Raciocínio vaza, skills conspiram e agentes cobram pelo passado

Tem coisa que parece segura só porque ninguém consegue ler. Um bloco de raciocínio vem criptografado, atravessa a aplicação como uma caixa preta e volta para o provedor. Tudo certo, então? Pois pesquisadores conseguiram reaproveitar essas caixas entre usuários, sessões e modelos. Depois, abriram o conteúdo por uma rota mais fraca dentro do mesmo ecossistema.

Criptografia sem contexto autenticado é um cofre que protege o conteúdo e esquece de perguntar quem está carregando a chave.

A edição de hoje também tem skills que só mostram o ataque quando trabalham juntas, um modelo de 30 bilhões de parâmetros mirando Macs e GPUs de consumo e a continha desagradável dos agentes que releem a própria vida a cada turno. Segurança, memória e custo acabam na mesma pergunta: que estado a gente está deixando o agente carregar como se fosse confiável?

Blocos de raciocínio criptografados atravessaram a fronteira errada

Pesquisadores relatam uma falha arquitetural em sistemas da Anthropic, OpenAI e Google. Dentro de cada ecossistema, blocos opacos de raciocínio puderam ser reutilizados entre usuários, sessões e modelos. Um jailbreak de descriptografia então usou um modelo mais fraco do mesmo provedor para expor o conteúdo.

A criptografia continua escondendo os dados durante o transporte. A falha aparece quando o sistema recebe o bloco oculto de volta e o aceita como estado autorizado sem vinculá-lo ao usuário, à sessão, ao modelo, ao turno e à finalidade originais. A caixa está fechada, mas caiu na esteira errada e ninguém olhou a etiqueta.

O tamanho da exposição tira o assunto do mundo das abstrações. Os autores coletaram 315.320 blocos em repositórios públicos e relatam ter recuperado 367 artefatos de informação pessoal identificável e 182 credenciais. Isso também muda a forma de olhar para logs, traces e exemplos publicados: um campo ilegível para nós ainda pode carregar material sensível que outro componente do provedor sabe interpretar.

Para quem constrói agentes, estado trazido pelo cliente precisa de autenticação de contexto, além de confidencialidade. A aplicação deve bloquear replay, troca de posição e reutilização fora da identidade e do propósito previstos. E talvez seja uma boa revisar o que vai parar em log público antes de tratar aquele blob criptografado como decoração hexadecimal.

Os resultados vêm do paper. O resumo acessível diz que os fornecedores foram avisados, mas não informa a situação atual da correção em cada plataforma. A pesquisa demonstra o desenho vulnerável e a exposição observada; não traz uma tabela atualizada de quem já fechou cada caminho.

Fontes: Stealing Reasoning Traces from Proprietary LLM APIs e versão HTML do paper.

Skills comportadas separadamente podem aprontar juntas

O ColluSkill explora uma fraqueza parecida em outro andar do prédio. Em vez de concentrar toda a intenção maliciosa numa skill fácil de marcar, o ataque reparte o comportamento entre pacotes que parecem plausíveis quando avaliados sozinhos. A ação perigosa surge quando arquivos, artefatos, prompts, estado e passagens de execução se encontram no workflow completo.

Segundo os autores, o ColluSkill teve em média 96% de sucesso contra seis scanners. A defesa proposta, ChainGuard, derrubou o resultado para 22,5% e deixou passar 99,5% dos workflows benignos. É uma diferença grande dentro do experimento. Ainda sobra ataque suficiente para ninguém querer descobrir os detalhes pela fatura da nuvem ou pelo alerta do SOC.

O ElasticBack chega à mesma fronteira por outra rota. Ele esconde uma regra condicional numa única skill aparentemente normal e espera uma consulta compatível do usuário para ativar o comportamento. Os autores relatam alto sucesso e quase nenhum falso positivo em três comportamentos-alvo, com 50 skills para cada um e quatro LLMs de agentes.

Os dois trabalhos são avaliações controladas. Eles não medem quantas skills maliciosas circulam em marketplaces reais nem quantos ambientes já foram comprometidos. O achado útil é arquitetural: revisar pacote por pacote pode deixar passar o comportamento que nasce da composição.

Uma instalação de skills precisa expor procedência e capacidades, limitar acesso com sandbox e acompanhar o fluxo de dados entre as peças. A unidade de confiança é o workflow que realmente executa. Se cinco ingredientes inocentes viram uma sopa venenosa, não adianta o scanner examinar a cebola e aprovar o jantar.

Fontes: paper do ColluSkill e paper do ElasticBack.

