Lambda MicroVMs isola código de IA, e SonicWall lembra que patch não limpa VPN

Quando o produto começa a executar código que veio do usuário, de um agente ou de alguma integração, a arquitetura fica sem espaço para improviso. Hoje aparece uma resposta de infraestrutura para esse problema, um lembrete seco de que patch não limpa VPN sozinho e alguns sinais de que automação boa ainda precisa de dono.

AWS Lambda MicroVMs dá estado e isolamento para código não confiável

A AWS anunciou, em 22 de junho de 2026, o Lambda MicroVMs. A proposta é direta para quem já precisou rodar código que não escreveu: ter isolamento de máquina virtual, mas com a velocidade e o controle de ciclo de vida que a AWS está colocando dentro da família Lambda.

O serviço usa Firecracker e mira ambientes isolados com estado. Isso importa porque container é rápido, mas compartilha kernel. VM isola melhor, mas costuma trazer custo de inicialização e operação. Função serverless tradicional ajuda bastante, mas nem sempre combina com sessão interativa, arquivo temporário, memória preservada e ida e volta curta entre execução e inspeção.

A AWS fala em lançamento e retomada quase instantâneos, suspensão automática, retomada quando a sessão volta a ser usada e preservação de memória e disco por até 8 horas. Os exemplos de uso são bem atuais: assistentes de código com IA, ambientes interativos de programação, análise de dados, scanners de vulnerabilidade e servidores de jogo scriptáveis pelo usuário.

A parte de segurança continua sendo trabalho seu também. Nos exemplos aparece um header de proxy/autorização como X-aws-proxy-auth, uma boa lembrança de que sandbox precisa andar junto com autenticação, autorização, isolamento de segredo, log e regra contra abuso. Também entra a conta normal de serviço gerenciado: região, preço, limite, API, identidade e comportamento real sob carga.

Mesmo assim, a peça muda uma decisão comum. Muita gente está montando produto que precisa executar código de usuário ou código gerado por modelo. Ter uma primitiva oficial para sessão isolada e stateful tira a conversa do “vamos manter nossa própria pilha de VM” e coloca a pergunta no lugar certo: isso cabe nessa arquitetura?

Fontes: AWS News Blog, AWS Documentation e AWS Lambda MicroVMs.

SonicWall mostra que firewall corrigido ainda pode ficar aberto

O SANS Internet Storm Center publicou, em 23 de junho, um diário sobre a CVE-2024-40766 em SonicWall SonicOS. A falha é antiga, de controle de acesso impróprio, e atinge caminhos de gerenciamento e SSLVPN em dispositivos Gen 5, Gen 6 e Gen 7 afetados.

O caso tem menos susto de zero-day e mais trabalho de inventário. Segundo o SANS, grupos como Akira e Fog exploram esse problema desde pelo menos setembro de 2024, e ondas mais recentes continuam encostando em sobras de configuração: contas locais esquecidas, senhas não rotacionadas, origem liberada demais para SSLVPN, mapeamento perigoso no Default LDAP User Group, Virtual Office Portal exposto e sessões antigas ainda vivas.

Esse tipo de falha é cruel porque o painel pode passar a sensação de “já atualizamos”. Só que firmware corrigido não apaga usuário local que ninguém revisou, não fecha portal exposto e não corrige grupo LDAP herdado de migração apressada. O SANS também chama atenção para um detalhe pesado: dispositivos SonicWall Gen 6 chegaram ao fim de vida em 16 de abril de 2026 e não recebem mais firmware nem patch de segurança.

Para quem administra esse ambiente, a lista defensiva é chata e necessária: apagar usuários SSLVPN locais que não deveriam existir, rotacionar credenciais locais e de bind LDAP, restringir origem de acesso ao SSLVPN e ao portal, revisar o Default LDAP User Group, encerrar sessões longas e trocar hardware sem suporte. Também vale revisar MFA com cuidado, porque credencial válida e portal aberto podem deixar atacante registrar o próprio TOTP em alguns cenários descritos pelo SANS.

Aqui a vulnerabilidade é só o começo da história. O que mantém a porta aberta é a sujeira operacional que sobreviveu ao patch.

