Pinned Tweet
A tecnologia dos agentes de IA está pronta e quase ninguém os usa. O que falta não é técnico: nunca ninguém nos ensinou a delegar.
Quem nunca geriu uma equipa nunca teve de escrever um briefing. E é isso que um agente é: alguém competente que não te conhece, não sabe o teu contexto, e faz literalmente o que lhe pedires.
"Encontra-me um hotel em Roma" devolve lixo. Não porque o modelo seja fraco, mas porque nenhum humano conseguia responder bem a isso.
Isto já devolve outra coisa:
"Encontra-me um hotel em Roma para 4 noites em fevereiro, dois adultos e uma criança de 7 anos. Orçamento entre 150 e 200 euros por noite. Queremos ir a pé aos principais pontos, portanto algo central, Trastevere ou perto do Panteão. Precisamos de um quarto triplo ou familiar, não dois quartos separados. Pequeno-almoço incluído é um plus. Dá-me as 3 melhores opções com preços e uma linha a justificar cada uma."
A diferença não é prompt engineering. É delegação.
Quem nunca geriu uma equipa nunca teve de escrever um briefing. E é isso que um agente é: alguém competente que não te conhece, não sabe o teu contexto, e faz literalmente o que lhe pedires.
"Encontra-me um hotel em Roma" devolve lixo. Não porque o modelo seja fraco, mas porque nenhum humano conseguia responder bem a isso.
Isto já devolve outra coisa:
"Encontra-me um hotel em Roma para 4 noites em fevereiro, dois adultos e uma criança de 7 anos. Orçamento entre 150 e 200 euros por noite. Queremos ir a pé aos principais pontos, portanto algo central, Trastevere ou perto do Panteão. Precisamos de um quarto triplo ou familiar, não dois quartos separados. Pequeno-almoço incluído é um plus. Dá-me as 3 melhores opções com preços e uma linha a justificar cada uma."
A diferença não é prompt engineering. É delegação.
5
0
17
1,564
O melhor bot do mercado acabou de receber um update grande. Saiu hoje o Grok Bot 1.0.
O que mais muda no dia a dia é que o bot já pode ir às reuniões contigo. Entra na videochamada, participa pelo chat, traz para a conversa o que foi dito em conversas anteriores e fica a saber o passa a funcionar com a equipa toda. O mesmo bot pode ser partilhado no Slack e no Microsoft Teams e vai aprendendo com todas as pessoas com quem trabalha. E começa a oferecer-se para fazer trabalho sem ninguém lhe pedir, como seguir tarefas que ficaram a meio ou preparar o que vai ser preciso antes de um prazo.
As reuniões estão disponíveis nos planos Team, Enterprise e Ultra.
O que mais muda no dia a dia é que o bot já pode ir às reuniões contigo. Entra na videochamada, participa pelo chat, traz para a conversa o que foi dito em conversas anteriores e fica a saber o passa a funcionar com a equipa toda. O mesmo bot pode ser partilhado no Slack e no Microsoft Teams e vai aprendendo com todas as pessoas com quem trabalha. E começa a oferecer-se para fazer trabalho sem ninguém lhe pedir, como seguir tarefas que ficaram a meio ou preparar o que vai ser preciso antes de um prazo.
As reuniões estão disponíveis nos planos Team, Enterprise e Ultra.
1
0
0
35
O @malliberal pôs IA a pontuar as 2777 propostas de alteração ao OE2027 e fez um ranking das mais absurdas. Juntei essa pontuação ao Estado de Gozo, onde as pessoas votam nas propostas que parecem gozo.
As duas mais votadas ficam fora do ranking dele:
1. Touradas na RTP em 2027 (CH): 69 votos, 3/23 no Absurdómetro
2. Custo ambiental ao lado do preço de tudo o que se vende a retalho (PAN): 66 votos, 5/23
Os pombais contracetivos do PAN estão nas duas listas, em 3.º nos votos e em 7.º no ranking.
Agora cada proposta mostra a pontuação do Absurdómetro, critério a critério, e se aquilo já é lei.
