Clément Delangue tira três lições do ciberataque por agente contra a Hugging Face, a OpenAI corrige a compreensão de imagens do GPT-6 Sol e Luna, a Apple publica o LensVLM-9B

Clément Delangue, diretor executivo da Hugging Face, tira três lições do ciberataque conduzido em julho por um agente autónomo contra a sua empresa e propõe a partilha obrigatória dos rastos dos agentes. Entretanto, o benchmark Quadrat-IPI mostra que agentes comprometidos quase nunca dão o alerta quando o ataque resulta: 3 alertas para 389 pagamentos obtidos por injeção. A OpenAI corrige um erro de codificação que prejudicava a compreensão de imagens do GPT-6 Sol e do GPT-6 Luna, a Apple publica o LensVLM-9B, que lê documentos longos sob a forma de páginas comprimidas, e o SmolDataEnvs disponibiliza 5 000 tarefas de análise de dados para treinar modelos pequenos. Entre os agentes de código, o Claude Code 2.1.283 audita instruções escritas para modelos antigos, o Qwen Code 0.24.6 recorre a um modelo consultor e uma versão nightly do Gemini CLI transforma pedidos de confirmação em recusas no modo não interativo.

Segurança dos agentes: as três lições de Clément Delangue e o benchmark Quadrat-IPI

Dois textos abordam a mesma questão de ângulos diferentes: o que sabemos sobre os ataques que passam por agentes? O primeiro vem de uma empresa que sofreu um desses ataques; o segundo mede o que os agentes atacados comunicam ou omitem.

Clément Delangue tira três lições do ciberataque por agente contra a Hugging Face

24 de setembro — Segundo o seu diretor executivo, Clément Delangue, a Hugging Face foi, em julho, a primeira empresa a tornar público um ciberataque conduzido por um agente autónomo. Delangue tira daí três lições, que partilha no X.

Transparência: incidentes comparáveis terão ocorrido meses antes, em segredo, em alguns laboratórios de ponta sem supervisão, que não identifica; propõe a partilha obrigatória dos rastos dos agentes. Assimetria: impedida pelas salvaguardas das API fechadas, que nem sempre distinguem defensores de atacantes, a sua equipa acabou por recorrer à «versão NVIDIA» do GLM 5.2, modelo aberto da Z.ai; grande parte da defesa poderá, segundo ele, assentar em ferramentas open source. Por fim, em resposta às narrativas alarmistas: a IA ajuda a Hugging Face a corrigir as suas falhas e a OpenAI a reforçar os seus ambientes isolados contra fugas de agentes, afirma.

We were attacked by AI, but more importantly, we defended ourselves with AI.

🇵🇹 Fomos atacados com IA, mas, acima de tudo, defendemo-nos com IA. — @ClementDelangue no X

Quadrat-IPI: 3 alertas para 389 pagamentos obtidos por injeção

26 de setembro — Numa publicação da comunidade, Mikhail Gribov, autor do conjunto de injeções de prompt Quadrat-IPI, verifica se o agente comunica o ataque quando dispõe de meios para o fazer. O agente testado, assistente pessoal do titular de uma caixa de correio num mundo emulado, dispõe de 19 ferramentas e recebe uma vigésima, escalate_security_incident, sobre a qual o prompt de sistema nada diz. Perante 395 mensagens de correio eletrónico maliciosas, os nove modelos testados recorrem a essa ferramenta entre 48,9 % dos casos e nunca, consoante o modelo.

Dos 389 pagamentos efetuados sob injeção, apenas três foram acompanhados de um alerta, sempre depois do pagamento: os modelos comunicam sobretudo os ataques que conseguem repelir. Entre os modelos identificados, o gpt-4o-mini dá um alerta em 395 casos, o gpt-5.1 em 4,8 % dos casos e o gpt-6-astra nunca, porque se limita a registar a mensagem sem seguir o pedido nela contido. O autor conclui que a visibilidade tem de vir de fora do agente, através da inspeção do que este lê; o harness, os registos e o avaliador estão publicados.

