Conta anónima no GitHub larga 0‑days de browser sem correção

Sofia Almeida: Olá, eu sou a Sofia Almeida.

Rafael Costa: E eu sou o Rafael Costa. Está a ouvir o HackerNews Daily, um podcast da Bri. Hoje: uma conta anónima no GitHub está a largar exploits de navegador sem correção; um tribunal nos Estados Unidos proibiu a venda de carros eléctricos da Polestar mas deixou a Volvo de fora; e a Califórnia acabou de proibir aqueles anúncios em streaming que entram com o dobro do volume.

Sofia Almeida: Essa conta anônima no GitHub parece estar a largar 0-days que ninguém sabia que existiam, e está a fazer isso tudo de uma vez.

Rafael Costa: Mas espera, 0-days são aquelas falhas que ainda não têm correção, certo? Que tipo de vulnerabilidades é que ela está mesmo a publicar?

Sofia Almeida: Exato, são falhas sem patch. O foco da conta é em exploits para browsers e motores como o Chromium. Coisas que permitem escapar da sandbox ou execução remota de código.

Rafael Costa: Isso é alarmante. Significa que qualquer pessoa que pegue nesse código pode usá-lo para atacar utilizadores antes de haver uma atualização disponível?

Sofia Almeida: É esse o risco principal. Em vez de vender ou reportar com responsabilidade, a conta está simplesmente a mass-dropar o código público. Isso reduz o tempo de defesa a zero.

Rafael Costa: Ou seja, a Google e outras empresas são apanhadas de surpresa porque o exploit se torna uma arma no exato momento em que aparece no GitHub.

Sofia Almeida: Há uma decisão judicial nos Estados Unidos que está a deixar muita gente desconfortável. Um tribunal proibiu a venda de carros elétricos da Polestar, mas deixou a Volvo de fora.

Rafael Costa: Mas a Polestar e a Volvo não partilham tecnologia? São do mesmo grupo, a Geely. Como é que uma é apanhada e a outra escapa?

Sofia Almeida: Partilham, e é exatamente isso que torna a história estranha. A proibição vem de uma disputa de patentes com uma empresa chamada Arigna, mas a tecnologia em causa está nos carros das duas marcas.

Rafael Costa: Então o tribunal não olhou para a engenharia. Olhou para quê?

Sofia Almeida: Para o sítio onde os carros são montados. A maioria dos Polestar vendidos nos EUA é fabricada na China, e as tarifas tornaram o negócio inviável. A Volvo escapou por ter fábrica na Carolina do Sul.

Rafael Costa: Isso é mais geopolítica do que direito de patentes. A patente foi a ferramenta, mas a faca afiada foi a origem da produção.

Sofia Almeida: Exato. E a consequência prática é dura para quem já comprou um Polestar. Mesmo que a marca recorra, estes carros podem deixar de ter suporte de software e peças nos próximos meses.

Rafael Costa: Ou seja, um carro de 60 mil euros transforma-se num pisa-papéis porque uma tarifa mudou a equação legal.

Sofia Almeida: E isso é a grande lição que fica. Não estamos a falhar de uma guerra de marcas, mas de como uma decisão comercial global pode desvalorizar um carro eléctrico do dia para a noite.

Sofia Almeida: A resposta de cibersegurança ao Mythos foi uma surpresa completa, não foi? As atualizações chegaram e o tom geral foi "muita calma, nada de pânico".

Rafael Costa: Pois, e essa calma contrasta totalmente com a correria que se vê nas startups asiáticas de IA.

Sofia Almeida: Exato. Enquanto o mundo da segurança reage com tranquilidade, as startups asiáticas estão a acelerar para lançar modelos de linguagem que rivalizem diretamente com o Mythos. Como é que um lado está tão agitado e o outro tão zen?

Rafael Costa: A questão não é se podem, mas se devem correr o risco de replicar um modelo que, na sua primeira versão, trouxe tantas dores de cabeça de segurança.

Sofia Almeida: E é exatamente aí que a história das startups asiáticas ganha outra camada. Elas estão a construir sobre modelos open-source, o que é muito inteligente para poupar milhões, mas levanta dúvidas.

Rafael Costa: O receio é que essa dependência do código aberto, muitas vezes sem os controlos de segurança originais, crie uma nova geração de modelos vulneráveis por defeito.

Sofia Almeida: A segurança, neste caso, está a fazer algo raro: antecipar o problema em vez de reagir ao incêndio. A recomendação geral é integrar verificações de segurança a cada etapa do desenvolvimento, sem exceção.

Rafael Costa: E a consequência para quem está a ouvir? A inovação está a ser desafiada a crescer sem abrir mão da segurança, o que vai definir quem sobrevive nesta próxima vaga de modelos.

Sofia Almeida: A verdadeira calma, pelos vistos, está em construir com bases sólidas, não em ignorar os riscos herdados do código-fonte.

