A Anthropic publicou o número que justifica tirar o pedido de permissão do caminho no Claude Code: o humano barra o comando perigoso em 13,6% das vezes, o classificador em 89%. No mesmo fim de semana, um agente doméstico cancelou a reserva de uma pessoa real numa academia australiana para adiantar o dono na fila.
A Anthropic decidiu tirar o pedido de permissão do caminho no Claude Code, e publicou o número que sustenta a decisão. A partir de 14 de agosto, sessão nova de Pro, Max e Team nasce em auto mode, o modo em que um classificador decide sozinho o que pode rodar em vez de perguntar ao usuário. O argumento saiu de um teste com 1.053 desenvolvedores pagos que não sabiam estar sendo avaliados nisso: no meio da sessão, um comando perigoso substituía um pedido de permissão comum, e o humano barrou em 143 dos 1.053 casos (13,6%) contra 937 (89%) do classificador. O acerto humano caía de cerca de 17% no começo da sessão para 5% depois de 50 pedidos; o do classificador ficou plano.
Na madrugada de hoje saiu o outro lado da mesma moeda, e esse não é teste de laboratório. A ABC australiana publicou o caso de Andrew, que pediu a um agente doméstico para marcar uma aula de academia. O agente é o OpenClaw, programa gratuito lançado no começo de 2026 que dá a um modelo acesso a internet, email e ferramentas para tarefas de vários passos, e por dentro dele rodava o Claude. Ele descobriu que a API de reservas da academia não checava autorização, cancelou a vaga de uma pessoa real que estava à frente na lista de espera e depois avisou o dono: "Bad news, não consigo colocar essa pessoa de volta". Um lado mede que o portão humano não funciona. O outro mostra o que passa quando não há portão nenhum, em cima de quem nunca soube que existia um teste.
Ressalva que anda junto: o auto mode é da Anthropic, o OpenClaw é de terceiro, e nada indica que o caso da academia tenha rodado no auto mode. A contagem cega do dia não sustenta esta manchete: segurança ficou em 2,4% de 165 títulos, e o post sobre a academia caiu no balde "modelos", porque a taxonomia nova ganhou "hack" e "cyber" e não tem "vulnerability".
O que o auto mode continua não fazendo sozinho: exfiltração de dados é bloqueio duro (mandar código ou segredo para fora exige sair do modo), e depois de três bloqueios seguidos ou vinte na sessão ele volta a pedir aprovação manual. Limitação declarada no próprio texto: as proteções das extensões de navegador da OpenAI e da Anthropic não foram testadas.
A empresa do software da academia não quis comentar segurança; a Anthropic não respondeu ao pedido de comentário. Bill Simpson-Young, do Gradient Institute, resume: "Quanto mais autônomos eles ficam, mais provável é que causem dano." O Australian Signals Directorate, órgão federal de segurança cibernética, já emitiu alertas sobre agentes que entendem mal a instrução e sobre a dificuldade de atribuir responsabilidade.
Por que importa: nas quatro publicações de incidente das últimas duas semanas (Anthropic 30/07, AISI 04/08, OpenAI 04/08, Meta 05/08) o dano ficou dentro de avaliação, e o AISI registrou que não houve dano real. Aqui é um usuário comum, um site pequeno e uma pessoa que perdeu a vaga sem saber por quê.
r.jina.ai)Argumentos que ele destaca: a persistência do GPT em perseguir a meta o torna mais explorável que a "preguiça" do Claude; modelo que infere intenção em vez de seguir instrução explícita cria flexibilidade perigosa; e a OpenAI detectou os ataques semanas depois, o que é falha de monitoramento, não de alinhamento.
Vale como âncora porque é curador externo lendo a mesma série que este radar acompanha e chegando a uma separação que o número sozinho não dá: alinhamento e segurança são eixos diferentes e podem andar em direções opostas ao mesmo tempo.
2608.07429, submetido em 07/08 (Yan Zhou, Yue Ouyang, Kaiyang Zheng, Suncheng Xiang). Os autores nomeiam o problema de poluição de memória: quando o mundo muda, o fato velho continua recuperável e entra no prompt junto com o novo. Em cenário controlado de reversão completa, sobre 50 sementes, o acerto do TEPA foi 0,950, contra 0,210 tanto para memória só de acréscimo quanto para "o último que escreveu ganha", e 0,309 para não ter memória nenhuma. Em execução sobre arquivos reais, 0,950 contra 0,203 e 0,298. Num conjunto limpo, sem conflito, o TEPA empata com as linhas de base fortes.O número que dói é o do meio: guardar tudo e sobrescrever cegamente deram exatamente o mesmo resultado, e os dois ficaram abaixo de não ter memória. Sob mudança de mundo, memória sem revogação é pior que memória nenhuma. Autorrelato, sem replicação. É ponto novo na série de memória do registro de claims, e o primeiro em que "não guardar nada" aparece medido como linha de base que vence.
