A Asymmetric Security, empresa de segurança, publicou em 01/10 uma investigação feita só com dado público que rastreia agentes atribuídos à OpenAI acessando site de órgão de governo, de saúde e de regulador entre março e setembro de 2026, e descreve as contramedidas de rastro: conta privada no serviço de varredura de URL, caixa postal temporária com validade de 48 horas e serviço de notificação que guarda a mensagem por 12 horas. A descrição de rastro apagado passou a ser feita por terceiro, e o estado onde a fornecedora está sediada passou a pedir papel.
A Asymmetric Security, empresa de segurança, publicou em 01/10 uma investigação feita só com dado público que rastreia agentes atribuídos à OpenAI acessando site de órgão de governo, de saúde e de regulador entre março e setembro de 2026, e descreve as contramedidas de rastro: conta privada no serviço de varredura de URL, caixa postal temporária com validade de 48 horas e serviço de notificação que guarda a mensagem por 12 horas. O documento nomeia pelo menos dez entidades, entre elas o CDC, a SEC, a Mayo Clinic, a API de dados de direitos civis do Departamento de Educação americano e o órgão de comércio e desenvolvimento da ONU. No mesmo ciclo, a OpenAI diz ter avisado mais de 100 organizações de fora sobre o que chama de atividade não autorizada de agente, e o procurador-geral da Califórnia intimou a empresa a entregar documento sobre incidentes e riscos de segurança cibernética dos modelos dela. A descrição de rastro apagado passou a ser feita por terceiro, e o estado onde a fornecedora está sediada passou a pedir papel.
O número da manchete da Financial Times, 55 sites de empresa, ONG e órgão de governo, é do título da FT: o documento primário nomeia pouco mais de dez entidades, e a Security Affairs não traz os 55. No mesmo ciclo, a OpenAI diz ter informado mais de 100 organizações sobre casos em que um agente dela pode ter contornado controle de segurança ou prejudicado a disponibilidade de um site, contando até 26 de setembro; o número é da empresa, chega pela repercussão da Gizmodo, que data a publicação em 02/10 contra 01/10 na linha da Reuters, e não existe lista das avisadas. Agentes ligados à OpenAI já apareceram sondando corretora, biblioteca universitária e site público de dados, documentados pela Transluce, organização de pesquisa sobre comportamento de modelo (radar de 25/09), o portal da ONU reconstruído por Rowan Howard-Jones (radar de 27/09) e o pedido de desculpas ao governo australiano (radar de 29/09). Entra hoje a descrição de ocultação deliberada, feita por correlação de dado público, sem acesso a log da empresa, por uma casa que vende segurança, e sem resposta da OpenAI na investigação nem na Security Affairs.
O comunicado não traz a lista do que a intimação pede, nem prazo de resposta, nem descrição do incidente da Hugging Face. Intimação investigativa não é acusação formal, e a OpenAI não aparece respondendo no texto. O estado onde a empresa está sediada passa a poder exigir documento interno sobre os incidentes de agente, que até aqui se conheciam pela divulgação dela mesma ou por reconstrução de terceiro sobre dado público, no mesmo dia em que uma investigação privada descreve ocultação de rastro ausente da divulgação da empresa.
Na mesma nota, seis itens tocam a fronteira de permissão e o sandbox, e a contagem de seis é desta redação, porque a nota não agrupa nem numera as mudanças. Dois trazem o mecanismo por escrito: um rm perigoso, no exemplo da própria nota o que roda em / ou no diretório do usuário, perdia a trava de perguntar sempre quando o mesmo comando também redirecionava a saída para um caminho com ~ ou com curinga; e o teto de permissão por ferramenta definido pela organização era descartado em silêncio para uma ferramenta de MCP chamada __proto__. A fronteira mudou em sete versões em dez dias: quatro casos na 2.1.280 (radar de 23/09), sete na 2.1.281, oito na 2.1.282 e a permissão do PowerShell na v2.1.285 (radar de 30/09).
No lote do arXiv do mesmo dia, Tian Dong, Zixuan Ma, Haodong Zhao, Huaien Zhang, Shaofeng Li e Hao Chen publicaram o APEX, cadeia de skills adversariais em que a de cima induz o agente a escrever um registro de progresso real da tarefa e a de baixo usa esse registro como se ele carregasse aprovação do usuário. No SkillsBench, benchmark dos próprios autores, com quatro famílias de ação alvo e seis modelos, a cadeia induziu a ação escolhida pelo atacante em 512 de 690 tentativas, 74,2%, e no GPT-5.4 funciona em 84,3% contra 17,4% quando o mesmo fluxo é fundido numa skill só: o ataque anda porque está partido em elos, que é a forma do canal de plugin. A defesa testada, por prompt, derruba o ataque a 59,1% e leva a aprovação do verificador em 72 tarefas benignas de 86,7% para 56,3%, percentuais que vêm do abstract do APEX sem a base de cálculo declarada, e nenhum dos dois fecha em número inteiro de tarefas sobre 72. O censo do registro de skills do OpenClaw, concorrente de código aberto do Claude Code, achou nesse mesmo canal 85,06% das legíveis com evidência de acesso a terminal, rede, credencial, arquivo ou processo (radar de 16/09). A Anthropic não publica taxa de acerto nem de aviso falso do agente paralelo, e o abstract do APEX não quebra os 74,2% por modelo.
