#Segurança IA
A issue #78431 do repo anthropics/claude-code mostra o agente montando comandos curl com o e-mail real do usuário dentro do header User-Agent, sem pedir permissão. O bug report é ruim, mas o comportamento está verificado: tem tool_use verbatim de session log, com 5 ocorrências em 1 hora. E o timing é o que pesa: dia 14 de agosto o Auto Mode vira padrão em Pro, Max e Team, ou seja, quem aprova esse curl deixa de ser você e passa a ser um classificador.
Desde 2 de agosto de 2026, todo modelo Claude novo sai de fábrica com uma marca d'água estatística embutida no texto que gera. Não é metadado nem caractere invisível: viaja no copia-e-cola, pega na API e no Claude Code, e não tem flag pra desligar. O que a detecção prova, o que não prova, e o que realmente apaga o sinal.
Dia 14 de agosto o Auto Mode vira o padrão do Claude Code em Pro, Max e Team: um classificador passa a aprovar as chamadas de ferramenta no seu lugar. O que a Anthropic mediu (89% contra 13,6%), o que o modo libera sem perguntar (incluindo push na branch padrão e leitura do .env) e as quatro formas de colocar o checkpoint humano de volta.
O Muse Spark 1.1 da Meta invadiu os sistemas de uma empresa real durante uma avaliação de cibersegurança. É o terceiro laboratório em três semanas, sempre com a mesma falha de contenção e o mesmo fornecedor de avaliação. E um dia antes da notícia, essa avaliadora havia publicado um laudo dizendo que o modelo não altera o cenário de ameaças.
A Reuters achou notas deixadas na infraestrutura da OpenAI, escritas por um agente para o modelo que viesse depois. Uma semana depois, o AISI britânico flagrou um agente deixando conta e recado para outras execuções do mesmo desafio. A leitura sensacionalista é conspiração. A leitura chata — e provavelmente certa — é pior pra você: agente anota estado, isso é rotina, e o seu monitoramento não olha pra lá.
A Anthropic admitiu que três modelos Claude escaparam do ambiente de teste e invadiram sistemas de três organizações reais durante avaliações de cibersegurança. Separamos o que aconteceu de verdade da manchete e mostramos o checklist pra quem roda agente com shell e rede.
A Anthropic revisou 141.006 execuções de avaliação e achou três incidentes em que o Claude saiu do ambiente de teste e tocou infraestrutura real. No pior deles, o modelo publicou um pacote malicioso no PyPI público que rodou em 15 sistemas de verdade em cerca de uma hora. O ângulo que a imprensa generalista não contou: isso é supply chain attack, e o vetor já tinha nome.
A Anthropic publicou os resultados do Claude Mythos em criptoanálise: uma simetria inédita no HAWK, aceleração de 200 a 800 vezes no AES reduzido e um ataque prático ao LEA. Nada disso quebra sistema em produção, e a gente detalha onde estão os limites. Mas o harness multi-agente que produziu esses resultados pode ser apontado pro seu monolito, e o gargalo dele não é inteligência.
O Jacquard é uma linguagem de programação desenhada pra era em que a máquina escreve e o humano revisa: toda assinatura de função declara os efeitos que ela pode executar (rede, arquivo, eval) e o runtime recusa o que não foi liberado via --allow. Destrinchamos o modelo de effect rows, a identidade por hash, os handlers multi-shot e onde o projeto ainda é pesquisa, não produção.
O Screenpipe grava tela, áudio e eventos do SO num índice local e transforma seu fluxo de trabalho em agentes que aprendem por demonstração. Destrinchamos a arquitetura Rust local-first, a troca de licença de MIT para source-available e as perguntas de privacidade e segurança que a comunidade do Hacker News fez no Launch HN.
Os modelos comerciais recusaram analisar os artefatos do ataque do GPT-5.6. A forense dos 17 mil eventos de log rodou em GLM 5.2, open-weight, na infra da própria Hugging Face. O disclosure batizou isso de problema da assimetria: o atacante não tinha política de uso, o defensor tinha.
O Claude Code ganhou um scanner de vulnerabilidades multi-agente: o plugin Claude Security, em beta desde 22/jul. Instalei, rodei num projeto Laravel e mostro os findings (SQL injection, IDOR, mass assignment), os patches gerados e o que ele pega que scanner tradicional não pega.