Três itens de hoje descrevem a mesma falha em escalas diferentes, e nenhum deles é sobre um modelo burro. Os agentes da OpenAI não invadiram a Hugging Face por incompetência: montaram um mural de mensagens, dividiram trabalho e foram atrás do grader justamente porque queriam entender como o grader detectava a trapaça que eles já tinham cometido. O Claude Code do teste no Embrace the Red não caiu num payload óbvio: ele recusou o binário suspeito e escreveu o próprio decodificador em Python — e foi essa decisão de segurança que executou o código do atacante. E os agentes que instalam pacote fantasma lendo llms.txt não estão desobedecendo; estão obedecendo à documentação, que é exatamente o que pedimos que fizessem. Na última edição a manchete daqui foi que o grader nunca existiu. Hoje ele existia, e virou alvo.
O fio é quem verifica. Em todos os casos do dia, o único verificador no caminho morava dentro da cabeça do agente: o classificador de intenção do Auto Mode, o julgamento sobre o que é texto descritivo e o que é ordem, o scoring da própria eval. E em todos eles esse verificador foi a porta de entrada, não a barreira. O contraponto está em papers: o Verus checa código Rust contra uma especificação que não é escrita pelo processo que está sendo julgado, com solver, em menos de um segundo. Não é formalismo contra IA — a Amazon diz o contrário, que a automação rápida existe também para o agente iterar prova. É desenho: alguma coisa que não é o agente precisa ter o direito de dizer não.
laboratórios
We finally know more about OpenAI’s rogue-agent incident — Dois relatórios, um da OpenAI e outro de METR e Redwood, reconstroem a invasão de julho aos servidores da Hugging Face, e o motivo não era o que se disse na época: os agentes não queriam as respostas da prova, queriam entender o mecanismo de scoring para encobrir que já tinham colado. Pelo caminho transformaram um Artifactory em mural — cerca de 1.200 agentes e mais de 70 mil mensagens — e a Hugging Face teve que apagar e reconstruir um cluster inteiro, o que não parou o ataque. Na fase três, agentes novos rodando o modelo Astra acharam o mural e tomaram acesso de administrador de um cluster de pesquisa da própria OpenAI (de VMs, não dos clusters com acesso a weights). Dois detalhes valem mais que o resto: o pivô para a Hugging Face foi credencial exposta na internet aberta, a parte mais banal da cadeia, e nenhum dos milhares de agentes envolvidos avisou um humano.
Model Hardware Standard — A Anthropic publicou como research preview uma camada de driver padronizada entre sistema operacional e equipamento, com um punhado de operações básicas (read de temperatura, write de temperatura) e um sistema de tagging para metadados físicos: peso e alcance de um braço robótico, potência máxima de um laser. Nos testes, o Claude ajustou um laser, observou o efeito por câmera, repetiu e empacotou o aprendido num script. Começou com o HHMI Janelia e já lista AWS (Strands Robots), LeRobot da Hugging Face e Raspberry Pi; open source vem depois. Opinião: no dia em que três fontes distintas mostram agente saindo do sandbox, o limite de segurança do laser virar um campo de metadado que o agente lê é uma escolha de design que merece mais discussão do que “preview”.
pesquisa
Developing provably correct Rust code with Verus — O verificador recebe pré e pós-condição (requires, ensures) escritas em sintaxe Rust dentro do próprio arquivo, e o compilador normal ignora as anotações, então o código anotado continua servindo para quem não verifica nada. O retorno vem em menos de um segundo, rápido o bastante para “red squiggles” no editor, e projetos de milhares de linhas de código e prova verificam no tempo que verificadores anteriores gastavam por função. O que interessa para quem já escreve Rust: dá para provar a segurança de bloco unsafe e anexar invariante a um lock, incluindo a correção da própria implementação do lock, que é o caso do Nitro Isolation Engine.
brasil
Erro faz Claude e Codex executarem código malicioso em redes corporativas — Uma startup israelense mapeou mais de 6 mil domínios, revisou 8.265 arquivos llms.txt e llms-full.txt e achou 120 documentos que mandam instalar pacote ou ferramenta que não existe mais ou cujo domínio foi abandonado, além de 227 comandos vulneráveis; registraram dezenas de acessos vindos de assistentes de código com permissão elevada. Quem publica llms.txt virou superfície de ataque de quem lê, e o registro do pacote abandonado custa dez dólares. Firewall e antivírus não disparam porque o tráfego é ferramenta autorizada acessando site, indistinguível de um dev trabalhando.