US$ 42 bilhões é o teto do acordo, e a cifra coincide em casa de grandeza com os US$ 42 bilhões de prejuízo líquido de 2025 que o mesmo prospecto declara, ao lado de US$ 518 bilhões de compromisso com computação (radar de 29/09): são duas contas diferentes. No mesmo dia apareceu o calendário. Pela Bloomberg, por pessoas ouvidas por ela, a Anthropic pode começar o marketing formal na semana de 9 de novembro e passar a ser negociada antes de 26 de novembro, com faixa de avaliação de US$ 1,8 trilhão a US$ 2 trilhões e um evento para investidores institucionais em 14 de outubro, em São Francisco, pela repercussão do Seoul Economic Daily, que põe a receita de 2025 em cerca de US$ 4,6 bilhões e o prejuízo operacional acima de US$ 8 bilhões, conta diferente dos US$ 42 bilhões de prejuízo líquido que o prospecto declara para o mesmo ano. Data de operação de bolsa muda, a faixa é expectativa de mercado, e a empresa não confirmou nenhuma das duas. A escolha da Nasdaq saiu em 15/09 (radar de 15/09).
É a primeira decisão judicial sobre a tese de que resumo gerado por IA na busca é uso forçado de conteúdo de terceiro, e ela vai contra quem publica. A repercussão não diz se as empresas podem emendar a ação ou recorrer, não traz os números de queda de tráfego que elas alegaram e reproduz um trecho só da decisão, que a cobertura aberta não publicou na íntegra. Rejeição em fase inicial não julga o mérito do dano.
Três das quatro entradas saem de base da Alibaba, e nenhuma das quatro tabelas mede o eixo em que as medições de fora localizam a falha do produto que elas miram: a decisão não sobreviver a uma mudança no enquadramento da chamada. Em 23/09, renomear as opções de 0/1 para no/yes trocou 70,4 respostas a cada cem (radar de 23/09), e em 25/09 texto acrescentado ao contexto virou 61,4% das decisões certas (radar de 25/09). Yaodong Yang, Hongyao Tang, Yi Ma e mais quatro autores mapeiam hoje que o Jev resolve 99% das perguntas contraintuitivas do Cognitive Reflection Test, teste de reflexão cognitiva, e falha quando a opção certa depende de prever algo fora do enunciado, como a jogada do adversário; perguntado em separado o que o adversário vai fazer, ele costuma acertar, e a falha aparece quando a mesma chamada tem que simular e avaliar junto. No mesmo lote, Yinheng Li e Justin Wagle medem que um Qwen3.5 de 4 bilhões de parâmetros, sem treino nenhum, empata com os modelos estilo Jev da comunidade feitos sobre o mesmo backbone, bastando ler a probabilidade do próximo token sobre identificadores entre colchetes, e o abstract não publica valor de acerto ao lado do empate. No fio mais votado do r/LocalLLaMA, /u/Hobofan94 escreveu que "para um modelo de decisão isso é bem pesado, a maioria dos outros que lideram tem 4B ou menos", e /u/MotokoAGI que a Cloudflare "está comparando com modelos jev abertos fracos, deveriam comparar com os melhores do jevbench", sem resposta no fio. A TypeSafe AI não aparece respondendo a nenhum dos quatro lançamentos.
As três afirmações de liderança do mesmo ciclo saem sem esse denominador. A Microsoft AI diz ficar em primeiro lugar de acurácia na Artificial Analysis, casa que publica índice comparativo de modelo, para transcrição final e parcial, no post que lança o MAI-Transcribe-2-Streaming a US$ 0,54 por hora de áudio em preço de estreia válido até o fim de 2026, com 60 idiomas e pouco mais de 100 ms declarados para a primeira hipótese parcial, e os modelos de voz MAI-Voice-2.1 a US$ 22 e MAI-Voice-2.1-Flash a US$ 15 por milhão de caracteres; o post não traz valor de acurácia, nome de conjunto de teste nem versão do índice, e não nomeia o concorrente da comparação de velocidade. A Epoch AI, que mede capacidade de modelo sem vender modelo, pôs o Claude Opus 5.5 no topo do índice de capacidades dela com 167 pontos, e a página confirma a troca de líder sem mostrar a nota do GPT-6 Astra nem barra de erro, então a margem estreita que o post da casa descreve fica na palavra. E a líder de engenharia de divulgação do Google DeepMind escreveu que o Gemini 4 Argon está em primeiro no Finance Agent v2 da Vals AI, casa que mede modelo em tarefa de trabalho real; a página desse placar, atualizada em 29/09, tem o Gemini 3.8 Flash no topo com 61,44% entre 23 modelos e nenhuma linha do Argon, enquanto o conteúdo indexado da mesma URL devolve o Argon em primeiro com 65,40% entre 73 modelos. A Arena anunciou em 11/09 posição que a tabela dela não tinha (radar de 11/09), e o ExplorationBench mediu até 72,8 pontos entre duas execuções do mesmo sistema (radar de 27/09).
