1025 | IA no mundo real, segurança e curiosidades da semana

Sofia Almeida: Boas-vindas ao podcast, eu sou Sofia Almeida.

Rafael Costa: E eu sou Rafael Costa. E hoje temos um episódio que amarra coisas que à primeira vista parecem soltas: quanto dinheiro a inteligência artificial está — ou não está — gerando, quem paga pela infraestrutura de código que sustenta a web, e o que acontece quando essa infraestrutura tem falhas.

Sofia Almeida: É um fio só: hype, código, vulnerabilidade, e as ferramentas do dia a dia que dependem de tudo isso. Vamos começar pelo dinheiro.

Rafael Costa: Então, Sofia, o dado que abre a conversa vem de uma análise do Torsten Slok, da Apollo. E é um dado desconfortável: apesar de todo o hype e do investimento massivo na área, a inteligência artificial ainda não gerou retorno financeiro fora do próprio setor de tecnologia.

Sofia Almeida: Deixa eu fazer o contraponto imediatamente, porque é o contraponto ótimo. No mesmo dia em que a gente lê isso, a Dream Labs sai do stealth com noventa milhões de dólares em seed, apresentando o Dream-1, um modelo que eles chamam de World Action, custando três dólares por hora, e que consegue controlar robôs que ele nunca viu antes, em modo zero-shot.

Rafael Costa: Três dólares por hora por um robô operado por um modelo — isso é o tipo de número que, no papel, parece exatamente o retorno que o Slok diz que não existe ainda.

Sofia Almeida: Mas olha o detalhe: sair do stealth com noventa milhões é capital entrando no setor de tecnologia. É investidor apostando. Não é receita vinda de uma fábrica, de um hospital, de uma logistics company que economizou dinheiro usando robôs. É exatamente o ciclo que a análise da Apollo está apontando: o dinheiro circula dentro da bolha.

Rafael Costa: E há um terceiro dado que complica os dois lados, que é o Dan Luu. Ele argumenta que com IA, projetos ambiciosos que antes eram inviáveis agora ficam possíveis em horas. Os exemplos que ele cita são o pgrust e um motor de regex. Mas ele tem uma condição importantíssima: desde que os projetos sejam testados e validados seriamente.

Sofia Almeida: Essa condição é o coração da discussão, Rafael. Porque "em horas" sem validação é código que ninguém deveria colocar em produção. "Em horas" com testes sérios é uma mudança real na economia do desenvolvimento de software.

Rafael Costa: E é aí que eu acho que a conversa fica interessante, porque os três itens — Slok, Dream Labs, Dan Luu — respondem perguntas diferentes. O Slok responde: quando o lucro chega? A Dream Labs responde: o que a técnica consegue fazer hoje? O Luu responde: o que muda para quem escreve software?

Sofia Almeida: E a pergunta aberta que fica, e que a gente não consegue responder com os dados que existem, é quando essa capacidade técnica se converte em lucro fora do setor de tecnologia. O Dream-1 controla robôs zero-shot por três dólares a hora — mas quem está pagando por isso hoje, e com que retorno?

Rafael Costa: Tem também um outro ângulo que conecta com um assunto que vamos tratar mais para frente: a acessibilidade do que a IA produz. Há um estudo apontando que texto gerado por IA está ficando mais difícil de entender, porque ele é otimizado para densidade de informação — para raciocínio — e não para comunicação com humanos.

Sofia Almeida: Isso é sutil mas importante. Se o texto de máquina é otimizado para densidade de informação, ele está virando, na prática, uma linguagem para máquinas lerem outras máquinas. E o humano no meio do processo — o revisor, o validador que o Dan Luu diz ser indispensável — tem que gastar mais esforço para acompanhar.

Rafael Costa: O que, ironicamente, encarece exatamente a parte que deveria ser barata. A geração é barata, mas a validação por humanos fica mais trabalhosa se o material é denso demais para ler com conforto.

Sofia Almeida: E a gente pode trazer isso para um caso concreto já no próximo assunto, porque existe pelo menos um projeto que é o teste de fogo da tese do Luu: um mapa ordenado chamado bbtree, que é substituto do BTreeMap, e que segundo o autor foi escrito integralmente por LLMs.

