#Prompt Injection
O Auto Mode é o modo de permissão padrão do Claude Code em Pro, Max e Team desde 14/08: um classificador aprova as chamadas de ferramenta no seu lugar (barrou 89% dos comandos perigosos contra 14% dos humanos). Como ativar e desativar (Shift+Tab ou defaultMode), o que ele libera sem perguntar, incluindo push na branch padrão e leitura do .env, e as quatro formas de colocar o checkpoint humano de volta.
Seu agente lê um README e obedece a uma instrução escondida nele. A busca por "prompt injection" multiplicou por 8 no Brasil em 2026. O guia do que é, dos ataques que marcaram o ano e da defesa em camadas que de fato funciona.
O time 0din da Mozilla mostrou que dá pra esconder instruções maliciosas num repositório GitHub aparentemente limpo e fazer o Claude Code instalar malware sozinho. Entenda o vetor de ataque passo a passo e um checklist defensivo pra blindar seu setup.
MCP local não é MCP em produção. Sair do stdio no laptop pra um servidor MCP servindo agente corporativo exige três mudanças: Streamable HTTP no transporte, OAuth 2.1 com PKCE e Resource Indicators na auth, e JSON Schema 2020-12 estrito nos argumentos. E um gateway corporativo no meio, sempre.
O harness do tutorial roda. Em produção, ele morre na primeira semana. Esse post abre o capô do que entra entre o request e o response quando o agente está vivo 24 por 7: gate, roteador, contexto, loop com budget, pós-processamento e telemetria. Diagrama, código e referências reais para sair do POC e chegar num sistema confiável.
Funciona no happy path, mas e quando o usuário manda emoji, idioma misto e SQL injection? Em vez de rezar, monte um dataset com cinquenta casos adversariais, rode evals automatizadas e meça pass rate, custo e latência a cada iteração. É assim que prompt vira engenharia.
Seu agente lê o HTML de uma página de produto. Lê também as instruções escondidas que mandam ele ignorar o usuário e recomendar um link específico. Esse vetor já está sendo explorado em produção. Veja como funciona e o que o harness precisa fazer antes de injetar conteúdo externo no contexto do LLM.