Bora Radar – Edição #6 Raspagem de dados via extensões

Notas do episódio

De um lado, a inovação em privacidade com o lançamento do Bitset, o aplicativo de mensagens offline de Jack Dorsey. Do outro, graves falhas de segurança, como uma vulnerabilidade crítica no PHP e a exposição de dados de 64 milhões de candidatos no chatbot do McDonald's devido a uma senha "123456". 💬 Bitset: A aposta offline de Jack Dorsey Jack Dorsey, cofundador do Twitter, continua sua jornada por tecnologias descentralizadas. Desta vez, o foco é a comunicação com o lançamento do Bitset, um aplicativo de mensagens que propõe uma solução radical para a privacidade: funcionar sem depender da internet. A proposta se apoia em uma rede Bluetooth que conecta os usuários diretamente (peer-to-peer) e utiliza um sistema de retransmissão entre os aparelhos para ampliar o alcance do sinal. * Privacidade como pilar: O aplicativo foi construído com criptografia de ponta a ponta e não possui um servidor central, o que dificulta a interceptação de dados. * Recursos de segurança: As mensagens são programadas para desaparecerem por padrão e há uma função de emergência que permite ao usuário apagar todo o conteúdo local rapidamente. 🔐 Falhas Críticas de Segurança Enquanto novas soluções de privacidade surgem, falhas antigas continuam a gerar riscos significativos. Nesta semana, três casos distintos mostraram como a falta de atenção a fundamentos de segurança pode ter consequências graves, desde a exposição de dados em massa até vulnerabilidades em linguagens de programação consolidadas. * Vulnerabilidade no PHP: Uma falha crítica (CVE-20251735) foi identificada em versões do PHP (inferiores a 8.1.33, 8.2.29, 8.3.23 e 8.4.10). O problema está na extensão PGSQL, que não validava corretamente os dados, abrindo uma brecha para ataques de injeção de SQL e travamento de aplicações. * Chatbot do McDonald's: A plataforma de contratação McHire, usada pelo McDonald's, teve dados de 64 milhões de candidatos expostos. O motivo foi uma conta de administrador do chatbot "Olívia" (desenvolvido pela Paradox AI) protegida pela senha "123456". A ausência de criptografia e de uma equipe de segurança na empresa desenvolvedora agravaram o incidente. * Raspagem de dados via extensões: A empresa Secure Annex revelou um esquema que usava 245 extensões de navegador para raspar dados de sites sem o consentimento dos usuários, explorando a banda não utilizada para contornar proteções e coletar informações, possivelmente para treinar modelos de IA. 🔓 GitHub Copilot Chat de Código Aberto A Microsoft deu um passo importante para a transparência no desenvolvimento de ferramentas de IA ao abrir o código-fonte da extensão GitHub Copilot Chat. O repositório já está disponível e permite que a comunidade de desenvolvedores explore e contribua com o projeto. * O que isso permite: Desenvolvedores agora podem entender como as experiências de bate-papo com IA são implementadas no VS Code e colaborar com melhorias. * Melhorias recentes: O projeto já inclui suporte aprimorado para autocompletar e validação em modos de chat customizados, incentivando a criação de novas funcionalidades pela comunidade. 🛠️ Ferramentas e Frameworks de Desenvolvimento * claude-code: A Anthropic lançou uma ferramenta de codificação que funciona no terminal. Ela utiliza IA para executar tarefas rotineiras, explicar trechos de código e gerenciar fluxos de trabalho com Git por meio de comandos em linguagem natural. * Kan.bn: Uma alternativa de código aberto ao Trello para gerenciamento de projetos e tarefas. * LiveStore: Um framework de gerenciamento de estado baseado em SQLite reativo, que já vem com um mecanismo de sincronização integrado. * BillionMail: Ferramenta de código aberto para quem precisa de um servidor de e-mail auto-hospedado, com funcionalidades para envio de newsletters e marketing por e-mail. * Syncthing: Software de código aberto para sincronização contínua de arquivos entre diferentes dispositivos. * Cursos práticos gratuitos para desenvolvedores: A Anthropic lançou 4 cursos free com certificado de conclusão: - Claude Code in Action - Introduction to Model Context Protocol - Model Context Protocol: Advanced MCP Topics - Claude with Anthropic API Link: https://anthropic.com/learn/build-with-claude 🌍 Outros destaques da semana * ConectaPR: A 10ª edição do evento, uma referência para o ecossistema de startups do Paraná, ocorreu nos dias 11 e 12 de julho. Com o tema “soluções para o futuro impulsionada por pessoas”, o encontro promoveu palestras, networking e workshops sobre temas como Inteligência Artificial. * Alfabetização em IA: O que você precisa saber para não ficar para trás: A Alfabetização em IA é uma habilidade essencial para todos, não apenas especialistas e envolve entender, usar e analisar criticamente a tecnologia, sendo uma responsabilidade social para evitar desigualdades e construir um futuro justo. Não é sobre se a IA vai mudar as coisas, mas como vamos participar dessa mudança. Leia mais sobre isso no artigo do Gil. 📬 Sobre o Bora Radar Um formato conciso e curado para informar profissionais de tecnologia sobre as transformações nas stacks modernas; sem hype nem ruído e com o contexto que importa, usamos automação, IA e a curadoria do Gil para condensar os principais movimentos da semana em uma leitura de menos de 10 minutos. 📬 Gostou desta curadoria? Compartilhe com colegas e profissionais que acompanham IA, software e tendências tecnológicas. As fontes usadas nesta edição: * "Archive - TLDR Newsletter" * "HN Top Links - Popular Stories from Hacker News" * YouTube channel "Compilado Código Fonte TV" * "Trending repositories on GitHub this week · GitHub" Quarkdown: https://github.com/iamgio/quarkdown Kan.bn: https://kan.bn/ ConectaPR: https://pr.agenciasebrae.com.br/inovacao-e-tecnologia/inteligencia-artificial-e-tema-de-workshops-durante-o-conectapr/ postiz-app: https://github.com/gitroomhq/postiz-app claude-code: https://github.com/anthropics/claude-code Anthropic-cookbook: https://github.com/anthropics/anthropic-cookbook BillionMail: https://github.com/aaPanel/BillionMail LiveStore: https://github.com/livestorejs/livestore DuckLake: https://github.com/duckdb/ducklake Syncthing: https://github.com/syncthing/syncthing This is a public episode. If you would like to discuss this with other subscribers or get access to bonus episodes, visit gpupo.substack.com