Muse Glimmer coloca 30B em uma máquina que ainda cabe na mesa

Em 10 de agosto, a Meta lançou os pesos do Muse Glimmer sob Apache 2.0. O modelo tem 30 bilhões de parâmetros, recebe entrada multimodal e foi treinado para uso de ferramentas, código e workflows longos de agentes. A ideia é rodar localmente, inclusive em Macs e GPUs de consumo com 24 ou 32 GB de memória.

Só que “rodar localmente” envolve mais coisa do que o arquivo de pesos. Segundo a Meta, uma quantização de aproximadamente 4 bits deixa os pesos do modelo de linguagem abaixo de 20 GB. O alvo de 24 ou 32 GB já conta também o cache de chaves e valores, o famoso KV cache, o encoder de percepção e o modelo auxiliar usado na geração especulativa.

Peso quantizado não é memória total de execução. O contexto cresce, o KV cache vai atrás, e as peças de visão e geração especulativa também querem uma cadeira à mesa. Mesmo com essa conta, um modelo agêntico de 30B nessa classe de hardware aumenta bastante o que uma equipe pode testar sem mandar código e dados para uma API externa.

As afirmações de desempenho e de pouca perda com quantização vêm dos benchmarks da própria Meta. Esta apuração não encontrou avaliações independentes em trabalho real. A empresa também descreve as integrações otimizadas com llama.cpp, MLX e ExecuTorch como trabalho futuro. Os pesos chegaram; a experiência mais polida em cada runtime vem depois.

E uma máquina local com 24 GB continua bem longe daquele VPS pequeno que você alugou para servir Nginx e esqueceu no canto. “Local” é uma categoria larga o bastante para o marketing estacionar uma carreta dentro.

Fonte: anúncio do Muse Glimmer pela Meta AI.

O agente barato começa a cobrar caro pelo próprio passado

Prompt caching reduz o preço dos tokens repetidos. Gratuitos eles não ficam. Martin Alderson publicou um modelo de custo que mostra o efeito em loops longos: a cada turno, o agente acrescenta conteúdo ao histórico e relê quase tudo que veio antes. O desconto baixa o preço de cada leitura; a pilha crescente continua na conta.

No exemplo de 20 turnos, o total chega a US$ 2,16. As leituras do cache consomem US$ 1,04, ou 48,1%. Em outro cenário, com 100 turnos, a conta vai a US$ 21,34. Desse valor, US$ 16,31 — 76,4% — vêm do cache.

A forma da curva explica o susto. Quando o histórico cresce de maneira aproximadamente linear e cada rodada lê tudo que se acumulou, o consumo se aproxima de um crescimento quadrático. É a assinatura técnica daquele colega que, antes de responder qualquer mensagem, relê o canal inteiro desde a fundação da empresa.

Os percentuais dependem do preço do provedor, das regras de cache e do crescimento do transcript em cada cenário. Portanto, não servem como previsão universal da sua fatura. Servem muito bem para lembrar que o custo está no loop completo, e não só no preço da entrada nova e da saída.

Na arquitetura, isso aponta para compactação periódica, histórico limitado, ferramentas especializadas e estado durável em formato estruturado. Também ajuda encerrar cedo quando a tarefa acabou, conceito revolucionário para agentes e reuniões. Contexto útil fica; o modelo só precisa parar de redescobrir cem vezes aquilo que poderia consultar de forma menor e explícita.

Fonte: Watch out for cache read costs, de Martin Alderson.

SWE-Bench ProMax troca o patch isolado pela refatoração espalhada

O SWE-Bench ProMax reúne 170 tarefas de refatoração extraídas de repositórios reais. São sete linguagens e mudanças coordenadas em vários arquivos. Cada instância altera, em média, 11,4 arquivos e 261,6 linhas. Os autores também fizeram curadoria manual das descrições e dos testes.

Esse recorte chega mais perto daquele trabalho que agente de código vende lindamente na demo e encontra bem menos arrumado no repositório. Refatorar sem mudar comportamento exige localizar chamadas, acompanhar dependências, atualizar testes e validar tudo como conjunto. Um diff convincente em um arquivo é só o aquecimento.

A melhor combinação de modelo e scaffold testada resolveu 41,2% das tarefas. O benchmark ainda está longe da saturação e oferece um sinal mais duro para comparar sistemas em mudanças transversais.

Ainda estamos falando de commits públicos, descrições curadas e oráculos de teste. O benchmark não mede sozinho descoberta autônoma de requisitos ou julgamento arquitetural, nem elimina o risco de contaminação dos modelos. O número ajuda a escolher ferramenta. Para aceitar a refatoração, continuam valendo os testes da equipe e uma revisão que entenda por que onze arquivos precisaram mudar.