Fontes: SANS Internet Storm Center, SonicWall PSIRT e NVD.

Hugging Face colocou o release do huggingface_hub em um CI semanal

A Hugging Face publicou, em 23 de junho, como mudou o release do huggingface_hub. O pacote saía a cada 4 a 6 semanas. Agora a meta é semanal, com o processo centralizado em um único workflow do GitHub Actions.

A IA fica em um papel pequeno e bem delimitado. A automação cuida de tarefas de release: branch, bump de versão, tag, publicação, checagens de release candidate e testes em bibliotecas downstream. O GLM-5.2 rascunha notas de release a partir dos metadados dos pull requests, mas o material passa por revisão humana antes de ir para fora.

Para mantenedor, isso é mais útil do que parece. Release atrasado vira acúmulo de mudança, mais risco de regressão e mais cansaço para quem precisa lembrar cada detalhe do ritual. Release menor e frequente deixa o erro mais perto da mudança que o causou.

Copiar esse desenho para qualquer pacote seria exagero. Projeto com binário pesado, ABI sensível, cliente enterprise ou rollout complicado precisa de outro freio. A graça do exemplo está no desenho: automatizar a mecânica repetitiva e deixar julgamento, rollback e aprovação nas mãos de quem mantém o projeto.

Fontes: Hugging Face Blog e Hugging Face Blog Index.

Patch the Planet tenta entregar patch, teste e triagem para mantenedores

A OpenAI anunciou, em 22 de junho, o Patch the Planet, uma iniciativa Daybreak feita com a Trail of Bits. A promessa é ajudar mantenedores de software aberto a lidar com vulnerabilidades usando pesquisa assistida por IA, revisão humana especializada, patch, teste e coordenação de divulgação.

Esse detalhe da revisão humana segura a história no chão. Quem mantém projeto aberto já recebe issue ruim, relatório duplicado, severidade inflada, PoC sem contexto e pedido urgente de quem não vai ajudar no patch. Se a IA só aumentar o volume de achado cru, ela vira mais uma fila para alguém limpar no domingo.

Segundo a OpenAI, os pesquisadores reproduzem evidências, checam documentação e modelo de ameaça do projeto, removem duplicatas, reavaliam severidade e priorizam vulnerabilidades confirmadas. A lista inicial citada inclui cURL, NATS Server, pyca/cryptography, Sigstore, aiohttp, Go, freenginx, Python e python.org.

A Trail of Bits reportou números da primeira semana: 19 projetos, 64 pull requests públicos, 51 issues e 37 correções já mescladas no momento da publicação. São números oficiais das empresas envolvidas, não uma auditoria independente. Ainda assim, mostram a forma mais saudável da promessa: modelo e ferramenta como acelerador, humano como filtro, mantenedor como dono.

As fontes também citam peças como Codex Security e GPT-5.5-Cyber dentro desse fluxo. O nome chama clique, eu sei. Mas a parte que interessa para produção é menos brilhante e mais responsável: confirmar falso positivo, escrever teste, ajustar CI, respeitar disclosure e não jogar relatório semi-pronto no colo de quem mantém a internet funcionando.

Fontes: OpenAI, Trail of Bits e TechCrunch.

Destaques rápidos de hoje

• actions/checkout v7 bloqueia pwn-request comum por padrão. Em maio, a gente já tratou GitHub Actions como superfície de roubo de segredo. A mudança agora é concreta: o actions/checkout v7 recusa padrões comuns em que pull_request_target ou workflow_run buscavam código de fork não revisado com contexto privilegiado por perto. Em 16 de julho de 2026, a GitHub pretende levar a proteção para majors suportadas; tags flutuantes como actions/checkout@v4 herdam a mudança, pins por SHA/minor/patch precisam de upgrade, e o escape explícito se chama allow-unsafe-pr-checkout. Fontes: GitHub Changelog, actions/checkout e InfoWorld.

