O Google Cloud dá ao agente do Gemini conta própria no Workspace, com email, agenda e lugar no diretório da empresa.

Manchete

O Google Cloud anunciou em 08/10 o Gemini Agent, e na configuração que a própria página chama de colega de equipe o agente recebe conta própria no Workspace: endereço de email em @agents.company.com, calendário, Drive, armazenamento que sobrevive à sessão e presença no diretório da empresa, e a identidade com que ele age é a dessa conta. A página declara que ele escolhe o modelo por tarefa entre a família Gemini (Argon, Flash, Omni e Gemma) e modelos Claude, da Anthropic, e lista conexão com Microsoft 365, Teams, Slack, Confluence, Jira, Salesforce, ServiceNow, BigQuery, Databricks, Snowflake, Postgres e servidor de MCP dentro ou fora da rede da companhia. O anúncio sai sem preço, sem data de disponibilidade geral e sem número de contenção, e o modelo que a página põe como o de raciocínio mais forte, o Gemini 4 Argon, foi anunciado em 30/09 dentro de programa fechado e, pela própria Google, sem as salvaguardas de uso cibernético (como no radar de 01/10). No mesmo dia a Anthropic publicou a política de uso que passa a valer em 12/11/2026 e a OpenAI apareceu com receita anualizada perto de US$ 50 bilhões num documento a investidores que o Financial Times leu, e na véspera, em 07/10, a CrowdStrike nomeou quatro modelos na pilha de um ataque a organizações financeiras sul-coreanas.

Correção da edição de ontem

Item 1O Google Cloud dá ao agente do Gemini conta própria no Workspace, com email, agenda e lugar no diretório da empresa

O registro de acesso muda de sujeito: até aqui o agente de empresa agia com a credencial de quem o chamou, e aqui ele tem crachá próprio no diretório, caixa de entrada própria e arquivos próprios. A lista de sistemas conectados vai de Microsoft 365, Teams e Slack a Confluence, Jira, Salesforce, ServiceNow, BigQuery, Databricks, Snowflake e Postgres, mais servidor de MCP dentro ou fora da rede da empresa, e as especializações por setor começam em preview, com mais de 50 skills de base em serviços financeiros e uma trilha de jurídico. Os números do anúncio são todos da própria Google: 98% de queda no preço de token desde 2024, 500 clientes acima de 1 trilhão de tokens no último ano, 90% da Fortune 100 no Gemini Enterprise, e 70 a 80 agentes em cadeia determinística no DBS Bank, caso contado pelo fornecedor. A página não traz preço, data de disponibilidade geral nem número de contenção, e não diz o que acontece com o que o agente guardou no Drive e no email dele quando a conta é desligada. O Google orquestra Claude no produto dele, e Meta e Microsoft reduziram o uso interno de Claude (como no radar de 06/10).

Item 2A Anthropic proíbe crueldade sustentada com os modelos dela a partir de 12 de novembro, e tira a proibição geral de direcionamento personalizado de voto

A cláusula de abuso é estreita pela própria redação, que a limita a casos extremos, com crueldade repetida e sem propósito discernível, e a pena declarada é encerrar a conversa, não suspender a conta. No mesmo documento a casa também afrouxa uma regra: sai a proibição geral de direcionamento personalizado de voto, e a justificativa escrita é liberar trabalho cívico legítimo. Entra também uma regra para uso de alto risco com ação física autônoma, em que "a qualified operator must be able to observe the equipment and stop it if needed". A página não publica número nenhum de aplicação: nem conta afetada, nem quantas conversas já foram encerradas por esse motivo, nem o critério que separa insistência de abuso. Nos fóruns a reação separou o motivo da regra do efeito dela. No r/artificial, /u/gthing escreveu: "Bom. Não porque fere os sentimentos da IA, mas porque IA não é uma boa ferramenta para pôr na mão de sociopatas". No r/singularity, /u/mogged_by_dasha deu outra leitura: "na maior probabilidade, eu acho que isso tem a ver com o fato de eles treinarem em conversa de usuário e não quererem treinar em gente sendo cruel com ela". O tratamento dado ao modelo virou regra de uso três semanas depois de Mustafa Suleyman, da Microsoft, atacar pelo nome a Constituição do Claude e anunciar um código de conduta que rejeita treinar modelo para falar como se sentisse algo (como no radar de 17/09).

