cleofas pereira rocha

[cleofas pereira rocha @cleofasrocha_]

Fontes:
https://t.co/Q6zkOFmEoO
https://t.co/XESBKTfU3S

[Patrick Collison @patrickc]

I'm now building an "improvements" feature into all of my personal vibecoded applications: a freeform text input that's hooked up to an agent that yolo implements whatever is submitted.

It's an interesting experience -- the activation energy barrier to sanding any rough edge or implementing any new feature becomes extremely low. Someone else who uses one of the applications I created has already implemented 150 improvements over the course of a few days. This pattern feels like a new kind of tool -- liquid software? -- and every application that doesn't have this feature now has a slightly rigid and anachronistic flavor. Why can't I just tell it how I want it to be different?

Now, it's not obvious to me how this pattern can or should scale. Does it become unmaintainable after a while? (Maybe model intelligence improvement outstrips my feature appetite such that it's fine?) How does collaborative software work in this model? Can software designed this way be secure and reliable?

Whatever the larger questions about broader deployment, it definitely works great in a personal context. It reminds me a little of the visions of Lisp/Lisp machines, Smalltalk, and HyperCard -- systems that the user can take control of and modify. Those visions never quite worked, though: the vast majority of software today is not end-user modifiable in any useful way. So, while this "liquid" affordance is a very small touch, the way it changes one's relation to the software feels a bit transgressive and empowering in a Lickliderian and Engelbartian way.

[cleofas pereira rocha @cleofasrocha_]

🚨 O CEO da Stripe deixou o próprio usuário programar o app dele

Patrick Collison (CEO da Stripe) contou que está colocando um botão de “improvements” em todos os apps pessoais que ele vibe-codou: uma caixa de texto livre ligada a um agente que implementa sozinho o que for pedido (“yolo implements”).

Segundo ele, a barreira pra polir aresta ou pedir feature fica baixíssima. Ele cita: um usuário já fez 150 melhorias em poucos dias. Ele chama o padrão de “liquid software” — e pergunta abertamente se isso escala, se fica seguro e como fica software colaborativo.

Dica: no app pessoal pode ser mágico. Em produção, trate pedido de usuário como código não confiável.

Você deixaria o usuário pedir e o agente aplicar sozinho?
A = Agente aplica sozinho
B = Dev revisa tudo antes
Responde A ou B 👇

[cleofas pereira rocha @cleofasrocha_]

Como montar um botão “improvements” (padrão seguro):
1) Caixa de feedback livre no app (só texto; sem upload de binário)
2) Fila: cada pedido vira um ticket com autor, timestamp e escopo
3) Agente em sandbox isolado (sem secrets de prod; sem rede ampla)
4) O agente abre um PR — nunca merge automático na main
5) Revisão humana obrigatória antes do deploy
6) Auth forte + rate limit por usuário (anti-spam / anti-abuso)
7) Log + rollback: se o PR quebrar, desfaz fácil

⚠️ Alerta: pedido de usuário = input hostil. Sem sandbox, auth e review, uma “melhoria” vira RCE ou vazamento de chave.

[cleofas pereira rocha @cleofasrocha_]

Fontes:
https://t.co/pOjn5jy9a6
https://t.co/5GIUQMEGQw

[Elon Musk @elonmusk]

Text watermarking with Grok is only on where required by law or requested by the user

[cleofas pereira rocha @cleofasrocha_]

🔄 A xAI voltou atrás: a marca d'água no texto do Grok agora vem DESLIGADA

No começo do mês, a documentação da API do Grok dizia que, a partir de 7/11, o texto gerado sairia com marca d'água invisível por padrão.

Agora a mesma página diz:
• "A marca d'água no texto vem desligada por padrão"
• Quem liga é o admin do time, modelo por modelo, no console. Vale pra todas as chaves do time
• Alguns modelos podem vir travados como ligados pra certos times
• No áudio das APIs de voz ela continua ligada por padrão. Dá pra desligar, menos onde a localização do usuário exige

Hoje o Elon Musk resumiu: no texto, a marca d'água só fica ligada onde a lei exige ou quando o usuário pede.

Pra conferir na sua integração: a resposta traz o header x-watermark: true quando saiu marcada.

E no texto gerado por IA, você prefere:
A) Marca d'água sempre ligada
B) Só quando eu quiser

Comenta A ou B

[cleofas pereira rocha @cleofasrocha_]

Fontes:
https://t.co/rS2Jz9qKlC
https://t.co/PPLWKrmwlV
https://t.co/8HBRmab0D5
https://t.co/AiIZEynzk7

[Joe Blau @joeblau]

I recreated subvocal in 9 minutes with one prompt for AirPods Pro 3.