As duas mais votadas ficam fora do ranking dele:
1. Touradas na RTP em 2027 (CH): 69 votos, 3/23 no Absurdómetro
2. Custo ambiental ao lado do preço de tudo o que se vende a retalho (PAN): 66 votos, 5/23
Os pombais contracetivos do PAN estão nas duas listas, em 3.º nos votos e em 7.º no ranking.
Agora cada proposta mostra a pontuação do Absurdómetro, critério a critério, e se aquilo já é lei.
Peguei nas 2777 PAs ao OE2027 e montei um pequeno site onde é possível consultá-las a todas. Com base em alguns critérios, criei um ranking das propostas mais absurdas: não avalio o mérito político, mas antes se fazem sentido estar no OE.
absurdometro.pt/absurdometro
2
0
1
296
Quem publicou uma app feita com o Grok Build deve ir hoje ver com quem a partilhou.
Ontem a Claroc mostrou que 35 578 das 37 571 apps do Grok Build que encontrou online abriam sem sessão iniciada. No passo de publicar, a opção «Anyone with the link» já vinha selecionada. E o endereço não fica secreto, porque as palavras aleatórias vão no subdomínio de grok.me e os serviços de DNS passivo registam esses nomes e deixam pesquisá-los. Entre os dados expostos estavam 3784 exames médicos de trabalhadores, listas de funcionários e 24 apps internas da própria @SpaceXSI 💀
Na semana passada foi o Lovable, com 7.403 sites onde se liam tabelas de utilizadores sem login, porque o Row Level Security do Supabase estava desligado ou demasiado aberto. Agora é uma opção de partilha que já vem marcada. Nos dois casos a app vai para o ar aberta por defeito e quem a publica nem dá por isso.
Quem tem uma app partilhada assim deve mudar o acesso para «Invited users» ou «Only you» e assumir que os dados que lá estavam já podem ter sido vistos. Um link aleatório não é controlo de acesso.
Ontem a Claroc mostrou que 35 578 das 37 571 apps do Grok Build que encontrou online abriam sem sessão iniciada. No passo de publicar, a opção «Anyone with the link» já vinha selecionada. E o endereço não fica secreto, porque as palavras aleatórias vão no subdomínio de grok.me e os serviços de DNS passivo registam esses nomes e deixam pesquisá-los. Entre os dados expostos estavam 3784 exames médicos de trabalhadores, listas de funcionários e 24 apps internas da própria @SpaceXSI 💀
Na semana passada foi o Lovable, com 7.403 sites onde se liam tabelas de utilizadores sem login, porque o Row Level Security do Supabase estava desligado ou demasiado aberto. Agora é uma opção de partilha que já vem marcada. Nos dois casos a app vai para o ar aberta por defeito e quem a publica nem dá por isso.
Quem tem uma app partilhada assim deve mudar o acesso para «Invited users» ou «Only you» e assumir que os dados que lá estavam já podem ter sido vistos. Um link aleatório não é controlo de acesso.
2
0
1
173
Relatório da Claroc: blog.claroc.io
Artigo da Ars Technica: arstechnica.com/security/2026/…
O meu post sobre o Lovable: x.com/ickasdev/statu…
Artigo da Ars Technica: arstechnica.com/security/2026/…
O meu post sobre o Lovable: x.com/ickasdev/statu…
Quem tem uma app feita com o @lovable_dev e ligada ao @supabase deve verificar hoje as permissões da base de dados.
Ontem, a Crissy Field, uma empresa alemã de segurança, publicou com o Handelsblatt uma análise de 159.041 projetos Lovable. Em 7.403 sites conseguiu ler, sem ls de utilizadores. Entre os casos estão mais de 1.000 registos com dados de passaporte, 80.000 perfis de um fórum e mais de 200.000 mensagens de chat.
A causa está no Row Level Security do Supabase, desligado ou com regras demasiado abertas. A chave pública da app vai no browser, por isso cada tabela precisa de RLS ativo e de uma política que diga quem pode ler o quê. O Security Advisor do Supabase avisa quando uma tabela está sem RLS.