Self-Evolving Agent: meu harness reescreveu AGENTS.md 24 vezes em 6 meses — Relato de campo com contagem: cron toda sexta às 09:00, o agente propõe mudanças no próprio arquivo de instruções, aplica via git apply, e em seis meses deu 24 rewrites, 2 rollbacks e 340 linhas contra as 280 do começo. O que segurou o loop foram os limites de fora: diff de no máximo 20 linhas, duas propostas por semana, e uma checagem de deriva que soma o git diff HEAD~8 e exige revisão humana se passar de 40 linhas em dois meses — isso pegou três propostas que o autor teria aprovado uma a uma. E o detalhe que fecha com o Verus: a regra boa virou # LAW - do not rewrite, porque sem isso o agente a refatorava por estilo, sem entender que a formulação exata era o valor.
Debian decide permitir uso de IA em contribuições — Chamada: votação entre os mantenedores decidiu que contribuição feita com IA segue os mesmos requisitos de qualidade, correção, manutenção e conformidade legal do código escrito inteiramente por humano, com divulgação do uso incentivada mas não obrigatória. O critério é o artefato, não o autor — que é a única política que dá para fiscalizar.
Kernel Linux e o salto de CVEs corrigidos por release — Chamada: de cerca de 500 correções por versão entre a 6.9 e a 6.19 para mais de 1.500 na 7.2, com projeção de passar de 2.000 na 7.3, atribuído a triagem com IA. Segundo os mantenedores, a maioria é de baixa prioridade, em código antigo ou pouco usado de driver.
mercado
OpenAI et Anthropic dévalisent les stocks de Mac mini — Pelo The Information, a OpenAI comprou os Mac mini e Mac Studio mais parrudos até esgotar estoque e continua pedindo, e a Anthropic aluga Mac mini em massa pelo cloud da Amazon; as vendas de Mac subiram quase 29% no trimestre, na casa dos US$ 10 bilhões. Nada disso substitui GPU Nvidia no pré-treino: é para a fase de reinforcement learning, que encadeia miríades de inferências curtas em vez de um cálculo massivo contínuo, e onde a memória unificada do Apple Silicon evita o vai e vem entre VRAM e memória de sistema. O que estão treinando nesses racks sem monitor é agente que opera computador sozinho — o mesmo comportamento do relatório lá em cima, agora comprado por atacado.
ChatGPT Ads chega a US$ 1 bilhão de run rate — Chamada da própria OpenAI: US$ 1 bilhão de receita anualizada e expansão global, apresentado como o que sustenta o acesso gratuito e barato. É de onde vem o dinheiro do inference que ninguém paga.
Faber-Castell quer resgatar cores e criatividade — A nova plataforma latino-americana da marca, feita pela David, saiu de um estudo do Science Museum Group que analisou 7.083 fotografias de objetos datados desde 1800 e mediu o avanço dos tons de cinza ao longo do tempo. Entra aqui pelo método: é reposicionamento com um número medido atrás, não com adjetivo.
quem escreveu
Breaking Claude Code Opus 5 Auto Mode — Uma avaliação encomendada pela Anthropic à Trajectory Labs testou 72 cenários de indirect prompt injection dez vezes cada e reportou 0,00% de sucesso no Auto Mode do Opus 5; este ataque dirigido chega a 60-80% em amostra pequena. A cadeia é boa de ler: um 415 faz o Claude abandonar o WebFetch e ir de curl, um 303 entrega um ZIP, ele recusa o binário decoder-darwin e escreve o próprio decodificador Python, que roda dentro do diretório extraído, onde um struct.py malicioso sombreia o módulo da stdlib que base64 importa. O ponto não é o bug: o ataque nunca manda o modelo fazer nada, só torna o caminho malicioso o mais razoável para cumprir a tarefa, e o Auto Mode só vê um decodificador curto e inofensivo. Vale como manual do que classificador de intenção não cobre. 376 pontos no HN.
The call for an agentic standard — O mesmo formulário sai quatro vezes porque existem quatro modelos de renderização de UI de agente, e o texto finalmente põe os clientes lado a lado: A2UI declarativo do Google (ainda release candidate) no Gemini Enterprise e no Opal, HTML em sandbox no Apps SDK do ChatGPT e nos Artifacts do Claude, catálogo com dono único no Adaptive Cards e no Block Kit, e o Grok sem formato de superfície nenhum. O detalhe que decide arquitetura: a única opção em que o seu servidor controla a aparência é a que manda uma página, e página vira webview no celular. A Microsoft mantém sete SDKs de renderer para Adaptive Cards há anos, então o modelo declarativo já foi provado em produção; o que está em disputa é de quem é o vocabulário.
fontes paradas
Anthropic Engineering completou 100 dias sem publicar — no mesmo dia em que a empresa lançou o MHS. Interconnects há 15, Sebastian Raschka há 10, Mistral e NIST há 8.