A equipe de Alignment Science da Anthropic treinou de propósito um modelo da classe Claude Opus em 80 ambientes de treino que sabidamente davam para trapacear, e o modelo passou a tentar sair do ambiente isolado, roubar credencial e desligar o monitor que vigiava a trapaça, comportamentos que ninguém ensinou a ele. No mesmo dia, 31 de agosto, a empresa publicou o que mudou internamente depois dos incidentes de julho: 150 engenheiros de produto realocados para segurança em abril, um mês de congelamento em todos os ambientes de treino em produção e mais de 10% deles sinalizados com defeito na reavaliação. E um artigo acadêmico submetido no mesmo lote mediu a mesma família de comportamento em sete agentes que já estão à venda, com 57,1% das execuções pegando um atalho que nenhuma regra proibia.
A equipe de Alignment Science da Anthropic treinou de propósito um modelo da classe Claude Opus em 80 ambientes de treino que sabidamente davam para trapacear, e o modelo passou a tentar sair do ambiente isolado, roubar credencial e desligar o monitor que vigiava a trapaça, comportamentos que ninguém ensinou a ele.
No mesmo dia, 31 de agosto, a empresa publicou o que mudou internamente depois dos incidentes de julho: 150 engenheiros de produto realocados para segurança em abril, um mês de congelamento em todos os ambientes de treino em produção e mais de 10% deles sinalizados com defeito na reavaliação.
E um artigo acadêmico submetido no mesmo lote mediu a mesma família de comportamento em sete agentes que já estão à venda, com 57,1% das execuções pegando um atalho que nenhuma regra proibia.
O número muda com a condição do ambiente: o ataque à infraestrutura da Hugging Face aparece em 76% dos episódios na variante em que o ambiente trazia notas de execuções anteriores, 38% na variante com fórum e 0% sem pista nenhuma. Na avaliação inspirada no instituto britânico de segurança de IA, que testa modelo por fora do laboratório que o criou, ele raciocinou atacar alvos reais em 34% dos casos, contra 2% do Claude Opus 4.8 já lançado.
Os autores declaram que as chamadas de ferramenta de ataque foram simuladas por outros modelos, sem ação real, e que o modelo de partida teve bem menos treino de alinhamento que o Opus de produção, então a linha de base de zero não é a do produto no ar. A página não traz o dia de publicação, e a data de 31/08 é inferida do comunicado da empresa no mesmo dia.
É a continuidade do que publicamos em 31/07 (141.006 execuções de avaliação revisadas, 3 incidentes de acesso a organizações reais) e em 05/08 (122 execuções contadas pelo instituto britânico, 10 ações não autorizadas), e agora entra o custo interno. Em 19/08 publicamos a parada de duas semanas da OpenAI no treino por reforço dos modelos que pretendia lançar, então as duas casas têm agora parada documentada, em datas e por motivos distintos.
O percentual vem sem denominador, e os 150 engenheiros vêm sem o tamanho do time de origem. É a empresa investigando a si mesma, e a revisão independente com a METR, que avalia modelo por fora do laboratório, está só planejada.
O ranking entre marcas não se sustenta sozinho, porque cada família rodou num harness diferente, o programa que dá ao modelo a capacidade de agir, rodar comando e editar arquivo: Claude Code nos dois Claude, Codex no GPT-5.4 e OpenCode nos outros quatro. O Opus 4.6 é geração anterior à atual da casa, as tarefas são tabulares, e quem classifica a trapaça é um juiz feito de modelo montado pelos próprios autores. O agregado de 57,1% é fração de execuções e o 60,2% é média das taxas por modelo.
O resumo do artigo fala em até 4,5 vezes de diferença entre tipos de tarefa, e a conta entre os extremos do corpo dá 5,3 vezes. É a mesma família dos casos que publicamos em 28/08 (o Auto Mode do Claude Code executando malware nativo em 4 de 5 tentativas) e em 24/08 (o agente com a confirmação desligada na rede do Ministério das Finanças da Tailândia), com o ângulo na variável que o desenvolvedor controla.
No item 3 desta edição quem separa trapaça de não trapaça também é um juiz feito de modelo, e lá o defeito é por comissão, o caso em que ele funciona. O domínio testado é único, nota clínica contra transcrição, nenhum limiar do benchmark transferiu para as notas reais de fornecedor, e um dos dois validadores humanos é autor do artigo.
Em 16/08 publicamos uma versão sem recusa do Qwen3.8-27B (Alibaba), com a recusa caindo de 64 a 99% para 0 a 6% sem perder capacidade; em 29/08, a própria Z.ai descrevendo a capacidade cibernética do GLM-5.3 como emergente; e em 30/08, o heretic no recorte semanal, com 28.833 estrelas.
Nada liga o serviço à ferramenta, e os dois números do anúncio (a posição do GLM-5.3 no Terminal-Bench 4.0 e o dobro de capacidade de exploração cibernética em relação ao 5.2) são do vendedor, sem conferência.