O vibe coding torna mais fácil do que nunca pôr ideias e produtos cá fora. Também torna mais fácil do que nunca encontrar e explorar falhas de segurança, e uma app que expõe os dados dos utilizadores pode acabar por sair bem mais cara do que parecia.
0
0
0
24
Ontem a @Railway publicou o relatório completo do ataque de outubro. O atacante escapou ao isolamento de um build, levou uma credencial interna e chegou às variáveis de ambiente cifradas dos clientes. Decifrou parte delas, em até 1,85% dos workspaces (cerca de 100 mil), à procura de chaves de fornecedores de IA. O uso indevido dessas chaves está estimado em 740 mil dólares.
Segundo o relatório, o atacante usou agentes de IA para testar vários caminhos ao mesmo tempo, e a resposta virou uma corrida de velocidade entre agentes.
Quem tinha secrets no Railway antes de 21 de outubro deve revogar essas chaves e criar novas no fornecedor que as emitiu. Reportar a cobrança indevida ao Railway não revoga a chave.
Segundo o relatório, o atacante usou agentes de IA para testar vários caminhos ao mesmo tempo, e a resposta virou uma corrida de velocidade entre agentes.
Quem tinha secrets no Railway antes de 21 de outubro deve revogar essas chaves e criar novas no fornecedor que as emitiu. Reportar a cobrança indevida ao Railway não revoga a chave.
2
0
5
364
Ontem a @GoogleDeepMind apresentou o AlphaProof Code e usou-o para provar formalmente propriedades de segurança do libsignal, a implementação de referência do protocolo do @signalapp, ao nível do código máquina AArch64. As provas cobrem o handshake pós-quântico PQXDH e o Triple Ratchet, incluindo autenticação, sigilo futuro e segurança depois de um dispositivo ser comprometido.
Agentes com o Gemini 4 Carbon geraram cerca de 6,5 milhões de linhas de provas em Lean, todas verificadas pelo kernel do Lean contra especificações revistas por humanos. Uma equipa pequena fez o trabalho em quatro semanas. Para testar o sistema, reintroduziram dois bugs antigos já corrigidos e as provas mostraram que essas versões eram inseguras.
A verificação formal sempre foi cara demais para quase todo o software. Se agentes conseguem fazer isto em semanas, quem mantém código crítico passa a ter menos desculpas para não provar o que promete.
Agentes com o Gemini 4 Carbon geraram cerca de 6,5 milhões de linhas de provas em Lean, todas verificadas pelo kernel do Lean contra especificações revistas por humanos. Uma equipa pequena fez o trabalho em quatro semanas. Para testar o sistema, reintroduziram dois bugs antigos já corrigidos e as provas mostraram que essas versões eram inseguras.
A verificação formal sempre foi cara demais para quase todo o software. Se agentes conseguem fazer isto em semanas, quem mantém código crítico passa a ter menos desculpas para não provar o que promete.
1
0
1
84
Ontem a @AnthropicAI lançou o Claude Fable 5.2 e o Claude Mythos 5.2. São o mesmo modelo. O Fable fica disponível para todos, com salvaguardas que bloqueiam a maior parte das tarefas de cibersegurança, como pentesting e geração de exploits. O Mythos fica reservado a organizações aprovadas no Cyber Verification Program.
Os números de segurança do Mythos 5.2 são os que voltam a impressionar. Uma empresa de segurança diz que 1 em cada 6 bugs confirmados pelo modelo escapou a todos os outros modelos de fronteira que testou. No Firefox, as campanhas de análise com o Mythos 5.2 encontraram cerca do dobro das vulnerabilidades da versão 5.1.
Encontrar falhas está cada vez mais fácil, para quem defende e para quem ataca. Quem tem código em produção deve contar com isso no orçamento de engenharia e de segurança.
