Terça-feira, 11 de agosto.
A Meta voltou para o lado aberto da força, e desta vez com um alvo bem definido. O Muse Glimmer é um modelo de 30 bilhões de parâmetros, licença Apache 2.0, destilado do Muse e desenhado para uma coisa só: agente rodando localmente, o tempo todo. Cabe em 24 GB de VRAM com quantização de 4 bits e decodificação especulativa DFlash — ou seja, roda numa RTX 5090 ou num MacBook com M5 Max, sem nuvem, sem conta, sem token. Foi o item número um do Hacker News ontem com mais de mil pontos, e não é difícil ver por quê: function calling, código local e LLM-as-a-judge são exatamente os casos em que você não quer pagar por chamada nem mandar o repositório para fora. Zuckerberg acompanhou o lançamento com uma ofensiva retórica contra os rivais 'fechados', enquadrando a abertura como valor americano e cutucando quem usa o argumento de segurança para trancar os modelos mais capazes. O discurso é conveniente — a Meta passou por um desvio proprietário com o Muse Spark em abril —, mas o artefato é real e está no Hugging Face.
O segundo item é o que muda a sua sexta-feira. A partir do dia 14, o auto mode passa a ser o padrão do Claude Code nos planos Pro, Max e Team. Em vez de pedir aprovação a cada passo, o agente segue em frente e só para quando um classificador considera a ação irreversível, destrutiva ou apontada para fora do seu ambiente. O número que a Anthropic usou para justificar a mudança é desconfortável de ler: num estudo controlado, revisores humanos pegaram um comando perigoso plantado em 13,6% das vezes; o classificador pegou em 89%. Sessões que passaram por aprovação manual continham dano sério mais do que o dobro das que rodaram em auto mode. A leitura honesta é que o clique de 'yes' virou ritual vazio há muito tempo — a gente aprova sem ler. A Anthropic ainda parou de cobrar os tokens extras do classificador. No Enterprise e na API segue opt-in, por enquanto.
O item de segurança do dia é para tratar antes do café. Um zero-day de SQL injection no Metabase — GHSA-vwf4-m7j8-wcjf, CVSS 10.0, o teto — já estava sendo explorado no mundo real desde o início do mês. O bug fica no endpoint POST /api/session/reset_password, que é *não autenticado*: qualquer um na rede injeta SQL no banco da aplicação, vira admin da instância e, a partir daí, rouba as credenciais de todos os bancos conectados. Que, num BI, é o inventário completo de dados da empresa. A Framework confirmou ter sido invadida por essa via — nomes, endereços, telefones, e-mails e IPs de login de clientes. A n8n reportou 136 registros levados. Afeta tudo da 1.58 em diante, dos branches 0.58 ao 0.63; o Cloud já está corrigido, o self-hosted é com você. Se não der para atualizar agora, bloqueie aquele endpoint no proxy.
E o vazamento mais constrangedor da semana não precisou de exploit nenhum. O tl;dv, aquele notetaker de IA que entra nas suas reuniões de Zoom, Meet e Teams, deixou 181.874 registros de reunião de 84.312 usuários consultáveis por qualquer usuário autenticado — faltava uma regra de isolamento de tenant no Firestore. Cada registro trazia o e-mail de quem criou, o status de gravação e o conference ID, que é uma sala real e entrável. Dava para ficar assistindo a coleção em tempo real, ver uma reunião começar a gravar, pegar o ID e entrar na chamada de alguém. Havia cerca de mil reuniões ao vivo a qualquer momento, incluindo órgãos de governo e universidades. O pesquisador reportou em 28 de janeiro. Continuava aberto meses depois.
Na ferramentaria, o Docker Sandboxes subiu ao segundo lugar do Hacker News e resolve o problema que os dois primeiros itens criam: onde soltar o agente. Cada sessão ganha uma microVM própria — kernel separado, filesystem privado, daemon Docker isolado, stack de rede própria —, com acesso a arquivos, rede e segredos definido antes de o agente rodar, na infraestrutura, e não na boa vontade dele. O CLI é o `sbx`, e o VMM é feito em casa, rodando nativo em macOS, Windows e Linux. É isolamento de hardware com ergonomia de container. Se auto mode vai ser o padrão, esse é o chão onde ele deveria pisar.
Para quem gosta da parte baixa da stack, a Vectorware publicou o `core::simd` do Rust rodando na GPU. A sacada é mapear o tipo genérico `Simd<T, N>` direto sobre warps de GPU: o mesmo código-fonte, sem alteração, compila para as instruções vetoriais da CPU e para o paralelismo em nível de warp da NVIDIA, incluindo shuffles e reduções. Na prática, tratar a GPU como só mais um target de Rust. Ainda esbarra em incompatibilidade de largura de lane e no fato de o portable SIMD continuar instável, mas a direção — código agnóstico de arquitetura de verdade — é das mais promissoras do ecossistema.
Do Akita On Rails, um ensaio que merece o tempo de leitura: por que uma eleição digital perfeita ainda não seria viável. Fabio Akita monta o sistema ideal com árvores de Merkle, compromissos de Pedersen, provas de conhecimento zero e desafios de Benaloh — tudo matematicamente sólido, tudo com componentes provados — e então argumenta que o sistema falharia mesmo assim, por um problema epistemológico: um sistema que a população não consegue entender é um sistema cuja legitimidade ela nunca vai aceitar. É uma lição que vale muito além de urna eletrônica.
E do Brasil, a Canaltech traz o vazamento por burrice arquitetural mais barato de todos: pesquisadores compraram os domínios usados por empresas em endereços genéricos do tipo `noreply@` e `deleteduser@` — endereços que todo mundo assume que não existem — e passaram a receber os e-mails. Um único domínio acumulou mais de 400 mil mensagens em 18 meses, 28 mil com anexo, incluindo pedidos de férias, convites de Zoom e imagens de câmera de segurança de órgãos do governo britânico e de empresas de IA. A correção é trivial: use domínio interno ou `.invalid`. A taxa de resposta de quem foi avisado, segundo os pesquisadores, é baixa.
Oito itens. Boa terça.