Sofia Almeida: Esta história do Ozempic e do eixo intestino-cérebro parece quase um truque de mágica, mas a ciência por trás é bem concreta. O que é que realmente acontece dentro do corpo?

Rafael Costa: Boa pergunta. A peça central não é só o pâncreas. O remédio imita uma hormona que o nosso próprio intestino liberta depois de comermos.

Sofia Almeida: Certo, a GLP-1. Mas como é que um sinal que começa na barriga acaba por dizer ao cérebro para largar o garfo?

Rafael Costa: É aí que a história fica interessante. A hormona não precisa de viajar pelo sangue até à cabeça. Ela ativa terminações nervosas na parede do intestino que mandam a mensagem quase em tempo real para o cérebro.

Sofia Almeida: Como se fosse um telegrama direto do estômago. E é por isso que a sensação de saciedade é tão diferente?

Rafael Costa: Exato. Não é só um "estômago cheio". O cérebro interpreta aquilo como uma satisfação profunda, o que muda a nossa relação com a comida a um nível fundamental.

Sofia Almeida: Isso explica porque é que as pessoas descrevem que o "barulho" mental por comida simplesmente se desliga.

Rafael Costa: E a consequência prática é enorme. Mostra que a fome não é uma falha de força de vontade, mas um circuito biológico que este medicamento consegue redesenhar.

Sofia Almeida: Há uma história que gerou um burburinho intenso no Hacker News e que me deixou a matutar: a guerra cada vez mais estranha que o Zuckerberg está a travar contra os denunciantes.

Rafael Costa: Confesso que ao ver o título "guerra cada vez mais bizarra" a minha primeira reação foi pensar que era um exagero. O que é que tem de tão invulgar, vindo de uma 'big tech'?

Sofia Almeida: A história relata um padrão que vai muito além da típica defesa corporativa. A Meta não se limitou a processar por quebra de confidencialidade, o que já seria de esperar. O artigo descreve como a empresa começou a divulgar ativamente informações pessoais e alegações prejudiciais sobre os próprios denunciantes.

Rafael Costa: Espera, estás a dizer que a empresa pegava em detalhes privados e os tornava públicos? Isso não é uma contra-argumentação jurídica, isso parece uma campanha para desacreditar a pessoa.

Sofia Almeida: Exatamente. Segundo o artigo do Pluralistic, a estratégia passou por pintar os denunciantes como pessoas com segundas intenções, movidas por vinganças pessoais ou perturbações mentais, numa tentativa de anular a credibilidade do que revelavam antes mesmo de o conteúdo ser debatido.

Rafael Costa: Isso muda o tom da coisa. Eu pensava na batalha judicial clássica, mas isto é uma espécie de intimidação pública que cria um aviso para quem está dentro da empresa pensar duas vezes antes de falar.

Sofia Almeida: Sim, e a consequência concreta apontada é essa: cria-se uma assimetria paralisante. O potencial denunciante não tem apenas medo de perder um processo; ele sabe que a sua saúde mental, vida pessoal e reputação serão expostas como retaliação. O ciclo do "denunciar e proteger" fica completamente intoxicado.

Rafael Costa: Fica a sensação de que o escudo legal que temos atualmente não foi pensado para este tipo de retaliação extrajudicial. O risco já não é só financeiro, é existencial.

Sofia Almeida: Um gasto de 1,8 mil milhões de dólares para criar apenas 602 empregos em Michigan isto soa a um erro de cálculo, não soa?

Rafael Costa: Soa, e logo a seguir ao que vimos sobre o Zuckerberg mas aqui o choque é outro. Não é uma batalha de narrativas, é uma conta que não fecha.

Sofia Almeida: Exato. O estado do Michigan montou um fundo de incentivos económicos, o SOAR, e a ideia era atrair empresas com subsídios milionários. Só que o auditor geral fez as contas e o resultado foi este: 1,8 mil milhões gastos e seiscentos e dois postos de trabalho confirmados.

Rafael Costa: Seiscentos e dois é um número tão pequeno que parece um erro de digitação. A que é que o auditor atribuiu esta diferença?

Sofia Almeida: A maior parte dos projetos ainda não arrancou ou ficou muito longe das metas. E o relatório diz que as empresas só recebem o dinheiro se criarem os empregos prometidos, mas o estado não verifica se esses empregos ainda existem no ano seguinte.

Rafael Costa: Portanto, a promessa é verificada uma vez e depois fecha-se a pasta.

Sofia Almeida: É isso. O controlo é um instantâneo, não um acompanhamento. E sem verificação contínua, o auditor diz que o estado não sabe se o dinheiro público produziu algum efeito duradouro.

Rafael Costa: Isso transforma aquele número de 602 empregos numa fotografia, não num filme. E a fotografia pode estar desfocada.