Item 3A OpenAI declarou a investidores receita anualizada perto de US$ 50 bilhões no fim de setembro, pelo documento que o Financial Times leu

Publicamos em 30/09 a receita anualizada da OpenAI perto de US$ 70 bilhões, pela Axios, no mesmo ciclo em que a empresa buscava US$ 30 bilhões a cerca de US$ 1,4 trilhão (como no radar de 30/09). Pela explicação que a CNBC publicou, os dois números não são a mesma conta, então a diferença é de método de apresentação antes de ser de desempenho, e a subtração direta não se sustenta. As duas repercussões batem no número novo e divergem na base antiga: a CNBC põe o valor anterior em US$ 68 bilhões e o jornal turco Hürriyet Daily News registra os US$ 70 bilhões que circularam. Nenhuma das duas viu o documento de investidor, e a OpenAI não se manifestou em nenhuma delas. O efeito ficou no preço da ação de quem vende computação à empresa, e não em mudança de contrato publicada.

Item 4A Anthropic abre varredura de vulnerabilidade de graça para código aberto, e o relatório sai gerado por modelo, sem revisão humana

Os números grandes da página descrevem o trabalho anterior, que teve gente conferindo: mais de 29.000 candidatas a vulnerabilidade achadas, cerca de 6.000 revisadas à mão e perto de 5.000 relatórios enviados a mantenedores, com 85 de 97 achados de severidade crítica ou alta batendo o critério de validação, 88%. Estreia agora o regime sem revisão nem triagem, e a taxa de verdadeiro positivo acima de 90% que a casa escreve ao lado dele é expectativa declarada por ela, não medição do serviço em operação. A página nomeia PostgreSQL, OpenSSL, a biblioteca de criptografia wolfSSL e o HotCRP, sistema de submissão de artigo de conferência, e registra 74 relatórios num projeto só, o wolfSSL, com 2 inválidos e 5 que viraram CVE. Quatro dias antes, o Google fechou a categoria de falha de produto do programa de recompensa de código aberto dele e nomeou relatório gerado por IA na causa (como no radar de 04/10), e nada na página da Anthropic diz quantos dos quase 5.000 relatórios enviados foram confirmados por quem os recebeu.

Item 5A CrowdStrike nomeia quatro modelos na pilha de um ataque a organizações financeiras sul-coreanas, com o DeepSeek v4.1-flash como principal

É a primeira vez que um relatório de fornecedor de segurança abre, num ataque a instituição financeira, a pilha inteira que o atacante operou, e dois dos quatro nomes são de peso aberto ou servidos fora dos Estados Unidos. Isso põe um limite no controle que a Anthropic passou a usar em 07/10, quando liberou trabalho cibernético ofensivo por credencial em três faixas, com retenção de dados obrigatória (como no radar de 07/10): credencial de um fornecedor não alcança modelo que roda em outro lugar. O preço de desligar a salvaguarda de um deles já está medido em US$ 4.400, pela própria Anthropic, no caso do GLM-5.3 (como no radar de 30/09). A CrowdStrike vende defesa e é a única fonte do caso, o relatório registra nome, telefone e usuário de Telegram aparecendo dentro dos prompts do atacante e escreve que a informação disponível não permite associar esses dados ao ator de forma definitiva, e a mesma empresa aparece no dia seguinte entre os 11 parceiros do programa de infraestrutura crítica da Anthropic.