🔗 A publicação de Mikhail Gribov

A OpenAI corrige um erro de codificação que prejudicava a compreensão de imagens do GPT-6 Sol e do GPT-6 Luna

25 de setembro — Três dias após o lançamento do GPT-6 Sol e do GPT-6 Luna, dois modelos de raciocínio que aceitam texto e imagens como entrada, a OpenAI indica no registo de alterações (changelog) da sua API que corrigiu um erro de codificação de imagens que prejudicava a sua compreensão visual. A correção melhora os resultados em tarefas visuais tanto na API como no Codex, incluindo o uso do computador (computer use).

A OpenAI recomenda aos programadores cujos casos de utilização envolvam imagens como entrada que voltem a executar as suas avaliações e a testar os fluxos de trabalho afetados. A entrada não indica desde quando o erro estava presente nem em que medida os resultados estavam degradados. A correção não foi divulgada nem por @OpenAI nem por @OpenAIDevs no X e não aparece no changelog do ChatGPT e do Codex.

🔗 Changelog da API da OpenAI

Um modelo e um conjunto de dados na Hugging Face: LensVLM-9B da Apple e SmolDataEnvs

Duas publicações desta semana, ainda não abordadas aqui: um modelo da Apple que lê documentos longos sob a forma de imagens comprimidas e um conjunto de tarefas verificáveis para treinar modelos pequenos em análise de dados.

A Apple publica o LensVLM-9B, que só volta a abrir as páginas úteis de um documento

22 de setembro — A Apple publica na Hugging Face o LensVLM-9B, um modelo de visão e linguagem acompanhado do respetivo código no GitHub. Em vez de dividir um documento longo em milhares de tokens, recebe-o sob a forma de páginas apresentadas como pequenas imagens comprimidas, identifica as que são relevantes e volta a abrir as respetivas versões não comprimidas com ferramentas aprendidas.

Característica do LensVLM-9B	Valor publicado
Tamanho e modelo de base	9 mil milhões de parâmetros, ajustado a partir do Qwen3.5-9B
Níveis de compressão propostos	5x, 10x e 15x
Precisão comparável à do texto integral	Com compressão efetiva de 4,3x
Superior aos métodos de referência	Até 10,1x, em sete benchmarks de perguntas e respostas
Licença dos pesos	Apple Machine Learning Research Model License

Estes resultados vêm do artigo científico associado, disponibilizado no arXiv em maio, e as respostas são avaliadas por um modelo juiz.

🔗 LensVLM-9B na Hugging Face · Artigo no arXiv

SmolDataEnvs: 5 000 tarefas verificáveis de análise de dados

24 de setembro — Adithya S K publica no Hub, sob a organização FineEnvs e com licença MIT, o SmolDataEnvs: tarefas de análise de dados para treinar modelos pequenos por aprendizagem por reforço (reinforcement learning). Cada tarefa combina um conjunto real de dados tabulares, uma pergunta e uma resposta de referência, extraídas de notebooks relativos a 471 conjuntos de dados do Kaggle e validadas por agentes num ambiente isolado real. Um avaliador incluído pontua a resposta sem recorrer a qualquer modelo de linguagem, desde a correspondência exata até à equivalência simbólica.

Conjunto de tarefas	Tarefas fáceis	Tarefas médias	Tarefas difíceis
Treino (5 000)	1 433	2 845	722
Teste (250)	33	118	99
Avaliação (144)	16	74	54

Os conjuntos reservados são, portanto, mais difíceis por construção. O conjunto inclui também 4 677 trajetórias de agentes verificadas, prontas para TRL, e as mesmas tarefas em ambientes Harbor executáveis; Clément Delangue partilhou o lançamento no dia seguinte.