Rafael Costa: O bbtree promete duas coisas técnicas: reduzir cache misses e reduzir coerência — no sentido de contenção entre threads, presumo, a disputa por linhas de cache.

Sofia Almeida: Exato. E são as duas dores clássicas de uma estrutura de dados ordenada em memória compartilhada. Cache miss é você ir buscar um dado que não está no cache e pagar o custo de ir até a memória. E coerência, no caso, é quando múltiplos núcleos ficam brigando pela mesma linha de cache e o hardware fica sincronizando sem parar.

Rafael Costa: Agora, o detalhe que me faz pensar no Dan Luu: o código todo foi escrito por LLMs, o autor diz isso abertamente. Mas ter sido escrito por LLM não significa que foi escrito em horas sem validação. Presumivelmente houve benchmark, comparação com o BTreeMap, medição de cache misses. É a parte "testados e validados seriamente" da tese.

Sofia Almeida: E esse é exatamente o tipo de projeto que antes era inviável como projeto de uma pessoa ou de fim de semana. Reescrever uma estrutura de dados central de uma linguagem, competindo com uma implementação madura, exige meses de trabalho especializado. Se LLMs encurtam isso para um horizonte viável, a tese do Luu ganha um exemplo real.

Rafael Costa: Mas a pergunta que fica no ar é a mesma do bloco anterior: bbtree vira produto? Vira receita? Ou fica como mais uma prova de capacidade técnica que não atravessa a fronteira do setor?

Sofia Almeida: E do bbtree a gente pula para outra linguagem nova, e essa é talvez a mais provocadora das novidades da semana: Goose. Uma linguagem de sistemas memory-safe sem heap, sem garbage collector e sem anotações.

Rafael Costa: Espera, sem anotações? Isso é o atacante direto ao Rust. Porque o modelo do Rust é: você garante segurança de memória, mas o programador paga com lifetime annotations, com o borrow checker, com uma curva de aprendizado famosa por ser íngreme.

Sofia Almeida: E o Goose diz: e se a linguagem simplesmente garantisse a segurança por conta própria, sem te cobrar isso? A promessa de segurança de memória sem heap e sem GC já é ambiciosa por si só — sem heap significa que você não tem alocação dinâmica no modelo tradicional, e sem GC significa que alguém está gerenciando tempo de vida de alguma forma que não é contagem de referências nem traced collecting.

Rafael Costa: E os números, pelos benchmarks: roda mais rápido que C++ e Rust usando menos memória. Obviamente benchmarks são benchmarks, e todo mundo que acompanha essa área sabe que o diabo está em qual benchmark, compilado com quais flags, medindo o quê.

Sofia Almeida: Mas mesmo com essa ressalva, o resultado é notável porque a expectativa usual é que segurança custe desempenho. O pitch tradicional é: C++ é rápido e perigoso, Rust é seguro e um pouco mais trabalhoso, e linguagens com GC são seguras e pagam em memória e pausas. O Goose está dizendo que pode sair da frente de troca com tudo.

Rafael Costa: E aqui a gente tem que conectar com o bloco anterior outra vez: bbtree escrito por LLMs, Goose propondo um modelo de linguagem novo. A ferramenta de produção de software está mudando. E agora o contraste que dói: a PHP Foundation está subfinanciada. Um funcionário em tempo integral e um saldo de cerca de trezentos e cinquenta mil dólares em queda. Eles estão pedindo patrocínios de empresas.

Sofia Almeida: E o PHP é uma das linguagens mais usadas da web. Uma fração enorme dos sites do mundo roda em PHP. E a fundação que mantém a linguagem opera com o orçamento de uma startup em pré-seed.

Rafael Costa: O que pode acontecer daqui para frente, e acho que vale falar dos dois cenários? Um: as empresas que dependem de PHP acordam e patrocinam, porque manutenção de linguagem é barato perto do custo de uma migração. Dois: o financiamento não chega, e a infraestrutura essencial vai ficando com manutenção mínima.

