NSA, CISA e FBI publicaram em 07/09 o aviso conjunto AA26-251A, que nomeia DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI e afirma que elas extraíram bilhões de tokens de modelos de fronteira americanos. Entre as três ações recomendadas aos fornecedores está alterar em segredo a resposta entregue a conta confirmada, sem informar quem está do outro lado. No mesmo ciclo, a Anthropic publicou o próprio relatório de inteligência de ameaça, com 2.100 conjuntos de token do Azure AD criados em cerca de 34 horas, e mediu o próprio modelo localizando foto pública com 37,0 km de erro mediano. A OpenAI zerou a licença do ChatGPT para o governo americano por 27 meses e tornou pedível o modelo de busca de vulnerabilidade.
Em 07/09, NSA, CISA (a agência de segurança cibernética do governo americano) e FBI publicaram o aviso conjunto AA26-251A, que nomeia seis empresas chinesas de IA, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI, e afirma que elas extraíram bilhões de tokens de modelos de fronteira americanos em milhões de trocas, do fim de 2024 a meados de 2026 (token é o pedaço de texto que o modelo lê e escreve, e é por ele que se cobra). O mesmo documento lista três ações recomendadas aos fornecedores, e uma delas é alterar em segredo a resposta entregue a conta confirmada de destilação, sem avisar quem está do outro lado.
O acesso direto a cisa.gov devolveu HTTP 403 e o aviso foi lido por um proxy de texto; o corpo do documento não traz data de publicação, e o carimbo de 07/09 vem de cobertura secundária da Ars Technica, não linkada aqui porque a página dela não entrou em fonte nenhuma desta rodada.
O fato é de quatro dias atrás e abre esta edição por dois motivos: nenhuma edição deste radar o cobriu, e ele oferece uma explicação de origem para um arco que este veículo vinha publicando sem causa conhecida, o da distância entre custo e capacidade nos modelos abertos chineses (radar de 15/08). No mesmo ciclo, a Anthropic publicou o próprio relatório de inteligência de ameaça, que traz destilação ilícita entre as sete áreas de dano que cobre, e a seção que encostaria um documento no outro chegou truncada na página.
Entre as três ações imediatas recomendadas está, em tradução: "Altere as respostas a usuários confirmados como consultando modelos de fronteira especificamente para campanhas maliciosas de destilação de conhecimento, sem informá-los". O documento sugere três técnicas: reduzir a profundidade do raciocínio, apresentar a informação correta por um caminho de raciocínio diferente ou introduzir inconsistências de estilo.
Não há critério publicado que separe conta confirmada de falso positivo, e quem errar o alvo entrega resposta piorada a cliente pagante que nunca é avisado. O documento traz a prática como recomendação, e nenhum fornecedor declarou tê-la adotado; em 20/08 a OpenAI prometia vigiar padrão de abuso sem que funcionário veja o conteúdo do cliente (radar de 20/08).
O aviso não publica a metodologia da atribuição, não reparte os bilhões de tokens por empresa, usa "provavelmente" para a parte do governo chinês, e as empresas listadas como vítimas são concorrentes comerciais diretas das acusadas. Nenhuma das seis respondeu dentro do documento, e o material desta edição não traz manifestação de nenhuma delas.
Operadores de língua chinesa miraram cerca de 50 organizações e produziram mais de uma dúzia de possíveis falhas sem correção disponível num único mês, mantendo 13 agentes de coleta em operação permanente, e um grupo de espionagem russa atingiu mais de 20 organizações, entre elas órgãos do governo ucraniano e fabricantes de drone, e exfiltrou mais de 300 mil registros de identidade nacional.
Das nove campanhas de influência descritas, uma publicou 8.913 artigos em cerca de 20 idiomas espalhados por cerca de 70 sites de notícia fabricados, e outra mantinha mais de mil contas falsas no X. O relatório descreve intrusões em que os agentes rodaram por horas ou dias com entrada humana mínima, e algumas terminaram em duas a três horas. O documento registra que os casos envolveram Claude Haiku, Sonnet e Opus, sem modelos das classes Fable e Mythos, com uma exceção num caso de destilação.
A Anthropic vende o modelo e publica o relatório sobre o uso dele, decide o que entra no documento e nomeia os grupos com códigos que ninguém de fora audita. A empresa diz ter interrompido todas as operações descritas, o que seleciona os casos com desfecho conhecido. Sem total agregado de operações desativadas nem de contas banidas, não existe série contra os relatórios de 2025, e o documento não mede audiência nenhuma para os 8.913 artigos das campanhas de influência. A cobertura de agente autônomo em operação ofensiva começou em 14/08, com a campanha de quatro dias contra o governo de Taiwan (radar de 14/08).