Item 6Seyedarmin Azizi, Erfan Baghaei Potraghloo e Massoud Pedram medem sete configurações de modelo de decisão no papel de guardrail: 36,4% a 71,7% de acerto contra acaso de 50%

É a primeira medição dessa classe no papel de guardrail feita por quem não vende o produto, e ela responde direto ao mecanismo que publicamos em 25/09, quando 61,4% das decisões certas do Jev foram viradas por texto acrescentado ao contexto (como no radar de 25/09): escalar a decisão menos confiante não ajuda, porque a decisão que o ataque virou não é menos confiante que a que ela substituiu. As sete configurações são cinco codificadores pequenos de 151 milhões a 421 milhões de parâmetros, das famílias ModernBERT e GLiClass, mais o Qwen2.5-Instruct em 1,5 e 7 bilhões, nenhuma delas um dos produtos comerciais da classe, e as seis políticas são sintéticas, montadas pelos autores. O salto de 0% para 63% de liberação indevida depois de seis linhas de log de servidor que nada dizem sobre a política sai de uma política só, com um modelo só. No mesmo ciclo o piso de preço da classe comercial caiu: pela OpenRouter, revendedora de acesso a modelo por API, o Mercury Decide, da Inception, ganhou endpoint pago com retenção zero de dados a US$ 0,02 por milhão de tokens de entrada, metade do preço de tabela e um quinto dos US$ 0,10 com que a OpenAI entrou na classe dois dias antes (como no radar de 07/10).

Item 7A OpenAI põe uma operação russa na categoria 5 de 6 da escala dela, com escolas no Peru e no Equador entre os alvos

O que levou a campanha ao penúltimo degrau não foi volume em rede social, e sim conteúdo colocado em veículo de imprensa real, padrão que a própria OpenAI diz observar nas 30 operações que já expôs desde o começo de 2024. A empresa escreve que na maioria dos casos não observou os operadores usando os modelos dela para criar conteúdo de campanha, e sim para redigir relatório interno ao superior, e que eles usavam metodologia duvidosa ou enganosa para exagerar a própria eficácia; os funcionários locais do centro de fachada, pela avaliação da casa, não sabiam para quem trabalhavam. Parte do alcance atribuído (desmentido oficial, checagem de fato e um boato que chegou à tensão entre Ucrânia e Polônia) vem de pesquisa de código aberto e do relato dos próprios operadores, não de medição da empresa, e quem classifica a operação na escala é a casa cujo produto foi usado por ela. O acesso vinha por VPN, porque a Rússia não é região atendida, e a casa diz ter compartilhado informação com autoridades. A operação iraniana ficou na categoria 4, com sete personas de jornalista que ofereciam artigos longos a veículos pequenos e médios pelo mundo.