Sofia Almeida: E o que me incomoda no cenário dois é a assimetria: o bbtree e o Goose recebem atenção porque são novidade brilhante, e o PHP, que sustenta uma parte gigantesca da web real, luta para ter um time integral. O dinheiro em software vai para o que é novo, não para o que é crítico.

Rafael Costa: E há um contraponto intermediário também: o módulo gpu-unlock no Linux, que libera a taxa de emissão FP e BF16 das GPUs Nvidia da série 3000 para o nível profissional, com ganhos de até oitenta por cento em BF16 GEMM. Isso é infraestrutura sendo destravada por baixo — alguém olhou para uma limitação artificial de hardware e escreveu o módulo que a remove.

Sofia Almeida: Que é uma outra resposta à pergunta de quem mantém as coisas: às vezes é um hobbyista com tempo, não uma fundação com orçamento. E isso funciona até funciona — até não funcionar.

Rafael Costa: Que nos leva direto ao próximo assunto, porque infraestrutura mal financiada é terreno fértil para vulnerabilidades. E o exemplo da semana é praticamente um manual do problema: a CVE-2026-111497.

Sofia Almeida: Uma falha de out-of-bounds write no decodificador Brotli do Google. E o que torna essa CVE impressionante não é a falha em si, é o alcance: afeta Node.js, Python, C++, Envoy, e bibliotecas HTTP de várias outras linguagens.

Rafael Costa: Porque Brotli é uma dependência compartilhada. O algoritmo de compressão foi escrito uma vez, e cada runtime, cada proxy, cada biblioteca HTTP incorporou aquele código ou um porte dele. Uma falha no decodificador não fica contida — ela se propaga pelo grafo de dependências inteiro.

Sofia Almeida: E aqui vale fazer a conexão com o PHP Foundation: quanto menos pessoas mantendo um componente de base, mais provável é que uma sutileza na manipulação de buffer passe despercebida. Brotli não é PHP, mas o padrão é o mesmo: código de base, mantido por poucos, presente em tudo.

Rafael Costa: E há um experimento na mesma linha que é delicioso: o stealmybitcoin.com. É um CTF — capture the flag — público, onde uma chave bitcoin de uns quinhentos dólares está escondida em um servidor PHP vulnerável. O objetivo é testar se o exploit de uma CVE do PHP existe de fato.

Sofia Almeida: Cinquenta dólares de recompensa real em bitcoin, pendurada em cima de uma falha publicada. É um teste de verdade, não um teorema. Se alguém explorar e pegar a chave, a vulnerabilidade é explorável na prática. Se ninguém pegar depois de um tempo, a gente aprende algo também — talvez a falha seja mais teórica do que os avisos sugerem.

Rafael Costa: E do lado do consumidor, a história fica mais sinistra. Um pesquisador obteve root shell em TVs Samsung de 2025 usando zero-days. E com esse acesso revelou coisas: o microfone fica sempre ativo, tem ACR — automatic content recognition, ou seja, a TV reconhece o que está exibindo — e telemetria compartilhada com centenas de parceiros.

Sofia Almeida: Root shell significa controle total do sistema. Não é "achar um menu escondido", é ser o sistema. E a partir daí você lê a configuração, vê o que o firmware coleta, e constata: microfone sempre ligado, ACR ligado, e os dados indo para uma rede enorme de terceiros.

Rafael Costa: O que continua desconhecido, e acho importante dizer isso sem inventar números, é a dimensão prática: quantos dispositivos com Brotli vulnerável foram de fato explorados, e quantas TVs foram afetadas na vida real. As falhas existem; o dano efetivo é outra pergunta.

Sofia Almeida: E repare no fio condutor: Brotli, PHP, firmware de TV. Tudo é infraestrutura, e tudo depende de alguém ter paga a conta da manutenção. A conta do Brotli foi paga pelo Google, a do PHP está em risco, e a da TV foi paga — aparentemente — com os dados dos usuários.

Rafael Costa: Vamos agora para as ferramentas do cotidiano, que são o outro lado da mesma moeda: os programas de base que todo mundo usa, mudando devagar — ou de repente. Começando pelo OBS Studio 33.0.