Source: https://t.co/p5qYCOdjNl

[cleofas pereira rocha @cleofasrocha_]

🚨 Demo de startup vira clone em minutos — o fosso é hardware e distribuição

Joe Blau diz que recriou a ideia da Subvocal (YC — óculos de fala silenciosa) com 1 prompt em 9 minutos, usando os sensores de movimento dos AirPods Pro 3.

Resultado open source: Subvox (Swift, macOS, MIT, ~455★). Lê movimento de mandíbula/cabeça via motion dos fones e reconhece poucas palavras que você treina. Sem LLM — recognizer de templates. Honestidade do README: protótipo, vocabulário pequeno, não substitui o produto.

A Subvocal vende a visão em óculos dedicados (Early Bird US$ 499 no site oficial). O clone roda no que você já tem no ouvido.

Óculos dedicado ou o AirPods que você já tem? Responde A ou B 👇

[cleofas pereira rocha @cleofasrocha_]

Fontes:
https://t.co/C6VO6y3BuW
https://t.co/0mJW1ATow4
https://t.co/MZ1be2kk5F
https://t.co/XfkO47iqTj
https://t.co/Rg0kkVde3d
https://t.co/IMi3EF2Rrl

[cleofas pereira rocha @cleofasrocha_]

🚨 Hackers roubaram dados de motoristas da Uber. E não precisaram invadir a Uber.

A porta foi a Fireworks AI, empresa que roda modelos de IA abertos pra outras empresas.

O que se sabe:
• Segundo a Uber, a fornecedora avisou em 09/10 que credenciais internas dela foram roubadas e usadas pra entrar na conta da Uber lá
• Em 13/10 a Uber confirmou que dados pessoais de motoristas foram acessados
• Avisos oficiais vistos pelo TechCrunch somam pelo menos 7.870 pessoas com dados da carteira de motorista expostos, em só 3 estados. A Uber não deu o total
• A Uber cortou a conexão com a fornecedora e diz que não viu uso indevido até agora

E não foi só ela: Notion e Cursor também já disseram que foram atingidos via a mesma fornecedora.

A lição: teu dado também mora onde teus fornecedores guardam. Chave dada a fornecedor de IA é chave da tua casa.

Checklist no reply 👇

E você?
A) Sei quais fornecedores têm minhas chaves
B) Nem faço ideia

Comenta A ou B

[cleofas pereira rocha @cleofasrocha_]

✅ Checklist: fornecedor de IA é parte do teu sistema

Inventário
1. Liste todo fornecedor de IA que guarda chave, token ou dado teu (inferência, eval, fine-tuning, logs)
2. Anote o que cada um guarda: prompts, arquivos, datasets, documentos de clientes
3. Saiba quem avisa quem: contato de segurança e prazo de notificação no contrato

Chaves
4. Uma chave por fornecedor e por ambiente, nunca reaproveitada
5. Escopo mínimo: só leitura, só o bucket ou recurso necessário
6. Chave com validade; rotacione de rotina e na hora que um fornecedor reportar incidente
7. Restrinja por IP ou origem quando der
8. Revogue chaves de fornecedor que você não usa mais

Dados
9. Mande só o necessário: nada de documento, CPF ou habilitação se o modelo não precisa
10. Mascare dados pessoais e segredos antes de mandar pra IA
11. Prefira opção sem retenção de dados ou modo privacidade
12. Datasets de treino e teste sem dados reais de clientes
13. Logs e traces do agente sem segredos; ligue o mascaramento

Vigilância
14. Alerta de uso fora do padrão em cada chave e conta de fornecedor
15. Limite de gasto e alerta de cobrança nas APIs de IA
16. Assine os boletins de segurança dos teus fornecedores
17. Tenha um plano: cortar a conexão, rotacionar tudo e avisar afetados
18. Nunca cole senha ou chave em chat de IA nem no suporte

[cleofas pereira rocha @cleofasrocha_]

Fontes:
https://t.co/G6GBcy8yvz
https://t.co/3zw7I1cBZA
https://t.co/6BMaGMaDfj
https://t.co/U1OfwhgKR7
https://t.co/klJE01KpR2

Detalhes (horário de Brasília):
• Post do Google às 14h27 de 13/11: "we're adding Google Wallet to the list of connected apps"
• Blog do Google: "Rolling out today for all Gemini app users in the U.S."
• Na thread: "Gemini can only read your accounts; it can't move, manage, or invest your money"
• Ajuda do Google: o Wallet inclui "payment methods, receipts" e "financial account info linked with services such as Plaid". Exige 18 anos ou mais
• "Disconnecting an app... doesn't delete any data from Gemini Apps Activity"

[Google @Google]

Personal Intelligence in Gemini securely connects information from apps you already use to make your experience more personalized and helpful. Today, we’re adding Google Wallet to the list of connected apps so you can get more tailored responses in the @GeminiApp around personal finance questions, based on your spending habits, including:

📈 Generate dynamic charts tracking cash flow, asset allocation, and budgets directly in your chat to help you visualize your spending.
📅 Find forgotten subscriptions and recurring charges across your linked accounts, and Gemini will also flag any price increases.
🎁 Set a budget for the holidays by asking “How much did I spend on gifts and travel last year? Use that to help me set a holiday budget” and Gemini will look at your transactions from the last year to suggest a budget tailored for you.

