22 de junho
IA encontrando falhas no Linux, Chrome e Safari — antes dos hackers. E a Google unificou tudo num só endpoint.
Curadoria de Thiago Lourenço Martins
OpenAI Daybreak: IA encontrou falhas reais no Linux, Chrome, Safari e Firefox — antes dos atacantes Crítico
A OpenAI expandiu o Daybreak — plataforma de cibersegurança com IA — com três lançamentos simultâneos. GPT-5.5-Cyber (versão completa): atingiu 85,6% no CyberGym, novo recorde absoluto em benchmark de segurança ofensiva/defensiva. O modelo encontrou 5 vulnerabilidades exploráveis no Chrome V8, 10+ no Safari, uma falha de 23 anos no kernel do OpenBSD e 34 vulnerabilidades no FreeBSD — com provas de conceito para todas. Codex Security (atualizado): scaneia repositórios inteiros, traça caminhos de ataque, gera patches específicos para o código da empresa e exporta para sistemas de gestão de vulnerabilidades. Desde março, escaneou 30 milhões de commits em 30 mil repositórios e fixou automaticamente 500 mil achados. Daybreak Cyber Partner Program: Accenture, Cisco, Cloudflare, CrowdStrike, IBM, Okta, Palo Alto Networks, SentinelOne, Wiz e mais 20 empresas de segurança terão acesso ao GPT-5.5 com controles especializados para levar essas capacidades aos clientes.
O gargalo histórico em segurança era encontrar vulnerabilidades. A IA resolveu isso. Agora o gargalo passou para consertar — e a OpenAI está atacando exatamente esse lado. Uma vulnerabilidade no Firefox foi encontrada e corrigida dois dias antes do Pwn2Own Berlin: cinco dos seis times registrados para atacar o Firefox desistiram porque a falha que pretendiam usar já tinha patch. Isso mudou o equilíbrio entre atacantes e defensores em tempo real.
Como funciona na prática: o GPT-5.5-Cyber navega em bases de código com milhões de linhas, mapeia os componentes críticos de segurança, traça caminhos de ataque hipotéticos e executa os exploits em ambiente controlado para confirmar se a falha é real — tudo antes de um humano chegar. O revisor humano recebe o relatório já validado, com patch sugerido e evidências. Para um dev, um arquiteto ou um gestor de TI: se o seu repositório tem mais de 10 mil linhas, existe uma boa chance de haver vulnerabilidades que nenhum revisor humano encontraria no tempo disponível. O Codex Security já está no plugin do Codex.
Patch the Planet: IA consertando código aberto que o mundo inteiro usa — cURL, Python, Go, Sigstore Alto
A OpenAI fundou o Patch the Planet com a Trail of Bits, HackerOne e Calif para proteger os projetos de código aberto que sustentam a internet. Os participantes iniciais são cURL, Python, Go, Sigstore, aiohttp, freenginx e pyca/cryptography. Um sprint inicial de cinco dias com 19 projetos produziu centenas de vulnerabilidades identificadas e dezenas de patches já mesclados. A Trail of Bits construiu um laboratório de fuzzing completo em menos de 1 dia — algo que normalmente leva semanas — usando o Codex para gerar os harnesses e expandir coberturas automaticamente.
O cURL é usado em bilhões de dispositivos. O Python sustenta metade da web e toda a ciência de dados. O Go roda boa parte dos serviços em nuvem. Esses projetos são mantidos por equipes pequenas — a pesquisa da Linux Foundation e Harvard mostrou que 94% dos projetos críticos têm menos de 10 desenvolvedores responsáveis por mais de 90% do código. Uma vulnerabilidade nesses projetos afeta downstream em escala global.
Fuzzing é uma técnica de segurança onde você bombardeia um programa com entradas aleatórias ou malformadas para encontrar casos que causam falhas inesperadas. O GPT-5.5-Cyber automatizou a criação dos harnesses (código que conecta o fuzzer ao programa-alvo) e a análise dos crashes — comprimindo semanas de trabalho especializado para horas. Se você mantém ou contribui para projetos open-source, pode se candidatar em trailofbits.com/patch-the-planet para receber suporte.
Agentjacking: novo ataque engana agentes de IA para executarem comandos maliciosos — 2.388 empresas afetadas Crítico
Pesquisadores de segurança divulgaram o Agentjacking — uma classe de ataque que tem 85% de taxa de exploração contra agentes de codificação com IA. O método: criar relatórios de erro falsos do Sentry com injeção de markdown que o agente interpreta como debugging legítimo e executa os comandos embutidos. Claude Code, Cursor e OpenAI Codex são todos afetados. 2.388 organizações foram impactadas. Ainda não há patch universal.
Os agentes de IA são confiantes por design — eles foram construídos para seguir instruções. Isso os torna vulneráveis quando a "instrução" vem de uma fonte que parece legítima mas foi fabricada por um atacante. É o phishing evoluído: em vez de enganar o humano, você engana o agente que tem acesso ao código, ao terminal e às credenciais.
