MDN lançou um servidor MCP experimental para agentes como Codex CLI e Claude Code; o ataque ao AUR cresceu rumo a 1.900 pacotes; curl vai pausar reports de vulnerabilidade em julho; e Miguel Grinberg fechou a porta para PRs de IA sem conversa prévia.

Depois que a Nex mostrou que os pesos do Rio 3.5 Open eram uma mistura do Nex N2 Pro com o Qwen 3.5, e que o modelo se apresentava como "Nex" sem system prompt, a IplanRIO atualizou o card no Hugging Face admitindo o merge e pediu desculpas por ter subido a versão errada. Os benchmarks da própria casa seguem sem auditoria de fora.

A IplanRIO publicou o Rio 3.5 Open, um modelo de 397 bilhões de parâmetros sob licença MIT, poucos dias depois de uma ordem do governo dos EUA tirar o Fable 5 e o Mythos 5 da Anthropic do ar. Os benchmarks são da própria casa e ainda esperam auditoria de fora.

PromptSnatcher aponta duas extensões de ad blocker coletando conversas de IA, TensorZero arquivou o repositório depois de anunciar seed, Honda Civic apareceu com chave de teste do AOSP no update, Splunk corrigiu a CVE-2026-20253, e Terraform MCP, pkgcli, GLM-5.2 e Fable/Mythos completam o dia.

Uma diretiva de controle de exportação dos EUA mirou o acesso de estrangeiros ao Claude Fable 5 e ao Mythos 5, e a Anthropic desligou os dois para todo mundo. A justificativa é um jailbreak estreito, pedir para o modelo ler e corrigir código, enquanto um teste da Endor Labs aponta só 19% de acertos de segurança e o Opus 4.8 segue no ar.

Arch/AUR teve adoções maliciosas, a Anthropic removeu Fable 5 e Mythos 5 após uma diretiva dos EUA, a Depthfirst relata 21 falhas zero-day no FFmpeg, e Homebrew 6, Miasma, SLSA, Dropbox MCP, Cohere e PostgreSQL completam o dia.

Claude Fable 5 mostrou agente local com navegador, servidor e custo real; DeltaDB e adjacency-agents mexem no fluxo de código; llama.cpp recebeu EAGLE3; e Homebrew, Miasma, AUR e Check Point lembram onde a confiança quebra.

Aprenda a usar o SSH ProxyJump e um Jump Server (Bastion Host) pra acessar servidores internos sem expor SSH na internet: -J, ~/.ssh/config e a config de produção completa do usuário de salto.

A AWS publicou um case de equipes AI-native com números que pedem contexto; Ivanti Sentry CVE-2026-10520 já aparece em exploração; DiffusionGemma tenta gerar texto em blocos; Stack Overflow, Copilot CLI, Langflow e ASSERT mostram o lado operacional dos agentes.

O npm v12 desliga preinstall, install e postinstall por padrão e bloqueia dependências git e remotas; o Claude Fable 5 na AWS Bedrock perde o zero data retention; a Microsoft soltou um Patch Tuesday recorde com um zero-day do Defender ainda aberto; e seis falhas no protobuf.js abrem RCE no Node.js.