Fonte: paper do SWE-Bench ProMax.

Destaques rápidos para hoje.

• Mozilla trocou em 10 de agosto uma subchave de assinatura do Firefox e do Thunderbird depois que uma cópia sem criptografia foi commitada num repositório privado do GitHub. Ela assinava tarballs Linux, pacotes RPM e arquivos de checksum. Segundo a Mozilla, os registros de auditoria não mostraram acesso indevido e poucas pessoas autorizadas acessavam o repositório; essa é a conclusão da empresa com base nos registros disponíveis. A maioria dos usuários não precisa fazer nada. Quem verifica assinaturas manualmente ou usa ferramentas RPM antigas de Fedora, RHEL, Rocky, AlmaLinux e SUSE talvez precise remover a chave anterior e importar a nova, de fingerprint 827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3, válida até 5 de agosto de 2028. Fonte: Mozilla Security Blog.

• O xfwl4 4.21.1 avançou o compositor Wayland experimental do Xfce com correções e adições para janelas, entrada, captura de tela, bloqueio de sessão e XWayland. A tag de 10 de agosto também inclui repetição de teclado ao mover ou redimensionar e tratamento de clientes sem resposta, com timeout listado de três segundos. É uma preview para testar a transição do Xfce; o xfwm4 sobre X11 continua sendo o caminho estável. Fonte: tag oficial do xfwl4 4.21.1.

• Needle 2 colocou roteamento de ferramentas num binário de 14 MB. A Cactus lançou o modelo aberto e especializado de 45 milhões de parâmetros para selecionar funções, usar recursos do dispositivo e extrair dados estruturados. A empresa informa cerca de 28 MB de RAM para uma sessão completa. O tamanho chama atenção no edge porque a decodificação restrita cuida da gramática da saída. Os benchmarks do fornecedor medem justamente essa especialização; um chatbot geral de 14 MB ainda não apareceu por intervenção divina. Fonte: página de lançamento do Needle 2.

• Um otimizador forte montou o próprio processo de melhoria, enquanto modelos mais fracos ainda precisaram de scaffold. No paper sobre open-ended optimization, o sistema movido por GPT-5.5 teve 12 vitórias, um empate e uma derrota por 0,21 ponto em 14 comparações, usando uma mediana de 34,3% do orçamento de tokens de interação configurado para o SkillOpt. Os testes cobrem oito combinações de benchmark, alvo e modelo e não demonstram autoaperfeiçoamento autônomo em produção. Objetivo, orçamento, dados e avaliação continuam como contrato externo. Retirar o workflow prescrito só faz sentido depois que o otimizador mostra capacidade para trabalhar sem ele. Fonte: Rethinking Self-Evolving Agents.

• STAIR organizou resposta a incidentes sobre um estado em grafo. A arquitetura atualiza entidades e relações explícitas do incidente e combina planejadores por etapa, recuperação histórica, feedback da execução e validação de ações. Assim, não depende apenas de um transcript de prosa cada vez maior. Em 100 cyber ranges com Docker, os autores relatam score normalizado de defesa de 0,94 e melhora de 9,5% sobre o baseline mais forte. Foi um laboratório controlado. Qualidade da telemetria, autorização e limite de impacto em produção ainda precisam ser resolvidos antes de soltar o agente sozinho no ambiente. Fonte: paper do STAIR.

• Probes lineares encontraram um sinal fraco de segurança dentro de modelos revisores de código. Em cinco modelos de pesos abertos, os probes ordenaram a função Python vulnerável acima da versão corrigida em 61% a 67% dos pares, contra 50% do acaso, e superaram perguntas diretas de “sim ou não” aos mesmos modelos. As ativações parecem carregar uma distinção que o veredito escrito não expõe bem. Ranking par a par num corpus de pesquisa não equivale a precisão e recall numa base real. O resultado pode complementar análise estática, testes e revisão humana. Fonte: Activation Probes Surface Code-Security Signals.

• mcptoon compacta a descoberta de ferramentas MCP, com uma comparação que pede asterisco. O cliente aberto emite listagens em TOON ou apenas nomes no lugar do JSON normal. O autor estima redução de 40% a 60% mantendo a semântica completa e 97% no modo somente nomes. O segundo número omite schemas de entrada e pode exigir outra consulta para buscar o formato da ferramenta, então as duas modalidades não entregam uma descoberta equivalente. É uma opção testável para reduzir contexto, com percentuais calculados pelo próprio projeto. Fonte: repositório do mcptoon.

Nota: gerado por IA (The Paper LLM), com fontes originais listadas por bloco.