Sofia Almeida: O OBS é o gravador e streamer de facto de meio mundo, e a versão 33.0 faz uma atualização que parece técnica mas é estratégica: atualiza o CEF — o Chromium Embedded Framework — de uma versão de 2024 para uma de 2026. E se você lembrava da conversa sobre Brotli, o CEF é, literalmente, um Chromium embutido dentro do OBS.

Rafael Costa: Ou seja: o OBS carrega um navegador inteiro dentro de si, e manter esse navegador desatualizado dois anos é manter uma superfície de ataque envelhecida. Atualizar o CEF de 2024 para 2026 é, entre outras coisas, um ato de segurança.

Sofia Almeida: Além disso, a versão reforma o carregamento de plugins — o que importa muito numa ferramenta cujo ecossistema depende de plugins de terceiros — e habilita NVENC em Arm64, o que abre a aceleração de vídeo por hardware Nvidia para quem roda em ARM, e corrige uma série de bugs.

Rafael Costa: O SpeedCrunch é o outro caso, e é quase cômico de como é raro: a versão 1.1 é a primeira grande atualização após uns dez anos. Uma calculadora científica open-source com precisão de cinquenta dígitos, e a atualização corrige um bug de ordem de operações.

Sofia Almeida: Deixa isso penetrar: dez anos sem grande atualização, e o bug corrigido é de ordem de operações — em uma calculadora. É o tipo de software que alcançou um estado de estabilidade tal que a única coisa que restava para consertar era a matemática fundamental. E o fato de cinquenta dígitos de precisão terem demorado uma década para ganhar essa correção diz algo sobre o ciclo de vida de ferramentas maduras.

Rafael Costa: E no extremo oposto da longevidade questionável, o FreeDNS, o afraid.org: ativo desde 2001, com mais de sete milhões de usuários e treze vírgula oito milhões de registros. Um serviço gratuito de DNS e dynamic DNS com vinte e tantos anos de estrada.

Sofia Almeida: Vinte e quatro anos de um serviço gratuito é uma anomalia estatística. Quase tudo que é gratuito e de base na internet morre, é adquirido e fechado, ou degrada. O FreeDNS sobreviveu aos três perigos.

Rafael Costa: E então tem a mudança repentina: a Roku migrou os repositórios dos desenvolvedores do GitHub para o GitLab, sem explicação pública. Os usuários citam instabilidades do GitHub como suspeita provável, mas a empresa não confirmou nada.

Sofia Almeida: É interessante porque é a mesma dinâmica do PHP Foundation, invertida: uma empresa decidindo onde o código de engenharia vive, movendo tudo de uma vez, e o mundo externo tendo que adivinhar o motivo. Migração de plataforma é uma decisão de infraestrutura, e quando ela acontece sem explicação, gera exatamente esse tipo de especulação.

Rafael Costa: E a gente pode amarrar o bloco todo assim: OBS atualizando um Chromium embutido, SpeedCrunch voltando à vida depois de uma década, FreeDNS durando vinte e quatro anos, Roku movendo repositórios por motivos não declarados. As ferramentas de base estão todas em algum ponto do mesmo espectro — entre o cuidado silencioso e o abandono silencioso.

Sofia Almeida: E essa ideia de comunicação — o que é transmitido, para quem, e com que consequência — é a ponte perfeita para o próximo assunto, que fala de dois canais de comunicação com as apostas mais altas possíveis. Um deles dentro da sua cabeça.

Rafael Costa: O chip LogSync, da EPFL, com quatro por dois milímetros. Ele registra sinais entre regiões do cérebro e identifica estados cognitivos e emocionais — tudo isso consumindo menos de duzentos microwatts.

Sofia Almeida: Duzentos microwatts é uma potência minúscula. Para dar uma noção, é uma fração minúscula de um miliwatt. Isso importa porque implantes enfrentam o problema brutal de energia: você não quer fios saindo da cabeça, e baterias geram calor e precisam de reposição. Um chip que faz gravação entre regiões e classificação de estado consumindo tão pouco muda a conta de viabilidade.