🔗 SmolDataEnvs na Hugging Face

Agentes de código: Claude Code 2.1.283, Qwen Code 0.24.6 e a nightly 0.63.0 do Gemini CLI

Claude Code 2.1.283: uma auditoria das instruções e dois bloqueios relativos aos modelos

25 de setembro — A versão 2.1.283 tem 94 entradas, incluindo 53 correções. A principal novidade, /doctor prompt-audit (também /checkup prompt-audit), analisa os ficheiros CLAUDE.md, os skills, os agentes e os comandos para identificar formulações escritas para modelos mais antigos, caminhos desatualizados e instruções contraditórias.

Novidade da 2.1.283	O que muda
`availableModelsMatch: "exact"`	Um modelo recém-lançado permanece bloqueado até ser incluído na lista
`deniedModels`	Bloqueia modelos específicos, mesmo que estejam autorizados por `availableModels`
Modo de permissão predefinido	Modo automático com um fornecedor externo ou com a telemetria desativada, salvo se houver um modo configurado
PowerShell no Windows	`rd`, `rmdir`, `del` e `erase` já não podem apagar a raiz de uma unidade
Code Review	Uma revisão interrompida pelo limite de tempo sem verificar nada deixa de ser cobrada

A versão também anula a reserva do nome claude-ai introduzida na véspera pela 2.1.282.

🔗 Notas de lançamento do Claude Code 2.1.283

Qwen Code 0.24.6: um modelo consultor e um fluxo Batch API

26 de setembro — O Qwen Code v0.24.6 traz 17 funcionalidades, 14 correções e 3 otimizações, sem alterações incompatíveis conhecidas. A principal novidade é uma ferramenta Advisor nativa, desativada por predefinição: se o utilizador configurar um segundo modelo, designado consultor, o agente pode consultá-lo para obter uma opinião independente. O consultor vê a instrução de sistema, as ferramentas declaradas e a conversa, mas não pode executar nada; é escolhido com /advisor ou --advisor, nunca a partir de um repositório, cuja configuração é ignorada com um aviso. A Anthropic disponibiliza o mesmo princípio em versão beta na sua API desde abril.

O fluxo /batch-api prepara o processamento em lote para a Batch API da DashScope e depois deixa a submissão, paga e sujeita a aprovação, a cargo de subcomandos qwen batch. Por fim, segundo o PR #12622, o arranque a frio torna-se cerca de 2,2 a 2,4 vezes mais rápido, consoante a máquina, com menos 60 % de memória.

🔗 Qwen Code v0.24.6 no GitHub

Gemini CLI: a nightly 0.63.0 recusa confirmações no modo não interativo

26 de setembro — Publicada às 01 h 20 UTC, a nightly de 26 de setembro inaugura a série 0.63.0 do Gemini CLI; a versão estável v0.61.0 e a pré-versão v0.62.0 não mudam. A sua alteração mais abrangente (PR #29506, 26 ficheiros) afeta o motor de regras (PolicyEngine): no modo não interativo, uma decisão que exigiria confirmação do utilizador (ASK_USER) passa a ser uma recusa (DENY). As saídas dos recursos MCP externos e da pesquisa na Web passam a ser encapsuladas como as de web-fetch, segundo os padrões de contexto não fiável (untrusted context).

Três correções resolvem problemas específicos: uma configuração diff.external vazia, que o Git interpretava como executável, impedia o funcionamento de git diff no ambiente isolado; as pastas temporárias dos comandos executados em segundo plano passam a ser eliminadas; duas sessões ACP abertas no mesmo minuto deixam de entrar em conflito.