You’ll also have the option to securely link your financial accounts from your credit cards and banks to Wallet via @Plaid to unlock deeper insights.

[cleofas pereira rocha @cleofasrocha_]

💳 O ChatGPT compra. O Gemini lê seus gastos

Hoje (13/11) o Google conectou o Google Wallet ao Gemini, no Personal Intelligence.

Segundo o Google:
• Você marca o Wallet no chat e pergunta sobre suas finanças
• Ele monta gráficos de fluxo de caixa e orçamento na conversa
• Acha assinaturas esquecidas e avisa se o preço subiu
• Usa suas compras do último ano pra sugerir um orçamento de fim de ano
• Dá pra ligar cartões e contas de banco ao Wallet pelo Plaid, serviço de terceiros

Liberando hoje pra todos os usuários do app Gemini nos EUA, na web, Android e iOS. Só pra maiores de 18.

🔒 Privacidade, segundo a ajuda do Google: ele lê formas de pagamento, recibos e contas ligadas pelo Plaid. Só lê, não move dinheiro. Pra desligar: Personal Intelligence > Connected Apps. Desconectar não apaga a atividade já salva no Gemini.

Mais cedo saiu o ChatGPT Wallet, pra agentes comprarem por você.

Qual você usaria?
A) ChatGPT que compra
B) Gemini que lê os gastos

Comenta A ou B 👇

[cleofas pereira rocha @cleofasrocha_]

Fontes:
https://t.co/vw5z8BfKs7
https://t.co/2g1BUxjZE6

[cleofas pereira rocha @cleofasrocha_]

🚨 Um link do ChatGPT podia roubar sua conta inteira (já corrigido)

Segundo a Parameter Labs: um share público do ChatGPT podia executar código do atacante na sessão logada de quem abria o link — ler chats privados e mandar dados pra fora. Cadeia: HTML Preview + componente MathLive (gráfico) que aceitava postMessage de qualquer frame.

OpenAI corrigiu em 26/10, classificou como P1 e pagou bounty de US$ 5 mil — tudo conforme o relato da Parameter Labs.

Já está patchado. Ainda assim: desconfie de share aleatório e não cole secrets no chat.

Você revisa links compartilhados antes de abrir?

[cleofas pereira rocha @cleofasrocha_]

Checklist (18) — shares, iframe e postMessage (já patchado no ChatGPT):
1. Não cole secrets, tokens ou keys em chats de IA
2. Desconfie de links de share “públicos” não solicitados
3. Abra shares suspeitos em conta/navegador descartável
4. Não clique Preview em conteúdo que você não confia
5. Trate qualquer superfície shareable como input de atacante
6. Valide SEMPRE event.origin no receptor de postMessage
7. Valide também event.source (janela que tinha permissão)
8. Nunca aceite layout/HTML via postMessage sem sanitizar
9. Iframes dinâmicos: use sandbox; evite srcdoc sem restrição
10. Não deixe innerHTML com markup de origem não confiável
11. CSP é defesa em profundidade — não o único controle
12. Não permita script-src amplo (CDN/media) sem necessidade
13. Separe origem do preview/sandbox da origem autenticada
14. Revogue sessões web se suspeitar de link malicioso aberto
15. Revise apps/plugins de terceiros conectados à conta
16. Prefira least privilege: não deixe chat com acesso a dados sensíveis
17. Em produtos: teste o ENCAIXE entre features (share + preview + libs)
18. Bug bounty: reporte com PoC mínima; patch antes de publicar

[cleofas pereira rocha @cleofasrocha_]

Fontes:
https://t.co/Q9Tg3qDalX
https://t.co/7TVRiBt0v6
https://t.co/IWyhDSwjCs

[Google Antigravity @antigravity]

We're rolling out Dynamic Workflows in Google Antigravity.

Use /run-workflow and the agent writes a Python script to orchestrate parallel and sequential subagents with structured handoffs, giving you deterministic control flow instead of prompt drift.

Review the script before it runs, and save it to re-run the same flow anytime.

[cleofas pereira rocha @cleofasrocha_]

🧩 O agente do Antigravity agora escreve um roteiro em Python pra comandar outros agentes

O Google está liberando os Dynamic Workflows: você digita /run-workflow, descreve a tarefa e o agente escreve um script que coordena vários subagentes.