Os números de segurança do Mythos 5.2 são os que voltam a impressionar. Uma empresa de segurança diz que 1 em cada 6 bugs confirmados pelo modelo escapou a todos os outros modelos de fronteira que testou. No Firefox, as campanhas de análise com o Mythos 5.2 encontraram cerca do dobro das vulnerabilidades da versão 5.1.
Encontrar falhas está cada vez mais fácil, para quem defende e para quem ataca. Quem tem código em produção deve contar com isso no orçamento de engenharia e de segurança.
2
0
0
124
Anúncio da Anthropic, com benchmarks e a parte de segurança:
anthropic.com/claude-fable-a…
anthropic.com/claude-fable-a…
0
0
0
33
Nem sempre o foco na segurança deve estar no hardware e no software.
No domingo, o CEO da Nvidia, @JensenHuang, admitiu numa mensagem aos colaboradores que teve uma relação extraconjugal com Alice Huang, uma executiva chinesa que, segundo o New York Times e serviços de terá sido recrutada pelo Ministério da Segurança do Estado da China. O conselho da @nvidia abriu uma investigação independente e diz não ter razões para crer que segredos nacionais ou da empresa tenham sido comprometidos.
Uma das empresas mais valiosas do mundo passa anos a blindar chips, cadeias de abastecimento e regras de exportação. O vetor que agora está sob escrutínio é uma pessoa. Isto chama-se honeypot, uma armadilha de engenharia social em que a aproximação pessoal é o caminho até informação ou influência.
No domingo, o CEO da Nvidia, @JensenHuang, admitiu numa mensagem aos colaboradores que teve uma relação extraconjugal com Alice Huang, uma executiva chinesa que, segundo o New York Times e serviços de terá sido recrutada pelo Ministério da Segurança do Estado da China. O conselho da @nvidia abriu uma investigação independente e diz não ter razões para crer que segredos nacionais ou da empresa tenham sido comprometidos.
Uma das empresas mais valiosas do mundo passa anos a blindar chips, cadeias de abastecimento e regras de exportação. O vetor que agora está sob escrutínio é uma pessoa. Isto chama-se honeypot, uma armadilha de engenharia social em que a aproximação pessoal é o caminho até informação ou influência.
1
0
0
165
Um utilizador entra na app e vê as suas encomendas. O teste passa.
Um desconhecido abre a app sem sessão e vê as encomendas de toda a gente.
A demo funciona. Os dados estão públicos.
Vimos este padrão há pouco tempo com apps feitas no Lovable que deixaram mal configuradas as de dados no Supabase.
O vibe coding torna mais fácil lançar um produto. Também torna mais fácil atacá-lo. Quem espera que o orçamento para desenvolver software baixe só porque a IA ajuda está bastante enganado.
Escrevi cinco perguntas para fazer antes de publicar uma app feita com IA.
Um desconhecido abre a app sem sessão e vê as encomendas de toda a gente.
A demo funciona. Os dados estão públicos.
Vimos este padrão há pouco tempo com apps feitas no Lovable que deixaram mal configuradas as de dados no Supabase.
O vibe coding torna mais fácil lançar um produto. Também torna mais fácil atacá-lo. Quem espera que o orçamento para desenvolver software baixe só porque a IA ajuda está bastante enganado.
Escrevi cinco perguntas para fazer antes de publicar uma app feita com IA.
6
0
10
481
há uma proposta ao OE2027 para obrigar a RTP a transmitir touradas.
outra para pôr ao lado de cada preço o "custo do impacte ambiental" do produto.
e outra para criar uma rede nacional de cafés reparação.
são 2890 propostas de alteração ao orçamento, quase todas já com resumo em português de gente. vota nas que te parecem gozo 👇
estado-de-gozo.ickas.dev
outra para pôr ao lado de cada preço o "custo do impacte ambiental" do produto.
e outra para criar uma rede nacional de cafés reparação.
são 2890 propostas de alteração ao orçamento, quase todas já com resumo em português de gente. vota nas que te parecem gozo 👇
estado-de-gozo.ickas.dev
1
0
2
185