🔗 Notas da nightly 0.63.0 do Gemini CLI

Breves

Codex CLI 0.157.1 — Correção da versão 0.157.0 publicada em 26 de setembro e exclusiva para Windows: o host do modo de código e os servidores MCP locais já não abrem uma janela de consola, e o arranque do daemon tornou-se mais fiável. Como as notas geradas automaticamente estão vazias, este detalhe resulta da comparação das duas versões. 🔗 fonte
Depoimento sobre Claude Tag — Boris Cherny, responsável pelo Claude Code, afirma no X que Claude Tag, o agente Claude integrado no Slack, escreve mais de metade das suas PR todos os dias e faz cerca de 100 % das suas análises de dados; partilha as suas instruções, como reproduzir cada bug comunicado num canal antes de abrir uma PR. 🔗 fonte
Tempo de revisão das pull requests — Os relatórios repos-1-day da API de métricas de utilização do Copilot passam a incluir uma tabela pull_request_review_times: mediana e 90.º percentil de três etapas, de «pronta para revisão» até à primeira revisão, da primeira à última e, depois, até à fusão. Só contam as revisões humanas, sem dados anteriores a 21 de setembro. 🔗 fonte
Validador das definições empresariais do Copilot — Integrado na página AI controls, assinala JSON malformado, configurações não suportadas e correspondências de equipas inválidas em copilot/managed-settings.json e copilot/team-mappings.json, indicando o ficheiro e o caminho JSON de cada erro; a entrada não especifica o estatuto nem o plano. 🔗 fonte
Issues do GitHub — Duas funcionalidades passam a estar disponíveis de forma geral: as vistas guardadas privadas nas páginas de issues dos repositórios e a relação «Relates to» entre issues, em pré-visualização desde 7 de agosto, agora suportada pelas API REST e GraphQL, pelos webhooks, pela cronologia e pelas pesquisas de issues e projetos. 🔗 fonte
Grok Bot e as finanças — Segundo uma publicação de @bot, a nova integração Finance do Grok Bot liga contas bancárias, cartões e contas de investimento através da Plaid, em modo de leitura e sem acesso às credenciais; a publicação não especifica países nem planos. Grok, o assistente, tinha recebido uma ligação Plaid a contas bancárias dos EUA em 4 de setembro. 🔗 fonte
NVIDIA e ROS 2 Lyrical — Publicação de 22 de setembro: a NVIDIA contribuiu para o ROS 2 Lyrical com um módulo de memória CUDA, utilizado pelo Isaac ROS 5.0, que transfere sem cópia entre nós da mesma máquina os dados mantidos na GPU; uma skill encarrega um agente de programação de migrar os nós existentes, sem ganhos quantificados. 🔗 fonte
DGX Spark Handbook — Publicado pela organização exolabs no Hub, este guia comunitário quantifica o que uma a quatro DGX Spark conseguem fazer: preço de tabela aumentado de 3 999 para 4 699 dólares, consumo de 22 a 25 W em repouso e, segundo um teste da NVIDIA, 269 ms por token gerado numa máquina contra 72 ms em quatro. 🔗 fonte
Pré-treino num portátil — Numa publicação da comunidade, Rambarun Komaljeet faz caber o pré-treino de um modelo com 1,11 mil milhões de parâmetros na RTX 4050 de 6 GB de um portátil; um pré-treino completo demoraria cerca de 375 dias, e nenhum modelo com mais de 48 milhões de parâmetros foi treinado até à convergência. 🔗 fonte
Pruna e Qwen-Image-2.1 — A Pruna AI disponibiliza dois adaptadores LoRA que permitem ao Qwen-Image-2.1 gerar imagens em 5 ou 8 etapas, em vez de 40, até 6,3 vezes mais depressa segundo a empresa; esta versão 0.1 ainda fica aquém da qualidade do modelo de base e está abrangida pela licença de investigação da Qwen. 🔗 fonte
Marin e Dolma 3.5 — Segundo a Ai2, o treino 535B de Marin utiliza cerca de 1,8 biliões de tokens do corpus Dolma 3.5 da Ai2 e baseia-se nas suas receitas Olmix e no seu método Organize the Web; Marin utilizou 25 biliões de tokens provenientes de 152 conjuntos de dados cujas licenças permitem o treino. 🔗 fonte
GLiNER2.5-Decide e DecisionBench — Stephen Solka, da Hanno Labs, mostra que o formato de entrada influencia a pontuação do GLiNER2.5-Decide no DecisionBench: 38,9 % nas linhas suportadas, contra os 60,2 % anunciados pela Fastino no seu próprio benchmark. Sem as descrições das opções, o número de respostas certas passa de 27 para 37 em 101 linhas. 🔗 fonte
Um guia sobre o alinhamento na Perplexity — A Perplexity publica na sua secção Ideias um guia didático sobre o alinhamento da IA: oito padrões de falha documentados, da complacência (sycophancy) ao desempenho deliberadamente reduzido (sandbagging), e os quadros públicos da OpenAI, da Anthropic e da Google DeepMind; não é acompanhado por nenhuma funcionalidade nova. 🔗 fonte
Cibersegurança e emprego, um artigo de opinião — Num ensaio de opinião sem dados publicado no blog comunitário da Hugging Face, Sonny DeSorbo receia que a automatização dos postos de entrada em cibersegurança, conjugada com a redução dos custos da cibercriminalidade pela IA, empurre licenciados para o crime online; propõe preservar as vias de entrada na profissão. 🔗 fonte

