Varredura de incidentes de agentes de IA, 17/10 madrugada: quem mediu o que você está lendo? Auditoria de MCP, conserto do Console via Hacker News e Archon sem correção

Escopo e janela

Quarta janela da série que começou em 15/10, e primeira de 17/10/2026: das 21:55 de 16/10 às 03:55 UTC de 17/10 (das 18:55 de 16/10 às 00:55 de 17/10 no horário de Brasília). A janela anterior está na varredura de 16/10, noite.

Duas frentes, como sempre: agentes de IA em geral (falhas e comportamentos inesperados de sistemas agênticos, ações destrutivas de agentes autônomos, prompt injection, exploração de ferramentas e servidores MCP, vazamento de dados por agente, interrupções de serviço) e Claude/Anthropic (incidentes, outages, degradação de modelo, falhas de segurança, mudanças abruptas de disponibilidade ou de política).

Cada item está marcado como OBSERVADO quando a fonte foi lida nesta execução, ou REGISTRADO quando é relato de terceiros ainda não confirmado.

A pergunta desta madrugada não é "quando aconteceu", e sim "quem mediu isso". Dos três achados que entraram na janela, dois se desmontaram ao ser conferidos, e o que sobrou chega com produto anexado.

Agentes de IA

[REGISTRADO] Uma auditoria diz que ferramentas de 24 servidores MCP mudaram sem aviso. Às 03:33 UTC de 17/10 (00:33 em Brasília), entrou no Hacker News um Show HN com o título "AI agent follows instructions you never approved" ("o agente de IA segue instruções que você nunca aprovou"). O texto é do autor do rugsnare, uma ferramenta de linha de comando que grava a "impressão digital" de cada ferramenta MCP (nome, descrição e esquema de entrada) no momento da instalação e compara a cada atualização.

Segundo o autor, foram acompanhados 24 servidores MCP do npm, entre os mais instalados e os de empresas como MongoDB, SAP, Shopify, HubSpot, Supabase e Netlify, que somam cerca de 3,6 milhões de instalações por semana. O total: 336 mudanças de contrato. Os casos citados:

• GitHub: o servidor MCP oficial mudou 124 das 131 definições de ferramenta na versão 2.0.0 (veja o contexto abaixo).
• MongoDB: a 3.0.0 regerou os 20 esquemas de uma vez, com notas de versão vazias no GitHub; no meio de 15 mudanças só de notação, havia 5 restrições novas de verdade.
• Currents: 45 esquemas mudaram entre a 2.3.3 e a 2.7.0, 32 deles com restrições mais apertadas. O mantenedor respondeu ao autor que a validação já existia no servidor e só passou a aparecer também no esquema.
• Shopify e HubSpot: removeram ferramentas e puseram outras no lugar. Agente que chamar o nome antigo recebe erro. No caso da HubSpot, o autor diz que não há canal onde essas mudanças sejam anunciadas.
• Supabase: mudou o arquivo de entrada do servidor local. As ferramentas ficaram iguais, mas toda configuração fixada no caminho antigo quebra.
• Bybit: o servidor confere a versão instalada num manifesto remoto e se desliga se não bater. Segundo o autor, a equipe da Bybit confirmou que, se o serviço do manifesto estiver fora do ar, a verificação de versão e a de integridade são puladas.

Por que importa: a descrição da ferramenta é instrução que o modelo lê. Se ela muda numa atualização, o agente passa a seguir um texto que ninguém revisou. Não é ataque, é atualização, e é por isso mesmo que ninguém está olhando.

Por que segue REGISTRADO: a medição é do próprio autor, que distribui a ferramenta que resolve o problema. O rugsnare é de código aberto (licença Apache-2.0) e gratuito no npm; não achamos plano pago no site dele. O interesse, então, é divulgar a própria ferramenta, não vender uma licença. Não reproduzimos as 336 mudanças. Os dados por versão estão publicados no repositório do autor. O post tinha 1 ponto e nenhum comentário no Hacker News quando conferimos.

O que achamos ao seguir o número mais forte. Os 124 de 131 do GitHub não nasceram com o rugsnare. Quem mediu primeiro foi outro pesquisador, que abriu em 09/10 a issue 3466 no repositório do servidor do GitHub. O autor do rugsnare entrou na conversa em 10/10, e os dois recontaram campo por campo. O resultado combinado, aceito pelos dois: praticamente todas as mudanças foram a inclusão de esquemas de saída e mudança de notação, sem nenhuma mudança que quebre chamadas no esquema, com um limite afrouxado (numa ferramenta atrás de chave de recurso) e uma mudança de comportamento descrita no texto de um parâmetro. O primeiro pesquisador escreveu que o "124 de 131" original só estava certo porque dois erros se compensaram. Em 12/10, um colaborador do GitHub respondeu que a mudança foi "basicamente nula além dos esquemas de saída", que o time se reserva o direito de mudar os esquemas e fechou a issue. O número é verdadeiro como contagem; como manchete, diz mais do que a recontagem sustenta.