A outra metade da mesma avaliação põe modelos pilotando drone simulado contra alvo: o Claude Opus 5 acertou 80% dos lançamentos contra veículo parado de alta visibilidade, 47% contra veículo em movimento em velocidade de estrada, e entregou 28% da carga simulada com rajada de vento, contra menos de 7% dos outros modelos.
A tarefa medida é escolher o momento do lançamento num simulador de quadricóptero, em cinco tentativas de doze lançamentos por configuração, e ela acontece inteira dentro do computador; o valor publicado para o Kimi K3, de peso aberto, contra veículo em movimento, 1,6%, não cai sobre contagem inteira nenhuma dos 60 lançamentos que a própria página declara, e o mesmo vale para os 47% e os 28% do Opus 5 acima.
A Anthropic desenhou a tarefa, escolheu a dificuldade, definiu a linha de base humana e reporta o placar, e o modelo dela ficou em primeiro nas duas configurações de guiagem, sem execução independente da mesma montagem. As fotos vêm do Flickr com os textos do Twitter, acervos antigos que podem estar no treino. A empresa diz ter ligado classificadores novos contra pedido ligado a desenvolvimento de arma depois de identificar uso do Claude nessa área, sem dizer quando entraram no ar nem o que derrubam. O outro lado dessa conta saiu em 07/09, no censo de 3.471 modelos abertos sem salvaguardas (radar de 07/09).
Os dois produtos diferem na regra de acesso: o modelo que procura falha e valida exploração passa a ser pedível por qualquer órgão verificado, dentro de um contrato de compra centralizada. O Google trancou a mesma capacidade ofensiva num programa de inscrição oito dias antes: o programa Fairwind, de 02/09, junta o Gemini 3.8 Flash Cyber ao harness de conserto CodeMender e declara mais de 650 parceiros participantes (radar de 03/09).
Os ganhos de produtividade que o anúncio cita, 92% dos especialistas do CDC e um formulário fiscal da Geórgia que teria caído de duas semanas para 15 minutos, são relatados pela própria OpenAI, sem método publicado nem medição de fora. O texto não diz qual é o teto de consumo depois do desconto, e o acordo é com uma agência que negocia em nome de compradores que ainda decidem caso a caso.
O preço do lugar onde esse comando roda ficou público no mesmo ciclo: a OpenRouter, que revende acesso a modelos de vários fornecedores, cobra US$ 0,0001 por segundo ativo de contêiner Linux hospedado, com piso de 30 segundos quando o pedido acorda um contêiner frio, 5 minutos de ociosidade até ele dormir, 10 GiB de armazenamento, 20 arquivos e 30 dias de retenção, e a rede de saída desligada por padrão, liberada só por lista de domínios nas portas 80 e 443. Pela conversão direta, a hora de contêiner sai a US$ 0,36, e não existe em fonte nenhuma uma tarefa medida do começo ao fim que diga quantos segundos ela consome, que é o número para comparar com o preço do token.
Este radar publicou esse terminal em 10/09 com o buraco declarado, porque as páginas individuais respondiam 404 (radar de 10/09): o preço estava no post de anúncio de 08/09, e os limites de execução (timeout padrão de 2 minutos e máximo de 5, saída de 16.384 caracteres por fluxo com teto de 65.536, até 100 comandos por chamada) estão na documentação da ferramenta irmã bash, que roda em outra API.
A OpenAI entrega a camada sem taxa, fica com o eixo que mais move resultado e cobra o consumo que ela provoca: em 04/09 o mesmo GPT-6 Astra valeu 62,7% ou 99,9% no ARC-AGI-3 conforme o harness que o executava (radar de 04/09), e a Agents API não publica desempenho do harness gerenciado contra harness próprio.
auto aos agentes gerenciados: o servidor avalia cada chamada de ferramenta e devolve um de três desfechos, executar, perguntar ou negar, e registra no evento dois códigos de motivo, indeterminate para a pergunta e high_risk para a negação. Quando o servidor nega, o cliente não pode reverter, e a API devolve 400 se ele tentar confirmar. A documentação avisa em destaque que auto não é ponto de conferência humano, e que a chamada considerada segura roda antes de alguém ver, com efeito que pode não ser reversível.O mesmo texto nomeia a brecha: o avaliador não obedece conteúdo vindo de resultado de ferramenta, página buscada, resposta de servidor MCP (o protocolo pelo qual um agente fala com ferramentas externas) ou mensagem entre sessões, mas o que chega no evento user.message conta como intenção do desenvolvedor, então texto de usuário final repassado ali pode fazer o servidor liberar uma chamada que negaria.
