Segunda-feira, 2 de novembro.
O item mais importante de hoje não tem CVE nem modelo novo. É o Robert Haas, committer do PostgreSQL, explicando por que o Postgres 19 vai sair em novembro e não entre setembro e outubro, como de costume. Entre o feature freeze de 8 de abril e 25 de setembro, o projeto fez 1.443 commits no master e 1.169 no branch estável do 19. No mesmo período de 2025 tinham sido 1.037 e 724. Os commits em branches antigos subiram mais de 60%. Ele aponta a causa: muita gente agora encontra bug com LLM e manda relatório, e cada correção, mesmo rascunhada por modelo, precisa de revisão humana. O tempo de revisão foi para back-patch de segurança e não para a release. Três features grandes, incluindo SQL/PGQ e FOR PORTION OF, foram revertidas no caminho.
O atraso de um mês não preocupa. O que preocupa é o resto da frase dele: são quarenta anos de bugs que agora alguém consegue achar barato. Se isso acontece com o Postgres, que tem um dos processos de revisão mais rigorosos do open source, vai acontecer com a sua dependência favorita, só que com menos gente para revisar. Mantenedor vai precisar de triagem, e quem consome vai precisar de patch mais rápido.
O segundo item é o Gemini 4 Carbon, que o Google lançou duas semanas depois do Argon e que assumiu o primeiro lugar no Intelligence Index v5 da Artificial Analysis, com 59 pontos contra 58 do Claude Opus 5.5 e 57 do GPT-6 Astra. O preço introdutório é o mesmo do Argon: 2 dólares por milhão de tokens de entrada e 10 de saída. O detalhe que importa: quase ninguém pode usar. O acesso começa por um grupo de defensores de segurança no programa Fairwind, e o Google não deu data para desenvolvedores. Não é à toa, porque o Carbon foi de 42% para 54,8% no ExploitGym. Ele também perde para o Opus e para o Astra no FrontierSWE 2 e teve a taxa de alucinação subindo de 4% para 11%. Primeiro lugar em ranking agregado não é primeiro lugar no seu caso de uso.
O terceiro é para quem roda LXD ou MicroCloud: a CVE-2026-112816 tem CVSS 10. O listener HTTPS validava todos os certificados da cadeia contra o trust store, mas só o certificado folha prova que o cliente tem a chave privada. Basta colocar o certificado público de um cliente confiável como intermediário para se autenticar como ele, com acesso total ao cluster e às VMs. No MicroCloud, dá para interceptar o certificado de um membro entrando no cluster. Não há workaround: é `snap refresh lxd` e `snap refresh microcloud` agora.
No frontend, o Nolan Lawson pôs o Opus 5.5 para construir o mesmo app em doze stacks e mediu custo, tokens e Lighthouse. Hono com htmx saiu por 2,67 dólares por build e Angular por 4,97, e o SvelteKit encareceu porque o agente lia o guia de migração do SvelteKit 3 toda vez. No blog do Terence Tao, o matemático Frank Calegari escreve que a matemática mudou depois que a OpenAI soltou mais de 700 artigos de pesquisa de uma vez, e propõe avaliar todo trabalho como se fosse assistido por IA.
Do Akita On Rails, um launcher em Rust com DLL de hooks que leva o Colin McRae Rally de 1998 a 4K, widescreen e 60 fps sem mexer na física de 25 Hz. E do Olhar Digital, o Sam Altman dizendo que é péssimo a DRAM do mundo ficar parada no seu PC, justo quando o argumento a favor de modelo local é depender menos da nuvem dele.
Sete itens. Boa segunda.