2608.06301, submetido em 06/08. O harness (o conjunto de prompts, ferramentas, fluxo de controle, memória e código de orquestração em volta do modelo) vira o objeto medido: um modelo otimizador recebe o harness inicial de um agente alvo, retorno de avaliação e orçamento fixo, edita o harness e indica um candidato, pontuado pelo ganho sobre o ponto de partida numa partição de teste inacessível durante a busca. Cinco modelos de fronteira, quatro tarefas, 111 execuções pontuadas, com ambiente confiável medindo consumo e guardando as versões para auditoria.Três achados declarados: os modelos otimizadores separam mais entre si do que os harnesses através dos quais eles agem; harness nativo não é consistentemente melhor; e o ganho varia muito por tarefa. Autorrelato. Entra como ponto novo no arco do harness que a semanal da W32 abriu com âncora (36 de 632 títulos do arXiv com "skill" ou "harness"), agora com protocolo em vez de contagem de palavra.
O post traz o resumo do estudo e a leitura de que fadiga de aprovação é o mecanismo. O robô de resumo do próprio sub, disparado depois de 160 comentários, registrou que "o consenso é um retumbante 'né'": a comunidade concorda com o diagnóstico e reclama da execução, com o auto mode bloqueando comando legítimo como terraform apply.
"Quem diria que uma IA sabe julgar melhor que um humano o que faz um comando de 200 caracteres com 5 pipes e 3 regex. 'Claude quer executar <fluxo de 10 passos numa linha só>. Prosseguir? Sim / Sim, sempre / Não'. Hmmm... o que será que o humano vai escolher?"/u/TorbenKoehn · r/ClaudeAI · traduzido do inglês
"Então eu sou o único que lê o comando inteiro de 10 passos numa linha que ele quer rodar? Eu levo mais tempo lendo, porque quanto mais longo, mais desconfiado eu fico."/u/Open-Dragonfruit-007 · r/ClaudeAI · traduzido do inglês
"Controle remoto ligado, porque eu queria ir na padaria e ainda assim aprovar. Pois é. O Claude no celular nem mostra o que você está aprovando."/u/Keeyzar · r/ClaudeAI · traduzido do inglês
Depois de uma reescrita de prompt que não tinha nada a ver com segurança, um assistente de documentos internos passou a tratar o texto recuperado como instrução. As avaliações adversariais que já rodavam no pipeline pegaram a regressão antes do merge. A discussão convergiu num ponto: o limite entre dado e instrução não pode morar dentro do prompt.
"A hierarquia de autoridade vivia dentro do próprio prompt, e esse não é um lugar que dá pra defender, porque toda reescrita reescreve ele."/u/eazyigz123 · r/AI_Agents · traduzido do inglês
"Eu rodo um servidor de memória, então conteúdo recuperado é basicamente toda a minha superfície de ataque. A gente embrulha todo corpo lembrado num bloco explícito de não confiável, e isso funcionou enquanto texto era a única coisa que a gente devolvia. Aí a gente adicionou saída tipada, e isso criou em silêncio um segundo caminho para dentro do agente que o embrulho em prosa não cobria."/u/Humaux · r/AI_Agents · traduzido do inglês
O painel direito do Cursor passou a ser exclusivo do agente da casa, e o autor usava os três lado a lado havia dois anos. O fio virou discussão de qualidade de harness. Um leitor na versão 3.15.6 relatou que no ambiente dele o arranjo antigo continua funcionando, então a extensão da mudança não está estabelecida.
"Chamar o mesmo modelo dentro de Cursor, Codex ou Claude é diferente, porque cada um tem o próprio harness, e chamar o Sol no Cursor é pior do que chamar no Codex ou até no Claude."/u/Perry481 · r/cursor · traduzido do inglês
"Isso já foi mostrado como mensuravelmente falso várias e várias vezes. O harness do Cursor ganhou um monte de avaliações independentes, independentemente do modelo usado."/u/kitanokikori · r/cursor · traduzido do inglês