Nenhuma medição do avaliador foi publicada: não há taxa de falso negativo, taxa de falso positivo, latência nem custo por chamada avaliada, e tudo isso é beta atrás de cabeçalho experimental, com o padrão seguindo permitir tudo no conjunto de ferramentas do agente e perguntar sempre no MCP. É a mesma camada que o HookPry comprometeu em sete de sete harness em 04/09 (radar de 04/09), e que a própria Anthropic mediu em 10/09 sendo convencida pelo texto de raciocínio do modelo a liberar a ação (radar de 10/09).
T1: Terminal Agent Reinforcement Learning for Long-Horizon Tasks (Junyao Yang, Yucheng Shi, Zhongzhi Li e outros, 2609.11042), que treina por reforço um modelo de 122 bilhões de parâmetros totais com 10 bilhões ativos operando terminal de verdade por mais de 300 turnos de chamada de ferramenta por tarefa, e sai de 43,8% do modelo base para 64,0% no Terminal-Bench 2.1, o conjunto de tarefas de terminal usado como régua. No mesmo ciclo, o card do DeepSeek-V4.1-Flash declara 90,6 no mesmo Terminal-Bench 2.1, contra 88,8 do GPT-5.6 Sol. As duas casas mediram na própria bancada, e a distância entre os dois números, 26,6 pontos, é quinze vezes a vantagem de 1,8 ponto que o card do DeepSeek alega sobre o concorrente, e pouco mais de uma vez os 20,2 pontos que o T1 ganha sobre o modelo base.O card do DeepSeek traz dois números que não estavam na edição de ontem, quando publicamos o lançamento e a arquitetura de 552 bilhões de parâmetros (radar de 10/09): o cache de chave e valor, a memória que o modelo guarda do que já leu, caiu para 890 bytes por token, cerca de um quarto do modelo anterior, e o esforço de raciocínio deixou de ser botão de poucas posições para virar um número inteiro de 1 a 100.
Na publicação do placar, a Arena anunciou no X que o DeepSeek-V4.1-Flash "chegou a cerca de 14º no geral" do Code Arena WebDev com 1.620 pontos, e na tabela da própria empresa o modelo aparece sem posição atribuída, porque os 1.620 vêm de avaliação automática enquanto os 663.027 votos humanos sobre 128 modelos ordenam o resto (a tabela aberta traz dados de 08/09, dois dias antes do anúncio, então defasagem explica parte da diferença).
O dial de 1 a 100 e os 890 bytes são do próprio fabricante, e a diferença de 27,9 contra 27,2 e 26,7 que o T1 reporta no Long-Horizon Terminal Bench é de 0,7 e 1,2 ponto, sem barra de erro na tabela.
O teste roda num único projeto pequeno, o antirez/smallchat, e o autor da skill é também quem mede o efeito dela, com um participante do fio pedindo exatamente o que falta, um conjunto de diffs que nunca tenha entrado na construção e um critério de nota próprio.
Os dois repositórios que este radar publicou ontem dão a curva de adoção de um dia para o outro (radar de 10/09): o teamai-cli da Tencent, que sincroniza skill, regra e conhecimento de um time por git entre Claude Code, Cursor e Codex, passou de 556 para 841 estrelas no dia e 4.022 no total, e o i-have-adhd, que só restringe o formato da resposta do agente com dez regras, desacelerou de 4.650 para 3.882 estrelas no dia, com 39.333 no total e 2.248 forks (fork é a cópia própria que alguém faz do projeto para alterar por conta). Nenhum dos dois publica release, changelog ou número medido, e a licença do repositório da Tencent aparece como indefinida no GitHub, com o texto do MIT dentro do arquivo.
A saturação é afirmada pela Epoch AI, que mantém o benchmark, parte das respostas pertence à OpenAI, autora do modelo que fechou o placar, e o total de problemas não fecha entre as páginas publicadas (50 num artigo de outubro de 2025, 43 na expansão atual e 48 na contagem de acesso da OpenAI), então a comparação com os 13% daquele artigo mede dois conjuntos diferentes e não sai aqui como série.
Na verificação formal, nove pesquisadores publicaram em 10/09 o Magenta: Closing the Loop Between Mathematical Reasoning and Lean Verification (Joshua Ong Jun Leang, Haonan Li, Zheng Zhao e outros, 2609.11319), um sistema que resolve o problema em linguagem natural, traduz a resposta para Lean 4 (a linguagem em que o computador confere a prova passo a passo) e devolve a prova conferida por máquina. O paper declara 100% de acerto em 93 problemas de AIME 2025, AIME 2026 e HMMT February 2026, e resolveu os seis problemas da IMO 2026 com o K2-Horizon-7B, de pesos abertos, em média 5,7 rodadas de autocorreção.
