Terça-feira, 3 de novembro.
O item que dominou o Hacker News, com mais de 2.500 pontos, é um post de pesquisadores do MIT CSAIL, Omar Khattab entre eles, chamado Weight-Space Programming. A ideia: em vez de treinar uma rede com otimizador, você entrega os pesos crus para um LLM e pede que ele leia, conserte ou escreva. Com o GPT-6 Astra, funcionou mais do que deveria. Ele identificou qual jogo de Atari uma política de 17 mil pesos tinha aprendido, escreveu do zero redes de MinAtar que batem PPO treinado por 500 milhões de passos, e editou 0,016% dos pesos do Qwen3.5-0.8B para tirar um loop de raciocínio, levando o MATH-500 de 7,9% para 48,1%.
É um blog post, não um paper revisado, e os próprios autores mostram onde falhou: não detectou sycophancy só olhando pesos e não melhorou o Gemma 3 270M. Mas a direção importa. Se modelo consegue auditar pesos, auditoria de backdoor em modelo aberto deixa de ser só teoria. E fine-tuning cirúrgico sem dataset vira uma ferramenta, com tudo de bom e de ruim que isso traz.
O segundo item é para quem tem Langflow exposto. O IBM publicou quatro CVEs, duas com CVSS 9,8: a CVE-2026-93680 dá bypass de autenticação e a CVE-2026-110186 executa código, ambas sem conta. Toda versão de 1.0.0 a 1.12.8 está afetada, não existe workaround e já tem módulo público no Metasploit. Para piorar, o LANGFLOW_AUTO_LOGIN vinha ligado por padrão até a 1.12.8. Ferramenta de prototipar agente costuma subir com chave de API de tudo quanto é provedor, então isso não é só um servidor comprometido. É 1.13.0 agora.
O terceiro mostra como ataque a OT ficou banal. Na madrugada de segunda, controladores de refrigeração de supermercados na Bélgica, Suécia, Estônia e outros países foram alterados remotamente. Uma loja da ICA na Suécia teve freezer configurado para 50°C. A Danfoss confirmou que seus equipamentos estavam envolvidos, como no ataque na França três semanas antes, e na Holanda os sistemas estavam com senha padrão. Ninguém precisou de zero-day. Bastou controlador exposto na internet com a senha de fábrica.
Na infraestrutura, a PostHog explica por que está saindo do DuckDB cinco meses depois de adotá-lo: o catálogo do DuckLake virou gargalo com 2 PB, 1 trilhão de linhas e escrita levando mais de três minutos. A Cloudflare conta como cortou 85% da memória do Zone Builder de DNS, de 79 GiB para 12 GiB, trocando rebuilds completos por builds direcionados. E o Toit, linguagem para ESP32 que sobreviveu ao fechamento da empresa que a criou, finalmente sai do alpha com a v2.0.0.
Do Anton Dev Tips, a segunda parte do guia de caching em .NET, com FusionCache, Output Cache e um critério claro de quando usar cada um. E do Tecnoblog, a Fujifilm vai quintuplicar a produção de fita LTO até 2028 por causa da demanda de data center puxada por IA. A fita magnética continua viva.
Oito itens. Boa terça.