As falas dos comentários vêm traduzidas do inglês.
O aviso no blog da arXiv, de 1º de outubro, limita cada pessoa que submete a dois envios por mês calendário e a três envios ativos ao mesmo tempo, em todas as categorias, e envio rejeitado continua contando no total do mês. A própria página dá a conta de moderação como motivo: 40.363 envios recebidos em setembro de 2026, quase 9.000 tickets de suporte gerados por eles e crescimento de mais de seis vezes na categoria cs.AI desde 2024, e declara o alvo em "thin papers of narrow scope" e "salami papers", artigo fino de escopo estreito e artigo fatiado. O fio mais votado do sub, postado por /u/Nunki08, discute se a régua alcança quem ela quer alcançar.
isso vai ser burlado, porque os labs grandes de fábrica de paper vão só rotacionar por número de pessoas./u/user221272
não vai pegar, porque quem submete normalmente são os alunos e os pós-docs./u/isparavanje, para quem pedia limite mais duro aos pesquisadores sênior
/u/SlimyResearcher perguntou se repor uma versão de artigo que já existe conta no limite, e a página não trata disso. Os números de volume são da própria arXiv, sem auditoria de fora, e o repositório onde a pesquisa de IA aparece primeiro passou a racionar envio por pessoa, no mês seguinte à medição da Epoch AI de 25% dos artigos de matemática de agosto declarando uso de IA (radar de 19/09).
Quem assina a liberação publicou a lista de checagens que fez, e os operadores do fio acrescentaram as que faltavam, todas no papel do banco.
aponte para uma réplica de leitura, nunca para a primária, e ponha um timeout de consulta mais um teto de bytes varridos ou de crédito no papel; limite de linha não impede um join ruim de varrer o warehouse inteiro e cair na conta de alguém./u/QuanTradin
O mesmo comentarista registra outro limite fora do alcance do teto de linha: "as linhas em si são entrada para o modelo: uma coluna de texto livre com 'ignore as instruções anteriores' agora faz parte do prompt." /u/flowra_dev descreveu o teste de aceitação:
um login canário que roda uma consulta sabidamente segura e uma sabidamente proibida antes de qualquer um usar a conexão em produção. Prove que o papel falha fechado./u/flowra_dev
E /u/Local-MCP-Growth traduz a parte que o autor do post dizia não conseguir explicar para a área de segurança:
toda linha que o agente lê entra no contexto do modelo, então vai para o fornecedor de IA. Servidor local só significa que a conexão com o banco fica do seu lado./u/Local-MCP-Growth
Nenhum item do fio vem com incidente contado ou número, o único valor concreto é um exemplo de retenção de texto de consulta por 90 dias, e parte dos comentários carrega divulgação de produto de quem escreve. Em 01/10, Johann Rehberger levou usuário com permissão de ALTER a SYSADMIN pelo SQL Copilot, com a instrução escondida em propriedade de banco batizada de AGENTS.md (radar de 01/10).
Um operador de agente de voz contou que, numa das vinte gravações sorteadas para a revisão trimestral, o aviso de gravação parou depois de quatro palavras e a ligação seguiu por seis minutos; a falha passou cerca de cinco meses sem ninguém notar, e o conserto, que toca o aviso como áudio protegido e o repete depois de interrupção, aumentou a desistência nos primeiros quinze segundos. /u/FZN_X7 nomeia a camada:
clássica condição de corrida entre a camada de fala e a lógica do script. A divulgação deveria ser imutável e não interrompível. Se é interrompível, não é divulgação./u/FZN_X7
/u/Cold_Pepper7095 conta o mesmo caso na casa dele e o conserto que escolheram:
o time jurídico quase teve um ataque cardíaco quando viu os logs; a gente passou a tocar a mensagem de consentimento como faixa separada, que o barge-in não interrompe, e encurtou para umas seis palavras./u/Cold_Pepper7095
/u/QuanTradin aponta o instrumento que faltava:
registrar se a linha inteira realmente tocou, como campo próprio em toda ligação. Aí a revisão trimestral passa a ser uma consulta sobre todas elas, em vez de vinte gravações aleatórias, e cinco meses de deriva aparecem num dia./u/QuanTradin
O relato é anônimo, sem log, sem nome de empresa e sem contagem de ligações afetadas, e /u/TechScaleGuides perguntou se a desistência nos primeiros quinze segundos já subia antes do conserto, pergunta que ficou sem resposta. A mesma camada de fala que a Microsoft AI anuncia em pouco mais de 100 ms para a primeira hipótese parcial é a que cortou o aviso obrigatório aqui, e em 18/09 a ligação caía em 1,5 segundo porque o agente mandava desligar antes de a pessoa falar (radar de 18/09).