• Cloudflare e navegadores querem um sinal privado contra tráfego abusivo. A Cloudflare anunciou trabalho com Mozilla Firefox, Google Chrome, Microsoft Edge e Shopify em Private Access Control Tokens, ou PACT, para provar que um tráfego não é malicioso sem depender só de rastreamento invasivo ou desafio repetido. A fase ainda é de padronização; governança, browsers menores, clientes de automação e agentes precisam ser observados. Fontes: Cloudflare e gHacks.

• RFC 10008 deu nome próprio para consulta HTTP com corpo. O método QUERY serve para operações de consulta no servidor com conteúdo na requisição, mantendo semântica segura e idempotente, uma dor conhecida para APIs que hoje entortam GET ou usam POST para leitura complexa. O freio real continua sendo adoção: cliente, proxy, firewall, cache e servidor precisam entender o método, o Content-Type, o Accept-Query e a chave de cache. Fontes: RFC Editor e Kreya.

• Canonical Livepatch chegou oficialmente ao Arm64. A Canonical anunciou suporte de Livepatch para Arm64 em Ubuntu 26.04 LTS e Ubuntu Core 26, permitindo aplicar atualizações críticas de kernel sem reboot em máquinas suportadas. Para cloud Arm e edge remoto, isso reduz janela de manutenção, mas ainda pede validação de kernel, canal, toolchain, stack trace confiável e plano de reboot quando ele for necessário. Fonte: Ubuntu Blog.

• YOLO26 propõe visão em tempo real sem NMS no caminho de inferência. O paper da Ultralytics, enviado ao arXiv em 2 de junho e destacado hoje, propõe uma família YOLO26 com design dual-head para inferência nativa sem non-maximum suppression, remove Distribution Focal Loss e cita MuSGD, Progressive Loss e STAL no treinamento. Os autores reportam 40,9 a 57,5 mAP no COCO e 1,7 a 11,8 ms de latência em T4 TensorRT; trate como claim de paper até testar no hardware e no pipeline que você realmente usa. Fonte: arXiv.

Acompanhamento de tendências do dia

Depois de Sentry MCP ontem e plugins do JetBrains no dia 21, a conversa sobre agentes continuou saindo do prompt e entrando nas bordas do sistema. Hoje os sinais vêm de skills de terceiros, avaliação de prompt injection, adversarial prefill e memória persistente.

Um paper sobre agent skills trata essas skills como pacotes de instrução em arquivo, distribuídos por terceiros e executados com privilégios do usuário. A proposta Locate-and-Judge usa um localizador baseado em atenção para achar trechos suspeitos e depois passa esses trechos para um juiz mais pesado. A ideia é auditar custo e risco sem entregar tudo para uma varredura grande e cara a cada vez.

Outro paper avalia ataques automatizados em AgentDojo, com GCG e TAP em 80 pares de tarefas e quatro domínios. O resultado ainda é estreito: ataques black-box se saíram melhor sob limites práticos de computação, mas a transferência entre modelos não foi limpa. Já o trabalho sobre adversarial prefill testou dez modelos abertos ajustados para instrução e reportou que nenhum deles reconheceu de forma confiável saídas comprometidas; em média, 27,3% das respostas aceitaram como própria a intenção colocada no prefill.

A Microsoft entra por uma porta bem de produção: memória de IA. Ela ajuda o usuário e vira estado que pode influenciar comportamento depois que o contexto original já sumiu. Por isso aparecem checks de escrita, política de tenant, Task Adherence, logs como MemoryUpdated e busca em ferramentas como Defender Advanced Hunting.

Para quem constrói agente, o desenho é bem comum em segurança: trate skill, conteúdo recuperado, memória e chamada de ferramenta como superfície privilegiada. Escaneie antes de carregar, valide em etapas, registre mudança sensível, use política fora do modelo e desconfie de autorrelato do próprio modelo quando a pergunta envolve comprometimento. Modelo educado ajuda. Trava externa continua dormindo melhor.

Fontes: arXiv / Detecting Malicious Agent Skills, arXiv / Automated Prompt Injection, arXiv / Adversarial Prefills, Microsoft Security Blog e Role Confusion.

Nota: gerado por IA (The Paper LLM), com fontes originais listadas por bloco.