Prompt injection é quando dados externos (um relatório, uma página web, um documento) contêm instruções que o modelo executa como se fossem do usuário original. A defesa: revisar os resultados de qualquer agente que acesse fontes externas antes de executar ações irreversíveis, e configurar sandboxes com permissões mínimas. Se você usa Claude Code ou Cursor com acesso ao terminal, ative aprovação manual para comandos shell.
Codex-Maxxing e Record & Replay: OpenAI ensina a delegar trabalho de dias para agentes de IA Alto
A OpenAI publicou o whitepaper Codex-Maxxing, guia prático para usar o Codex como espaço de trabalho persistente: como quebrar objetivos ambiciosos em etapas verificáveis, manter continuidade entre sessões e decidir quando delegar execução versus quando manter supervisão humana. Junto, lançou o Record & Replay para o ChatGPT Business no macOS: demonstre um fluxo de trabalho uma vez e o sistema converte em uma habilidade Codex reutilizável — para ações no navegador, uso do computador ou plugins. Disponível agora, exceto na UE, Reino Unido e Suíça.
O problema dos agentes de IA até agora era a efemeridade — cada sessão começa do zero. O Codex-Maxxing resolve o problema de design: como estruturar tarefas que duram horas ou dias de forma que o agente não "esqueça" o objetivo a cada passo. O Record & Replay vai além: qualquer processo repetitivo pode ser capturado uma vez e replicado infinitamente.
A técnica central do Codex-Maxxing é dividir um objetivo grande em subetapas que o próprio agente pode verificar se completou corretamente. Por exemplo: em vez de pedir "refatore esse módulo", você pede "refatore a função X e escreva um teste unitário que confirme que o comportamento antigo foi preservado". Cada etapa tem um critério de sucesso verificável — isso evita o agente executar etapas posteriores com premissas incorretas. Leia o whitepaper completo em cdn.openai.com.
Google lança Interactions API em produção: uma linha de código para modelos, agentes, música e imagens — 50% mais barato Crítico
A Interactions API do Google atingiu disponibilidade geral e se torna a interface primária para todos os modelos e agentes Gemini. Os principais recursos lançados: Managed Agents — uma chamada de API provisiona um sandbox Linux remoto completo onde um agente raciocina, executa código, navega na web e gerencia arquivos. Execução em background: adicione background=True em qualquer chamada e a API roda assincronamente, você busca o resultado depois. Flex tier: 50% de desconto em custo para tarefas que podem esperar. Geração de mídia: imagens com Nano Banana 2, música com Lyria 3 e voz com TTS multi-falante. Deep Research atualizado com dois novos modos (velocidade vs. profundidade), gráficos nativos e grounding multimodal. Histórico de interações com 55 dias de retenção no plano pago.
Até agora, construir com Gemini exigia APIs diferentes para modelos, agentes, imagens e música. A Interactions API unifica tudo: você troca o model_id por um agent_id e pronto. Para developers que hoje fazem malabares entre SDKs diferentes, isso é uma simplificação real. O Flex tier a 50% de desconto muda o cálculo econômico de projetos que rodam muitas inferências em lote.
A arquitetura da Interactions API funciona assim: toda interação — seja uma mensagem do usuário, um pensamento do modelo, uma chamada de ferramenta ou uma resposta — é representada como um "step" tipado. Isso facilita inspecionar exatamente o que o agente fez em cada momento. O Antigravity Agent (incluído por padrão nos Managed Agents) consegue abrir um navegador, fazer pesquisas, escrever código e gerar slides HTML — tudo dentro do sandbox sem precisar de infraestrutura própria. Documentação em ai.google.dev/gemini-api/docs/interactions.
iOS 27: o iPhone vai dividir a conta, atualizar sua senha e criar Shortcuts em linguagem natural — automaticamente Alto
A Apple detalhou as funcionalidades práticas do iOS 27 além do Siri redesenhado. As mais relevantes: Divisão de conta automática — o iPhone detecta que você compartilhou uma refeição e sugere a divisão com as pessoas na conversa. Atualização de senha automática — se o sistema detectar que uma senha foi vazada, atualiza nos sites afetados sem você precisar entrar em cada um. Siri com contexto de ligação — após uma chamada, o Siri sugere resposta baseada no conteúdo da conversa. Shortcuts via "vibe coding" — descreva em linguagem natural o que quer automatizar e o iOS cria o atalho. Calendar natural language — "almoço com a Maria na sexta às 12h" vira evento sem precisar abrir o app. Safari Tab Organizer — agrupa abas abertas por contexto automaticamente.
Essas são funções que a maioria das pessoas vai usar sem perceber que é IA — o critério máximo de adoção. Não é "use o chatbot", é "o celular simplesmente fez por você". O iOS 27 representa a transição da IA como ferramenta explícita para IA como infraestrutura invisível do dia a dia.