Rafael Costa: E o que ele lê são estados cognitivos e emocionais, não só atividade bruta. Ou seja: há uma camada de interpretação embutida — o chip não só grava, ele classifica o que está gravando.

Sofia Almeida: E do outro extremo do espectro, o Missileer.watch: um serviço que transmite e transcreve EAMs — as mensagens das forças nucleares dos Estados Unidos — capturadas na frequência de 11175 kHz.

Rafael Costa: E aqui o detalhe crucial: os textos das EAMs são criptografados. Não há decodificação externa disponível. Então o que o site oferece é acesso à existência e ao ritmo do tráfego — o vetor, o horário, o padrão de transmissões — jamais ao conteúdo.

Sofia Almeida: É uma linha estranha e fascinante. O conteúdo é inquebrável; o metadado é público. E metadados de tráfego nuclear dizem coisas: frequência, ritmo, mudanças de padrão. É uma janela de vigilância aberta por radiofusão em onda curta, algo arcaico e atual ao mesmo tempo.

Rafael Costa: E os dois casos são comunicação com consequências altas: de um lado, sinais cerebrais que classificam o que você sente; do outro, o canal de comando das armas nucleares de uma superpotência, transmitido pelo ar para quem quiser escutar o silêncio criptografado.

Sofia Almeida: A pergunta aberta nos dois é sobre escala e alcance — quantas pessoas terão implantes assim, e quanto revela o padrão de tráfego nuclear a um observador paciente. Mas vamos trazer a conversa para algo mais próximo do chão.

Rafael Costa: Economia criativa, para começar. Os Estados Unidos perderam mais de duzentos mil empregos em mídia, cinema e artes em quatro anos. Só Hollywood perdeu cerca de cem mil — o que dá aproximadamente um terço do setor.

Sofia Almeida: Um terço do setor é uma sangria. E a gente não pode deixar de conectar com a conversa do começo do episódio: a análise do Torsten Slok dizia que a IA não gerou retorno fora do setor de tecnologia. Mas a pergunta que um número como esse levanta é a inversa: o que a automação — e, sim, a IA entre outras forças — já está custando a setores fora da tecnologia?

Rafael Costa: Só para ser honesto com os dados: a fonte não atribui causa. São duzentos mil empregos perdidos em quatro anos, e não há, no que temos, uma decomposição dizendo quanto é IA, quanto é economia, quanto é mudança de hábitos de consumo.

Sofia Almeida: Correto, e é importante manter essa honestidade. O que o número faz é funcionar como um aviso sobre para onde a economia criativa pode estar indo. É uma tendência observada, não um veredito causal.

Rafael Costa: E a gente fecha o episódio com dois itens que a gente guarda de propósito, porque nem tudo na semana foi pressão e vulnerabilidade. O primeiro: a moeda de cinco pence de Santa Helena, que retrata Jonathan — a tartaruga-gigante de cerca de cento e noventa anos.

Sofia Almeida: Cento e noventa anos. E ela tem até drama recente: em 2023, Jonathan quase morreu depois de ficar de costas — incapaz de se virar — após uma briga entre companheiros. Imagina a tartaruga mais famosa do mundo, estampada na moeda local, quase perdida por causa de uma confusão entre vizinhos.

Rafael Costa: E o segundo: para os curiosos de física, um artigo de 2018 chamado "I don't understand quantum physics", de Douglas Ross, físico da Universidade de Southampton. É um artigo didático escrito para leigos, e o título já entrega a honestidade: nem quem entende, entende de verdade.

Sofia Almeida: E há uma poesia em fechar com isso depois de um episódio inteiro sobre sistemas que ninguém entende completamente — LLMs escrevendo estruturas de dados, chips lendo emoções, falhas espalhando por grafos de dependência. O artigo do Ross é quase um lema: admitir que não entende é o primeiro passo para aprender.

Rafael Costa: Pois é. A gente termina como começou: com a pergunta aberta de quando a capacidade técnica vira valor real — para o setor, para os trabalhadores, para quem assiste TV e para quem mantém a web de pé.

Sofia Almeida: Obrigada por acompanhar, e até a próxima.

Rafael Costa: Até logo.