Sábado, 4 de julho.
O item mais desconfortável do dia não tem patch — e talvez não tenha tão cedo. A runZero divulgou sete vulnerabilidades no FatFs, a biblioteca de filesystem que lê FAT e exFAT e está embutida no firmware de milhões de dispositivos: câmeras de segurança, drones, controladores industriais, hardware wallets — praticamente qualquer coisa construída sobre um RTOS que aceita cartão SD ou pendrive. O pior bug é o CVE-2026-6682 (CVSS 7.6), um integer overflow na montagem de volumes FAT32 que em hardware real vira corrupção de memória e execução de código; o CVE-2026-6687 chega ao mesmo lugar pelo campo de label de volume exFAT. Como a maioria desses dispositivos não tem as proteções de memória de um desktop, a conclusão da runZero é seca: 'qualquer acesso físico leva a um jailbreak'. E aqui vem a parte estrutural do problema: o FatFs é mantido por um único desenvolvedor, que não respondeu nem à runZero nem ao JPCERT/CC do Japão. Não há fix upstream para os bugs de corrupção de memória, não há mailing list de segurança, e a maioria dos produtos que embarcam a biblioteca nem tem como saber que está afetada. A runZero publicou imagens de disco de PoC, harness de teste e um exploit funcional em QEMU. Se o seu produto monta mídia removível com FatFs, o problema agora é seu.
A notícia boa do dia vem da Mistral. O Leanstral 1.5 é um modelo aberto (Apache 2.0) especializado em engenharia de provas no Lean 4 — o proof assistant que virou padrão em matemática formal e verificação de software. Arquitetura MoE com 119 bilhões de parâmetros totais e só 6 bilhões ativos, contexto de 256k tokens, treinado num ambiente de RL multiturn em que o modelo submete a prova, recebe o feedback do compilador Lean e refina a tentativa. Resultado: 587 dos 672 problemas do PutnamBench resolvidos e o miniF2F saturado. Está grátis no tier Labs da Mistral e com pesos no Hugging Face. Depois do ensaio do IEEE Spectrum sobre Terence Tao e a era da 'Big Mathematics' que passou por aqui na semana passada, isto é a infraestrutura dessa era chegando de graça e com licença permissiva.
A Microsoft anunciou a Frontier Company: US$ 2,5 bilhões e cerca de 6 mil engenheiros, especialistas de indústria e consultores técnicos embarcados fisicamente dentro dos clientes enterprise para desenhar, construir e operar sistemas de IA. O contexto que explica o movimento é uma estatística que não sai da cabeça de nenhum CFO: a pesquisa do Project NANDA do MIT achou que 95% dos pilotos de IA generativa enterprise não geram impacto mensurável nenhum em P&L. A unidade será presidida por Rodrigo Kede Lima e, apesar do nome, não é entidade legal separada. O detalhe de corrida armamentista: a Amazon anunciou a sua versão dois dias antes, a OpenAI montou a Deployment Company com mais de US$ 4 bilhões da TPG, e a Anthropic fechou um veículo de US$ 1,5 bilhão com Goldman Sachs, Blackstone e Hellman & Friedman. Forward-deployed engineering deixou de ser tática de startup de defesa e virou o produto que todos os grandes vendem.
Do lado sombrio da semana: o Citizen Lab documentou que um ex-membro do Parlamento Europeu que integrava justamente o comitê de investigação de abusos de spyware foi infectado com Pegasus durante o trabalho do comitê. O alvo era quem investigava a ferramenta — a mensagem de intimidação é o ponto. É o pano de fundo perfeito para a semana em que o Chat Control voltou à mesa na UE.
O número da indústria veio da Crunchbase: US$ 510 bilhões investidos em startups no primeiro semestre de 2026 — mais que 2025 inteiro. OpenAI e Anthropic sozinhas capturaram US$ 217 bilhões, 43% de todo o capital global de startups; mais de 70% do dinheiro do Q2 foi para IA. E no meio do relatório, quase escondido: a SpaceX abriu capital avaliada em US$ 1,77 trilhão e confirmou a intenção de comprar a Anysphere, dona do Cursor, por US$ 60 bilhões. O editor que vos escreve leu essa frase três vezes.
Para fechar, dois itens de bancada. O guia local-llm do jamesob ficou em primeiro no Hacker News — um repositório prático sobre rodar modelos state-of-the-art na sua própria máquina, do hardware ao serving. E o System Design One publicou um deep dive em CDN que vale a leitura de fim de semana: o caminho completo de uma requisição, cache hierárquico e por que a borda da rede continua sendo o upgrade de latência mais barato que existe.
Sete itens. Bom sábado.