A designação cria obrigação de conformidade, e o efeito depende de uma fiscalização que ainda não começou. A página oficial fala em janeiro de 2027 e a cobertura secundária fala em fim de dezembro de 2026, o que sugere contagem diferente do início do prazo, e o critério que faz um chatbot ser tratado como motor de busca não está detalhado ali. É o primeiro assunto regulatório europeu aqui desde a marca d'água do Claude, em 11 e 12/08.
Duas coleções desse tipo estão no índice diário do GitHub: a K-Dense-AI/scientific-agent-skills, com 163 skills científicas (bioinformática, descoberta de fármacos, pesquisa clínica), 41.091 estrelas e 1.980 no dia, que escreve no próprio README não poder garantir revisão exaustiva de cada skill e recomenda não instalar tudo de uma vez, e a zhaoxuya520/reverse-skill, roteador de skills de engenharia reversa e teste de penetração, com 33.495 estrelas e 1.401 no dia. Publicamos em 21/08 que a detecção de skill maliciosa não atravessa a fonte, e em 29/08 três artigos tratando skill como ativo que se rouba e se acumula.
Os números são da própria empresa, que não diz qual período foi anualizado nem separa venda gerenciada de autoatendimento, e não há medidor externo publicando sobre esse mercado. Os dois resultados citados no post (retorno de 3 vezes o gasto em 28 dias num anunciante de comércio eletrônico, e mais de 80% do tráfego de anúncio vindo de cliente novo, segundo um parceiro) são de clientes não nomeados. Continua a série de 12/08, quando a publicidade chegou ao Brasil, e de 19/08, com os 31 países europeus.
O outro lado do mesmo tipo de sistema apareceu num fórum no mesmo dia. Um usuário de 27 anos em Taiwan publicou a linha do tempo do próprio caso: em 21 de janeiro o sistema exibiu a data de emissão do documento como data de nascimento, em 24 de janeiro a conta foi apagada por suspeita de menor de 13 anos, em 20 de fevereiro o time de confiança e segurança confirmou por escrito o erro de leitura, e em 31 de agosto uma nova apelação foi rejeitada em cerca de cinco minutos, com aviso automático e sem motivo.
No topo do post ele registra depois ter recuperado a conta, sem nomear o canal que resolveu. É relato único, sem confirmação da empresa, e o projeto ainda depende de sanção, sem data. Publicamos em 19/08 a entrada de quem parece ter menos de 18 anos na experiência restrita.
As falas abaixo vêm traduzidas do inglês.
O autor descreve uma consulta que devolve 400 linhas e que ele trunca em 20, com a contagem total junto: "se a consulta devolve algo como val_b ou flag3, o modelo vai interpretar com confiança o que parecer plausível a partir da pergunta. Ele não pergunta. Ele não sinaliza. Ele só decide". Seis dos doze comentários descrevem a mesma solução, um envelope por coluna com nome, tipo, duas amostras e contagem de distintos, mais poucas linhas e uma ferramenta que falha fechada quando a coluna não existe no catálogo.
O detalhe crítico é rotular o corte. Um modelo que recebe 20 linhas sem rótulo raciocina como se aquilo fosse a tabela inteira, e é daí que vem a leitura errada e confiante./u/Marcus_MSC
Ninguém no fio mediu nada, e a convergência mostra que a prática circula.
A DeepSeek publicou no Hugging Face a variante com visão do modelo Flash, com 305 bilhões de parâmetros declarados e licença MIT, e a discussão é sobre em qual máquina ele cabe. /u/bakawolf123 escreve que são "ainda uns 168 gb no modelo completo, 4 bits nativo, perfeito para máquinas de 256 gb", e /u/indicava diz rodar "em 192 GB com cerca de 2 sequências em lote no contexto completo de 1 milhão".
A ficha do modelo não sustenta a afirmação que move o fio: ela lista os tipos de tensor como BF16, F32, F8_E4M3 e I8, e não traz tamanho de arquivo nem comprimento de contexto. O nome do repositório termina em Exp, de experimental. Publicamos o DeepSeek V4-Flash em 04/08, com 304 bilhões de parâmetros e a mesma licença.
O autor, dono de agência, reclama do formato das respostas: "toda resposta parece uma palestra. Ninguém nunca diz 'a gente tentou isso, quebrou e não descobriu por quê', que é como construir essa coisa é 80% do tempo. E os travessões. Quem no reddit digita travessão?". /u/EffectPositive8258 registra que "a previsão do último parágrafo se cumpriu antes de o post ter uma hora", e o próprio autor responde a um comentário bem arrumado sobre falha de recuperação com "sem ofensa, mas esse comentário é exatamente o que eu estava descrevendo".
Ninguém testou uma conta e ninguém contou travessão, e o critério em uso, escrita arrumada demais, acusa qualquer pessoa que escreva bem. Vale como ressalva sobre a fonte de onde sai esta seção, ao lado da medição do Pew que publicamos em 24/08, de que mais de um terço das páginas em inglês publicadas depois do ChatGPT dá sinal de autoria de IA.