É de dezembro mas parece um benchmark muito bom de harness para IAs no contexto de segurança ofensiva.
O foda de IA é que ela sempre te convence de que tua arquitetura é a melhor, que tu teve uma ótima ideia.
Por isso sempre bom ficar atento a esses últimos benchmarks
https://arxiv.org/html/2512.11143

E esse artigo aqui eu não li ainda mas o título achei muito bom. Então colocando no meu ˜para ler ++˜

Hackers or Hallucinators? A Comprehensive Analysis of LLM-Based Automated Penetration Testing

https://arxiv.org/html/2604.05719

Ue, vim do futuro falar que isso ja ta rolando demais

E outra: nao ta dando pra usar ia pra revisar o proprio trampo dela por que muita classificacao dela as vezes pode dar errado por coisas bobas que fazem sentido pra ela

Exemplo a seguir

Opa! A @anaguimaraesad cofundadora da Atta fez uma postagem lá no linkedin onde ela vai postar de forma recorrente conteúdos sobre o dia a dia de uma analista de proteção de dados 🔥

https://www.linkedin.com/posts/anaguimaraesadvogada_dos-mesmos-criadores-de-quem-me-conhece-activity-7503185297245888514-VRkZ

To meio sumido daqui, mas vou voltar a postar mais recorrentemente.
Esses dias eu fiquei pensando em um cenário que parece ser bem possível: As empresas estão vendo que estão conseguindo cada vez mais automatizar processos e criar novos produtos integrando IA em seus negócios.

Eu não falo só do dev que coda com um claude code junto, eu falo de automações reais envolvendo github + chat definido da empresa + transcrições das reuniões para ser reaproveitadas pela IA + automações no Jira, em bases de conhecimento da empresa etc.

E realmente: quanto mais contexto pra IA, mais ela surpreende.

Eu to achando que o próximo passo vai ser essas empresas cada vez mais virem o benefício a nível de negócios (e não pensar em segurança somente) e exigirem que tudo, absolutamente tudo, seja feito dentro de ferramentas que a IA consegue ter o contexto inteiro.

E quem sabe as empresas de IA se dêem conta disso e façam algum tipo de ambiente zero trust onde só pode usar programas que o claude pode monitorar. Seria bizarro. Como se fosse uma eficiência a nível de negócios e de contexto. Seria "bom" pro empreendedor e pra empresas que querem mais dados e mais correlações e contexto para aprimorar os modelos

Sobre o php2shell que se tu nao viu, vai ver nas proximas horas, ja que 70% da internet é php… wordpress, drupal, magento etc

Se o site nao usa multipart de content-type, só bloquear. É uma mitigacao parcial, talvez nao resolva 100%, blza?

A principio é uma vulnerabilidade que manda varios campos no post como se tivesse fazendo upload de algo, crashea o worker do php e faz ele ser envenenado com um use after free

Se bloquear o php_session_upload_progress tambem serve pq eh o callback q faz o php desviar o comportamento normal onde ele so popularia o $_Post e $_Files

Cto da cloudflare disse que em planos free tambem ja incluiram mitigacoes e nesse caso acho que devem ser firmes dado que q poc precisa mesmo desse nome no body, talvez nao tenha muito bypass

As 11am vao soltar a release nova do php que corrige. E consequentemente vai ter milhares de IA fazendo diff de commit dessa correção pra descobrir onde ta o bug e como explorar: os chamados N days

Então basicamente: se tu nao usa cloudflare, que tende a colocar regras pra te proteger automaticamente e poderia te proteger parcialmente enquanto nao encontram bypasses e nem planeja atualizar o php as 11hs. Boa sorte

Que corrida de gato e rato
A versao que corrige nem saiu, os caras ja acharam exploit, a cloudflare ja criou regra de mitigar e os caras ja acharam bypass

https://x.com/dinosn/status/2112818608166596614?s=46

Projectdiscovery lancou um template do nuclei com a cve de ontem do PHP, so a parte da corrupcao de memoria e cara, dependendo do numero de workers do fpm tipo 20, se tu fizer 20 requisicoes paralelas so tu mata o wordpress ja, ou outro site php

Meu novo vicio vai ser falar sobre local llm. Se tu ta dentro da bolha tu so vai ver gente falando disso. Que o deepseek v4 flash cabe dentro de duas rtx, de um mac studio m5 ultra etc

Se tu n ta dentro da bolha talvez isso ganhe mais tracao ano que vem, dado que la fora ta comecando a hypar muito esse assunto

https://youtu.be/gKvIjE8LRVg?is=e2TP6l41pX-C9d5S

Artex