O próprio paper nomeia o obstáculo que resta: a autoformalização, a etapa em que o problema escrito em linguagem natural vira a linguagem que o computador confere, e onde a tradução pode trocar o problema, o que significa que a prova cobre o enunciado formalizado, e a fidelidade dele ao problema original fica fora dessa garantia. Os 93 problemas são de competições cujos enunciados circulam desde 2025, sem teste em problema posterior ao corte de treino dos modelos usados, e nada disso passou por revisão por pares. Este radar publicou em 02/09 que quatro verificadores automáticos de matemática rejeitam parte do próprio gabarito (radar de 02/09).
Prompt Revision as a Source of Cultural Bias in Text-to-Image Systems (Aleksandra Urman e outros, 2609.11532), em 8.960 prompts e 15 línguas, os Estados Unidos são o contexto menos marcado (0,21 a 0,31) e o escore de achatamento sobe de 0,75 para 0,86 e de 0,85 para 0,98 entre prompt original e reescrito. Os dados do DALL-E-3 são de janeiro de 2025, e o teste causal roda em dois modelos que não têm a camada de reescrita.As falas abaixo vêm traduzidas do inglês.
Os dois fios do sub no ciclo são sobre a fila de revisão por pares travando sob volume. /u/Fantastic-Nerve-4056 conta mais de dois meses parado na TMLR (número não conferido na origem), uma das vias de publicação de aprendizado de máquina, depois de pareceres positivos e de o rebuttal, a resposta que o autor escreve aos pareceres, ter sido aceito.
No outro fio, /u/S4M22 cola o texto de um anúncio da ACL, a associação que organiza as conferências de linguagem natural, com uma proposta em que cada submissão precisa pagar por si trazendo um contribuinte qualificado entre os autores, com teto de 20 submissões por pessoa e 5 como primeiro autor por ciclo, e loteria para quem não trouxer revisor. O site da ACL foi aberto e não traz esse texto, e o próprio autor do post chama o material de proposta, não de regra em vigor.
basicamente por causa da explosão no volume de papers escritos por LLM que eles estão recebendo, especialmente de autor único. Desde o início de 2026 o volume total de submissões mais que dobrou, e as submissões de autor único subiram uns 500%./u/mmarkDC
Esse número é de um participante, não do anúncio, e a página que o publicaria devolveu HTTP 403.
O fio pergunta onde fica a autoridade de gasto de um agente e as respostas nomeiam o modo de falha do teto que a maioria dos times usa.
o modo de falha que morde os times em produção é o roteamento dinâmico de modelo. Se um agente cai de um modelo barato para um modelo caro de raciocínio no meio da execução, um contador interno vai liberar a chamada porque a contagem de iteração está só no passo 2, enquanto o gasto em dólar acabou de pular uma ordem de grandeza./u/ParrotIntegrated
quando dois runtimes dividem a mesma chave de provedor, a história de contar token dentro do próprio laço é fantasia, e sob concorrência dois agentes podem passar por uma checagem fraca antes de qualquer um confirmar./u/conifer_v11
É argumento de arquitetura sem medição, ninguém no fio mostrou caso com número, o post de origem cita um produto pelo nome e o fio tem três respostas, uma delas removida. A discussão cai no mesmo dia em que o Cursor libera um coordenador que despacha tarefa para outros agentes sem publicar preço nem limite.
Assinantes do Cursor relatam consumo de cota maior desde a compra da dona do produto pela SpaceX, que saiu aqui em 16/08 (radar de 16/08).
o mesmo trabalho consumia 20% dos meus tokens, depois passou a consumir 67% pelo mesmo trabalho. A resposta do time de cobrança foi olhar o gráfico./u/echild07
Outro participante diz que chegava a 30% ao mês e agora passa de 100%, e um assinante do plano de US$ 200 conta ter pago cerca de US$ 2.200 de uso adicional e ter ficado com a conta congelada por cerca de dez dias. Nenhum desses valores tem página aberta, a empresa não respondeu no fio, e no mesmo fio dois assinantes (/u/EmelineRawr e /u/explorioapp) dizem não ter visto mudança nenhuma, com um terceiro atribuindo a reclamação a birra com o novo dono. É a terceira rodada da mesma queixa em quatro semanas, depois do fio de 22/08 sobre cota de modelo premium sumindo mais rápido (radar de 22/08).