#Prompt Injection

Dia 14 de agosto o Auto Mode vira o padrão do Claude Code em Pro, Max e Team: um classificador passa a aprovar as chamadas de ferramenta no seu lugar. O que a Anthropic mediu (89% contra 13,6%), o que o modo libera sem perguntar (incluindo push na branch padrão e leitura do .env) e as quatro formas de colocar o checkpoint humano de volta.

Seu agente lê um README e obedece a uma instrução escondida nele. A busca por "prompt injection" multiplicou por 8 no Brasil em 2026. O guia do que é, dos ataques que marcaram o ano e da defesa em camadas que de fato funciona.

O time 0din da Mozilla mostrou que dá pra esconder instruções maliciosas num repositório GitHub aparentemente limpo e fazer o Claude Code instalar malware sozinho. Entenda o vetor de ataque passo a passo e um checklist defensivo pra blindar seu setup.

MCP local não é MCP em produção. Sair do stdio no laptop pra um servidor MCP servindo agente corporativo exige três mudanças: Streamable HTTP no transporte, OAuth 2.1 com PKCE e Resource Indicators na auth, e JSON Schema 2020-12 estrito nos argumentos. E um gateway corporativo no meio, sempre.

O harness do tutorial roda. Em produção, ele morre na primeira semana. Esse post abre o capô do que entra entre o request e o response quando o agente está vivo 24 por 7: gate, roteador, contexto, loop com budget, pós-processamento e telemetria. Diagrama, código e referências reais para sair do POC e chegar num sistema confiável.

Funciona no happy path, mas e quando o usuário manda emoji, idioma misto e SQL injection? Em vez de rezar, monte um dataset com cinquenta casos adversariais, rode evals automatizadas e meça pass rate, custo e latência a cada iteração. É assim que prompt vira engenharia.

Seu agente lê o HTML de uma página de produto. Lê também as instruções escondidas que mandam ele ignorar o usuário e recomendar um link específico. Esse vetor já está sendo explorado em produção. Veja como funciona e o que o harness precisa fazer antes de injetar conteúdo externo no contexto do LLM.