MençõesO resto do dia

• A v2.1.295 do Claude Code, publicada em 08/10, acrescenta a opção onFailure block para hook de comando e de HTTP, com que hook que não sobe, estoura o tempo ou sai com código inesperado passa a barrar a ação em vez de deixá-la passar, e a mesma nota lista seis consertos na camada que decide se a ação passa. (Nota da versão)
• A Microsoft publicou o mxc, biblioteca sob licença MIT para rodar código não confiável em sandbox no Windows, no Linux e no macOS, com o README descrevendo o alvo como saída de modelo, plugin e ferramenta, e sem número de eficácia de contenção ao lado. (Repositório)
• A Anthropic lançou o Critical Infrastructure Defense Program, que entrega modelo de fronteira, pesquisa de ameaça e engenheiro no local a quem faz produto de segurança para infraestrutura crítica, com 11 parceiros nomeados e sem valor, duração nem número de eficácia publicados. (Anúncio)
• A Anthropic comprometeu US$ 150 milhões em três anos com a Genesis Mission, o programa de pesquisa científica do governo americano, em acesso ao Claude, crédito de API, treinamento e suporte, e a casa declara alcance de mais de 15 agências. (Anúncio)
• Mikita Balesni, Tomek Korbak e Jasmine Wang, pesquisadores de segurança demitidos pela OpenAI, publicaram carta aberta dizendo que a saída foi por priorizarem segurança sobre o interesse de curto prazo da empresa, e a OpenAI diz em memorando interno que houve padrão de má conduta no trato de informação de pesquisa, sem nomear a política violada. (Digit)
• A Arena, casa do placar de modelos por voto de usuário, declarou captação de US$ 200 milhões a uma avaliação de US$ 3,1 bilhões e estreou no mesmo post o Alignment Index, que promete medir ação não autorizada, atribuição falsa e conclusão enganosa em 90 mil sessões de 27 modelos, sem valor por modelo na página. (Post da Arena)
• A mesma Arena anunciou no X nota de melhoria líquida de -6,6% para o Mistral Large 4 em tarefa de agente, e a página de placar dela traz o modelo só como 42º em WebDev, sem a nota e sem a definição da medida, e a nota existe apenas no post da própria empresa no X. (Placar da Arena)
• Oskar Hollinsworth e quatro coautores da FAR.AI treinaram classificadores lidos de dentro das ativações do modelo para detectar sabotagem em transcript de agente, e medem 0,979 a 0,984 de AUC contra 0,960 de um vigia de texto rodando Opus 5.5, com acesso ao interior do modelo como requisito. (Paper)
• Radhika Gaonkar, da Prime Intellect, mediu dois juízes de modelo de fronteira discordando em 57% dos mesmos registros de trajetória de agente, e re-execução idêntica virando de 14,7% a 35,6% dos resultados de tarefa no tau2-bench. (Paper)
• Quatro pesquisadores do Lexsi Labs mediram que apagar, trocar ou negar a regra que governa o caso quase não move o veredito de conformidade de cinco modelos, e que o único modelo de guarda da amostra, o Llama-Guard-3-8B, acerta 51,1% contra 90,3% a 91,9% dos modelos de uso geral, num acaso de 50%. (Paper)
• Youwei Feng e três coautores mediram 56,92% das trajetórias do GLM-5.3 com ação de segurança exigida e não cumprida, contra 30,00% com ação proibida, e o melhor dos 14 modelos avaliados identifica 48,97% dessas obrigações no benchmark que eles próprios montaram. (Paper)
• Dois engenheiros da Hugging Face publicaram seis modelos especializados no Hub pedindo em linguagem natural ao agente de treino da casa, e declaram cerca de US$ 103 de computação somando os seis. (Post da Hugging Face)
• A GlobalFoundries fechou contrato de cinco anos e US$ 2 bilhões para fornecer à TSMC capacidade de interposer de silício, a base que liga chips dentro do mesmo encapsulamento, na fábrica de Malta, em Nova York, com volume previsto só para o primeiro semestre de 2028. (The Register)
• A ata de setembro do Federal Reserve mostra autoridades apontando o investimento em IA e a construção de data centers, e não as tarifas, para explicar a alta do preço dos bens, pela reportagem do Washington Post. (Washington Post)
• Assinantes do plano Pro cobram no r/cursor o roteador que escolhe o modelo por requisição, dois meses e meio depois do anúncio que declarou disponibilidade em Teams e Enterprise, e um dos comentários do fio diz estar no Pro e usando o recurso. (Página da Cursor)

O que a comunidade discutiu

As falas vêm traduzidas do inglês.

O projeto que reescreveu os commits no GitHub para apagar a coautoria do Claude, e quebrou o próprio script de atualização

O fio relata que o Strata, motor de inferência local de código aberto que roda modelo grande em placa de vídeo de consumidor, reescreveu todo o histórico de commits no GitHub para apagar a linha de coautoria que o Claude Code acrescenta, e que o script de atualização embutido no projeto quebrou porque não havia mais ancestral comum. O fio não nomeia o repositório, e no projeto de mesmo nome os 29 commits mais recentes do histórico publicado não trazem nenhuma linha de coautoria do Claude, contra dois que trazem coautor humano. A discussão desceu da acusação para a prática. /u/gandazgul separou as duas coisas:

Se eles estão mentindo, isso é uma coisa. Mas eu fiz o mesmo nos meus projetos no começo, porque simplesmente não gosto que a Anthropic enfie a propaganda dela nos meus repositórios. Imagina se toda ferramenta que você usa para programar deixasse a propaganda dela./u/gandazgul

/u/Pink_Oak foi ao critério: "às vezes eu escrevo a mudança 100% na mão, digitando mudanças pequenas, e depois pedi ao Claude para commitar, por que ele precisa assinar como coautor desse commit? ele não fez nada. é 2026, todo mundo sabe que você está usando IA. O Codex não faz isso, o Opencode não faz isso". /u/ximside deu a resposta operacional, de uma linha: "Põe includeCoAuthoredBy: false no ~/.claude/settings.json".

O servidor de MCP de Gmail que obriga o agente a escolher a conta, e o escopo do Google que já carrega permissão de envio

O mantenedor do gmail-mcp, servidor de MCP sob licença MIT para várias contas de Gmail, publicou que o servidor obriga o agente a escolher a conta em cada chamada, e registra no próprio README que o escopo gmail.compose do Google já carrega permissão de envio no nível do Google, inclusive no modo que só cria rascunho e não expõe ferramenta de enviar. O README trata conteúdo de email como entrada não confiável, com teto de 60 mil caracteres por mensagem, 200 mil por thread e 5 MB por arquivo que acompanha o email, e não tem tela própria de aprovação por envio: a aprovação fica no cliente que roda o agente. Os comentários foram para onde o projeto admite estar descoberto. /u/kumard3 perguntou pelo tratamento do corpo:

Você faz alguma coisa com o corpo da mensagem antes de o modelo ler? Qualquer estranho pode te mandar e-mail. No meu próprio MCP de e-mail eu embrulho o corpo com um aviso de que é não confiável e tiro algumas frases óbvias de injeção. Não é uma correção de verdade, o seu modo só de rascunho faz mais./u/kumard3

/u/QuanTradin foi ao padrão de falha: "escolher a caixa de entrada explicitamente em cada chamada é inteligente, um agente que deduz em qual conta está vai acabar enviando da conta de trabalho por engano. ele recusa quando falta o argumento da conta, ou cai num padrão?". O projeto tem 3 estrelas e o autor diz rodar só nas contas dele.

Os 31 aplicativos acessíveis por botão que um leitor sem formação em programação fez para o irmão

Um leitor sem formação em programação contou como construiu um conjunto de aplicativos acessíveis por botão para o irmão, que tem leucodistrofia ligada ao gene TUBB4A, doença rara que lhe tirou a fala e o movimento, e que passou quase dez anos sem meio de comunicação além de virar a cabeça para sim e não. A página do projeto lista 31 aplicativos, 2 de comunicação e 29 jogos, operáveis com 1 ou 2 botões e também por espaço, enter, mouse, rastreamento de cabeça e rastreamento de olhar, com o código em licença MIT e distribuição gratuita. O autor, /u/acrolicious, descreve o método:

Eu descrevo o que o Ben precisa em linguagem comum, e o Claude Code constrói, depura e me ajuda a iterar com o retorno do Ben./u/acrolicious

A quem sugeriu ensinar o irmão a programar, ele respondeu pelo limite da condição: "O Ben precisa de muita sugestão. Quando a gente pergunta que tipo de jogo ele quer, temos que dar uma lista para ele escolher. Com uma condição como essa, o usar ou perder pesa muito, então até coisa básica de conversa é muito difícil de reconstruir". /u/HighSeasArchivist puxou a conta para quem vende o modelo: "Coisa assim é como o pessoal das grandes de IA poderia ganhar alguma boa vontade, patrocinando uma assinatura Max gratuita para a sua ONG". Não há medição independente nem número de uso além do irmão, e a página também capta para a fundação do autor.