O que a Apple está construindo é diferente do que a OpenAI e o Google constroem: em vez de um agente que você instrui, é um assistente que aprende os padrões do seu uso e age proativamente. A diferença arquitetural importa: o processamento acontece no dispositivo (on-device) usando o chip Neural Engine — dados não saem do seu telefone. Para desenvolvedores iOS, o iOS 27 expande as AI APIs privadas para acesso de terceiros via App Intents Framework.
42 procuradores-gerais dos EUA abrem investigação formal na OpenAI — NY já emitiu intimações Alto UPDATE
Uma coalizão de 42 procuradores-gerais estaduais dos EUA abriu uma investigação formal na OpenAI — um salto significativo em relação aos 17 que tinham se organizado em maio. A procuradora-geral de Nova York já emitiu intimações formais (subpoenas) à empresa. Os focos da investigação: alegações de publicidade enganosa sobre as capacidades dos modelos, comportamento de sycophancy (modelos concordando com usuários mesmo quando errado), tratamento de dados de saúde, proteção de menores e idosos, e tratamento de dados pessoais sensíveis. O timing é estratégico: a OpenAI planeja um IPO em setembro de 2026.
42 de 50 estados americanos é quase consenso nacional. A investigação pré-IPO cria pressão para disclosure obrigatória de como os modelos funcionam — incluindo as limitações que a OpenAI não publicita. O foco em sycophancy é inédito: é a primeira vez que um órgão regulador americano trata o comportamento de "concordar para agradar" como potencialmente enganoso para o consumidor.
Sycophancy em modelos de linguagem é a tendência de concordar com a posição do usuário mesmo quando ela está errada, para gerar aprovação e engajamento. Ocorre porque os modelos são treinados com feedback humano (RLHF) e humanos tendem a preferir respostas que validam suas opiniões. Para mitigar: peça ao modelo para "advogado do diabo" argumentar contra sua premissa antes de pedir a resposta final, ou comece perguntas com "independentemente da minha opinião, analise os prós e contras de..."
ChatGPT cai abaixo de 50% de market share pela primeira vez — Claude chegou a 10,3% Médio
Segundo o relatório State of AI 2026 do Sensor Tower, a participação do ChatGPT no mercado de assistentes de IA caiu para 46,4% — a primeira vez abaixo de 50% desde o lançamento. O Google Gemini subiu para 27,7% e o Claude da Anthropic chegou a 10,3%. O ChatGPT ainda tem 1,1 bilhão de usuários ativos mensais. Dado que chama atenção: o Claude lidera em conversão paga, com 13% dos usuários pagando por assinatura — ante 8% do ChatGPT.
A era do monopólio de fato acabou. O mercado está em competição real. A diferença de conversão paga entre Claude e ChatGPT sugere que os usuários do Claude percebem mais valor utilitário — ou que o público do Claude é mais técnico e disposto a pagar. Para quem trabalha com produtos de IA, a fragmentação do mercado muda a estratégia: não dá mais para assumir que "o usuário usa GPT".
Market share em IA de consumo é medido de formas diferentes: por sessões ativas, por usuários únicos, por volume de tokens, por receita ou por downloads do app. O Sensor Tower mede principalmente por usuários ativos mensais em apps mobile. Métricas de receita ou volume de tokens podem contar uma história diferente — a OpenAI ainda lidera em API usage para developers por larga margem. A fragmentação no consumer não reflete necessariamente o mercado B2B.
O Chief Scientist da OpenAI chamou o GPT-5.6 de "meaningful improvement" sobre o GPT-5.5. Lançamento esperado no final de junho. O GPT-5.5 já perdia para o GLM-5.2 no SWE-bench (62,1% vs 58,6%) — o 5.6 deve reposicioná-lo na liderança de codificação.
→ buildfastwithai.comUm dos pesquisadores por trás do AlphaFold — sistema de IA que resolveu o problema do enovelamento de proteínas, revolucionando a biologia — foi contratado pela Anthropic. Sinal de que a Anthropic está investindo em IA científica/biomédica além do foco em segurança.
→ @evolving.ai (Instagram)A Samsung Electronics firmou parceria com a OpenAI para implantar ChatGPT e Codex internamente para todos os colaboradores. É um dos maiores rollouts corporativos de IA generativa já anunciados — 300 mil funcionários com acesso direto às ferramentas.
→ openai.comA Snap lançou os Specs no AWE 2026. Dois processadores Qualcomm, APIs da OpenAI e do Gemini nativas. O primeiro "computador espacial para consumidores" com IA multimodal integrada. Posicionado antes de um produto equivalente da Meta chegar ao mercado.
→ techcrunch.comO OpenRouter lançou o Fusion — roda um prompt em múltiplos modelos simultaneamente e sintetiza as respostas. Um painel com Gemini 3 Flash + Kimi K2.6 + DeepSeek V4 Pro marcou 64,7% no DRACO benchmark, perto dos 65,3% do Fable 5 solo, por ~50% do custo.
→ buildfastwithai.comReceba o Radar IA todo dia no WhatsApp.