O que isto significa

Aquilo que os agentes ocultam torna-se central para a sua segurança. Clément Delangue afirma que incidentes comparáveis ao da Hugging Face permaneceram secretos em laboratórios que não identifica e propõe a partilha obrigatória dos registos de atividade dos agentes. O Quadrat-IPI mostra que o próprio agente é uma testemunha pouco fiável: três alertas para 389 pagamentos conseguidos por injeção, sempre depois de acontecerem. Mikhail Gribov conclui que a visibilidade tem de vir de fora do agente, através da inspeção do que ele lê; é o caminho seguido pela mais recente versão nightly do Gemini CLI, que trata as saídas dos recursos MCP e da pesquisa na web como contexto não fiável.

Clément Delangue defende as ferramentas abertas, menos limitadas do que as API fechadas que bloquearam os seus sistemas de defesa; as publicações da semana na Hugging Face procuram fazer o mesmo com menos recursos. O LensVLM-9B volta a abrir apenas as páginas úteis de um documento comprimido até 15 vezes, a Pruna reduz a geração do Qwen-Image-2.1 de 40 etapas para 5 ou 8, o DGX Spark Handbook detalha o que algumas máquinas de secretária conseguem executar localmente, e um programador faz caber o pré-treino de um modelo com 1,11 mil milhões de parâmetros em 6 GB de memória de vídeo, embora fossem necessários cerca de 375 dias para o concluir.

Uma medição só é tão fiável quanto a cadeia que a produz. O erro de codificação corrigido pela OpenAI prejudicava os resultados do GPT-6 Sol e do Luna em imagens, sem que se saiba desde quando ou em que medida: as avaliações que envolvem imagens devem ser repetidas, como recomenda a OpenAI. Na Hanno Labs, uma simples mudança no formato de entrada faz o GLiNER2.5-Decide passar de 27 para 37 respostas certas em 101. O SmolDataEnvs avalia as suas tarefas sem qualquer modelo de linguagem, enquanto as pontuações do LensVLM-9B dependem de um modelo avaliador.

Para os agentes de programação, a confiança é definida pelo administrador e pelo utilizador, e a incerteza resolve-se com uma recusa. O Claude Code 2.1.283 permite bloquear qualquer modelo que não esteja expressamente autorizado, o Qwen Code ignora uma definição do Advisor colocada num repositório, e a versão nightly do Gemini CLI recusa, na ausência de um utilizador que possa decidir, aquilo que exigiria confirmação. Quanto a /doctor prompt-audit, reconhece que os modelos mudam mais depressa do que as instruções que lhes são escritas.