Sofia Almeida: E é esse o ponto prático para qualquer pessoa que ouve: o contribuinte pagou 3 milhões de dólares por cada emprego registado, e mesmo assim não há garantia de que esse posto sobreviva ao ciclo político seguinte.

Sofia Almeida: Sabe aquele desconforto quando se lê um texto que parece humano, mas tem um brilho vazio, como um sorriso de plástico? Estão a chamar a isso “slop” de IA.

Rafael Costa: E o curioso é que a resposta mais comentada na comunidade de tecnologia não foi um argumento técnico. Foi um vídeo do Robin Williams.

Sofia Almeida: Exato. E isso mostra que o incómodo não é com a ferramenta, é com a perda de uma presença humana genuína. A crítica não foi “o algoritmo errou”, foi “cadê a alma?”

Rafael Costa: Mas enquanto alguns só apontam o problema, há quem esteja a fazer o quê?

Sofia Almeida: Tem um movimento de developers a organizar “software jams” só com código escrito por pessoas, sem assistentes de IA. Um mergulho voluntário no artesanal.

Rafael Costa: Então o contra-ataque ao slop não é uma tecnologia melhor, é um acordo social temporário.

Sofia Almeida: É uma escolha ativa de limitar a automação para preservar a textura humana. Pode ser lento, mas eles preferem o atrito à uniformidade.

Sofia Almeida: Sabe aqueles anúncios em streaming que entram com o dobro do volume do episódio e quase te jogam do sofá? A Califórnia acabou de proibir essa prática. A lei nova entra em vigor já no dia 1 de julho.

Rafael Costa: E como é que conseguem proibir isso de forma prática? Medir volume é subjetivo... ou a lei define um limite técnico mesmo?

Sofia Almeida: Define com uma referência técnica que já existe. A lei obriga os anúncios a respeitarem a norma CALM, aquela mesma que a FCC criou para a TV a cabo nos Estados Unidos — um limite de pico médio de volume que impede esses saltos agressivos.

Rafael Costa: Ah, então basicamente estão a estender a mesma regra da televisão para o streaming. Isso significa que os serviços — Netflix, Max, o que for — vão ter de normalizar o áudio dos anúncios antes de entregar o ficheiro.

Sofia Almeida: Exato. E a consequência prática para o ouvinte é direta: acabou a corrida ao botão de volume entre o conteúdo e a publicidade. O anúncio pode continuar a ser chato, mas pelo menos não vai ser chato e ensurdecedor.

Rafael Costa: Resta saber se outros estados seguem o mesmo caminho ou se as plataformas adotam a regra só para a Califórnia.

Sofia Almeida: É o risco. Mas como é mais caro manter dois volumes de masterização, a aposta é que a norma acabe por se tornar o padrão silencioso em todo o lado.

Sofia Almeida: Tem uma coisa estranha rolando com um chip chamado AMD Strix Halo. É um processador que promete conectar placas diretamente, sem switch de rede, usando RDMA.

Rafael Costa: RDMA é aquele acesso direto à memória remota? Por que alguém montaria um cluster assim em casa?

Sofia Almeida: O guia que apareceu mostra exatamente isso: ligar duas placas com um cabo Ethernet direto, sem switch, e configurar RDMA por software no Linux. A promessa é latência baixíssima e zero custo com infraestrutura de rede.

Rafael Costa: Então é uma espécie de supercomputador de bolso para desenvolvedores.

Sofia Almeida: Exato. Isso pode acelerar protótipos de IA local sem depender de nuvem, mas ainda é um guia experimental, bem cru.

Rafael Costa: Ou seja, não é plug and play. Quem for meter a mão vai precisar suar no terminal.

Sofia Almeida: Mais de treze mil câmaras abertas na internet, todas mapeadas num só sítio?

Rafael Costa: Sim, é um projeto chamado IP Crawl. Ele varre a rede pública, encontra câmaras que transmitem sem qualquer proteção e mostra num mapa ao vivo.

Sofia Almeida: Isso parece um problema enorme de privacidade. Elas estão acessíveis por descuido ou é mesmo intencional?

Rafael Costa: É uma mistura. Muitas estão configuradas com as senhas de fábrica e ficam expostas sem o dono saber. Outras são mesmo intencionais, tipo câmaras de trânsito ou de paisagens.

Sofia Almeida: E a consequência é simples: qualquer pessoa com browser consegue espreitar o que devia ser privado. A ferramenta serve de alerta, mas o susto é real.

Rafael Costa: Pois. Não é preciso um hacker sofisticado — basta um motor de busca que olhe para a porta errada.

Sofia Almeida: Ficamos com esta ideia: mais de treze mil câmaras expostas e não é preciso um hacker sofisticado — basta um motor de busca que olhe para a porta errada. Um susto real.

Rafael Costa: Obrigado por nos acompanharem no HackerNews Daily. Voltamos em breve com mais histórias que nos fazem pensar. Até lá.