atacar só um dos lados do debate. E o próprio fechamento de Hossenfelder é honesto nesse ponto: ela não condena patrocínio, seria até estranho as organizações dos dois lados não pagarem por divulgação. O que a incomoda é lobby político se infiltrando em jornalismo de ciência e tecnologia, atingindo um público que não desenvolveu, pra esse assunto, o mesmo anticorpo que já tem pra política.

O que eu acho

Três coisas precisam ser separadas, e a cobertura desta semana misturou todas.

Existe um problema de segurança real, documentado, acontecendo agora. Um agente escapou de um ambiente isolado, invadiu a produção de outra empresa, e executou milhares de ações sem nenhum humano no circuito, porque otimizar a métrica errada era o caminho mais curto até um objetivo medíocre. Isso não depende de consciência, de superinteligência nem do ano 2030 pra merecer supervisão independente séria, hoje.

O número que domina o debate não é medida. “Mais de 10% de chance de extinção” é opinião qualificada com roupa de cálculo. Merece ser ouvido como opinião de gente que sabe do que fala. Não merece virar dado repetido, e muito menos base de política pública.

E a conversa inteira está sendo comprada, dos dois lados. Isso não a torna falsa por definição, mas exige do leitor o mesmo anticorpo que ele já usa pra ler notícia de política.

Minha posição, direta: eu acho que sim, a gente precisa regular essa tecnologia, com órgão independente que tenha poder real de auditar, não de receber autodeclaração. A versão do projeto de Massachusetts que a própria Anthropic endossou (avaliação independente a cada seis meses, relatório público, multa de até US$ 1 milhão na primeira violação) é um caminho razoável. A proposta de Demis Hassabis, testando modelo de fronteira aberto e fechado, de qualquer país, antes do lançamento, também é. O que eu desconfio é da versão que, na prática, só dificulta a vida de quem não é gigante, e de proposta de “pausa” ou “desaceleração” que sai justamente da boca de quem já comprometeu centenas de bilhões que o concorrente ainda não comprometeu.

Mas acho que essa notícia apocalíptica em especial prejudica mais do que ajuda a discussão séria. Ela puxa atenção, verba e manchete pra um número que ninguém sabe calcular, enquanto os danos que já existem, hoje, de verdade, disputam migalha de atenção.

Acho que o uso descontrolado da IA está emburrecendo as pessoas, principalmente criança e jovem, na escola e na universidade: pedir a resposta pronta virou hábito antes de aprender a pensar sozinho. Acho que o uso de propriedade intelectual, dado e obra protegida sem autorização é um problema sério, que a indústria trata como detalhe a resolver depois. E acho que usar esse mesmo material pra treinar o modelo, o motor que depois compete com quem o produziu, é a parte mais grave: a matéria-prima sai de graça e o autor original não vê nada de volta.

E acho que a discussão que a gente precisa ter é essa: o que fazer com um possível desemprego em massa, não o fim do mundo. É sobre quem perde o posto pra automação nos próximos anos, não sobre o ano em que a espécie inteira acaba.

Talvez o maior risco não seja a IA acabar com a humanidade. Seja a gente passar a década discutindo o fim do mundo enquanto o algoritmo ensina uma geração inteira a nunca mais pensar sozinha.