Como funciona, segundo a documentação:
• Etapas em paralelo (um revisor por arquivo) ou em sequência (primeiro o teste, depois a correção)
• Cada subagente trabalha na própria conversa e devolve um resultado estruturado
• Você revisa e aprova o script antes de rodar
• Dá pra salvar o script no projeto e rodar de novo
• Agentes em paralelo podem editar cada um no seu branch isolado

A diferença pro /swarm: aqui os agentes não conversam entre si. O script dá a ordem e cada um entrega a sua parte.

Antes de se animar:
• Só nos planos Google AI Pro e Ultra, no app e no CLI
• Chegou na versão 2.32.0 do app, com liberação gradual

Pro teu projeto:
A) Agentes seguindo um script
B) Agentes conversando entre si

Comenta A ou B

[cleofas pereira rocha @cleofasrocha_]

Fontes:
https://t.co/DuszDfObvW
https://t.co/3oSQU8LmHY
https://t.co/E2r74fJuxC
https://t.co/ihDiljr9UH

Detalhes (horário de Brasília):
• Post oficial às 16h11 de 13/11: "Grok Bot can now join meetings. Ask it questions, assign it work, or have it keep track of what your team decides"
• Na resposta: "Available now on Super, Ultra, all Team and Enterprise plans, and equivalent legacy plans"
• Documentação: "A Bot can join your Google Meet, Zoom, or Microsoft Teams calls". Você cola o link, aprova o pedido e o anfitrião admite o bot
• Ele responde no chat da reunião quando é chamado pelo nome. Dá pra desligar a interação e deixar só as notas
• A documentação e o changelog ainda citam só Team, Enterprise e Ultra

[Grok Bot @bot]

Available now on Super, Ultra, all Team and Enterprise plans, and equivalent legacy plans.

See everything else new in 1.0: https://t.co/RE5aYH7trq

[cleofas pereira rocha @cleofasrocha_]

🤖 Seu próximo colega de reunião é um bot que anota e já sai fazendo

O Grok Bot anunciou nesta sexta (13/11) que agora entra em reuniões.

O que ele faz, segundo o anúncio e a documentação oficial:
• Entra em chamadas do Google Meet, Zoom e Microsoft Teams pelo link
• Você chama o bot pelo nome no chat da reunião e ele responde ali
• Dá pra passar tarefas e pedir que ele acompanhe o que o time decidiu
• No fim, manda resumo e tarefas no chat dele

Quem tem acesso, segundo o post oficial: planos Super, Ultra, Team e Enterprise. No Enterprise, o admin precisa ligar o recurso.

🔒 Dica de privacidade: o anfitrião precisa admitir o bot, e ele aparece na call como "transcribing". Mesmo assim, avisa todo mundo e pede ok antes de levar um bot que transcreve a conversa. E dá pra deixar ele só anotando, sem responder.

E na sua próxima call?
A) Bot na minha reunião
B) Nem pensar

Comenta A ou B 👇

[cleofas pereira rocha @cleofasrocha_]

Fontes:
https://t.co/9KMAbCUAu0
https://t.co/K7UVgBSZN3
https://t.co/uuxA7N4uxc
https://t.co/C1eXrMGpKH
https://t.co/auFlczmacQ
https://t.co/TlMLnad99p
https://t.co/vxmlQ9Hraf
https://t.co/xX6qHpCEXk

[ClaudeDevs @ClaudeDevs]

Project settings and local folder access are simpler now too. It's all on web and desktop, and the latest mobile app has the new design.

Projects is in public beta on Pro and Max. If you don’t have it yet, you can join the waitlist!

https://t.co/9QtypJ3o70

[cleofas pereira rocha @cleofasrocha_]

🧠 O Claude Code ganhou um "gerente de projeto" que te dá status sozinho

Nesta sexta (13/11) a Anthropic anunciou uma grande atualização nos Projects do Claude Code.

Num projeto, 1 coordenador distribui o trabalho em várias threads em paralelo. A novidade: ele ficou bem mais proativo. Responde suas dúvidas no chat do projeto e te atualiza sobre o status de cada thread em andamento.

Também chegou:
• /btw: assunto novo vira outra thread, sem bagunçar a atual
• /fork: testa outra abordagem numa nova thread
• Lembretes: a thread sai da frente e volta na hora, com o Claude puxando o assunto
• Link só de leitura pra compartilhar uma thread (exceto as que acessaram seu computador)
• Artefatos mais fáceis de achar e configurações mais simples

Tá na web e no desktop, e o app mobile mais recente já tem o visual novo. Segue em beta pública pra Pro e Max, com lista de espera.

E você prefere:
A) Coordenador que te dá status sozinho
B) Eu mesmo abrindo thread por thread

Comenta A ou B 👇