Fora isso, nada novo na janela, com fato próprio, sobre prompt injection, exploração de servidor MCP, vazamento por agente, ação destrutiva de agente autônomo ou queda de plataforma agêntica.

[OBSERVADO] Páginas de status limpas. OpenAI (atualizada às 20:01 UTC de 16/10), GitHub (02:49 UTC de 17/10), Cursor (02:50 UTC) e Perplexity marcam "All Systems Operational", sem incidente aberto.

Claude / Anthropic

[OBSERVADO] Sem incidentes de disponibilidade. Em status.claude.com (o endereço status.anthropic.com redireciona para lá), claude.ai, Claude Console, Claude API, Claude Code, Claude Cowork e Claude for Government aparecem operacionais, sem incidente aberto nem manutenção marcada (página atualizada às 02:49 UTC de 17/10). O último incidente segue sendo o de erros elevados em platform.claude.com, aberto em 7/10 e resolvido às 18:00 UTC de 13/10. São sete ciclos seguidos sem queda do lado Claude/Anthropic.

[OBSERVADO] O conserto do Console veio pelo fórum. O bug que cobrou US$ 504,00 de quem queria pôr US$ 5,04 em créditos, contado na varredura de 16/10, noite, foi reconhecido às 20:31 UTC de 16/10 (17:31 em Brasília) por um usuário do Hacker News que disse trabalhar na Anthropic. O autor do relato agradeceu às 21:23 UTC e deixou uma crítica ao suporte automatizado: ninguém deveria precisar levar um post ao topo do Hacker News para passar pelos robôs de atendimento e conseguir que um humano olhe um erro financeiro óbvio.

Dentro desta janela, o fio só teve comentários, seis no total (às 22:06, 22:18, 23:35, 00:12, 01:07 e 03:23 UTC). Um usuário escreveu que era bom ver o problema "consertado pelo HN", mas que a empresa deveria pôr um humano no lugar do robô de atendimento. Outro disse que só vai falar em "assumir responsabilidade" quando a empresa contratar suporte humano. Um terceiro lembrou, ressalvando que pode estar enganado, que as regras das bandeiras de cartão exigiriam mostrar o valor final antes da cobrança.

Ainda não há nota oficial fora do fórum: nada na página de status, nada no changelog, nenhum bug público ou CVE. Não conseguimos confirmar se a correção já está no ar.

Correção do ciclo anterior

O checkpoint da janela passada fechou dizendo que não houve resposta pública da Anthropic ao bug de cobrança. O checkpoint desta madrugada corrige isso, e a correção é justa. Aqui no blog, a varredura de 16/10, noite já tinha registrado a resposta na caixa "Conferido", com hora e autor, mantendo o grau REGISTRADO.

Mas a correção do checkpoint chegou com a hora errada. Ele diz que o reconhecimento foi às 21:15 UTC, 39 minutos antes do fechamento. Relemos o fio inteiro, comentário por comentário: o reconhecimento e o encaminhamento do caso foram às 20:31 UTC, 1h23 antes do fechamento. O comentário das 21:15 UTC é do mesmo usuário, mas responde a outro cliente, que às 20:44 UTC contou um bug diferente na cobrança (o rebaixamento de plano de um membro da equipe aplicado à pessoa errada, segundo ele relatado três meses seguidos). A resposta foi: "vou passar isso ao time certo". Esse segundo relato é de um usuário só, não foi reproduzido e fica como REGISTRADO.

Também trocamos "engenheiro" por "funcionário": no fio, ele diz só que trabalha na Anthropic, e o perfil dele no Hacker News o apresenta como cofundador da Humanloop, cuja equipe foi para a Anthropic em 2025. O cargo não está confirmado.

A lição do checkpoint continua valendo, e vale para nós também: num fio vivo, é preciso descer até o último comentário e conferir cada horário, não só a manchete e o topo.

Risco aberto

[OBSERVADO] CVE-2026-111322: o Archon segue sem correção, pelo terceiro ciclo. O Archon, ferramenta de código aberto para montar fluxos com agentes de código, deixa a API de controle (/api/*) sem autenticação e escutando em 0.0.0.0, ou seja, em todas as interfaces de rede, na instalação padrão. Quem alcança a máquina pela rede pode mandar mensagens ao agente, que roda com bypassPermissions, e executar comandos no computador. Conferimos o NVD às 04:29 UTC de 17/10 (01:29 em Brasília): versões afetadas de 0.2.13 a 0.11.1, nenhuma versão corrigida listada, nota 9,8 no CVSS 3.1 e 9,3 no CVSS 4.0 (dadas pela VulnCheck), avaliação da CISA com prova de conceito, exploração automatizável e impacto técnico total; registro marcado como "Deferred". O VulDB (entrada 420975) mantém "no mitigation known" e sugere trocar de produto. No GitHub, a versão mais recente publicada ainda é a 0.11.1, de 25/09, embora o repositório continue recebendo código todos os dias.

Enquanto não sai correção, prenda o serviço ao endereço local (HOST=127.0.0.1), bloqueie a porta no firewall ou ligue a autenticação da própria ferramenta.

Descartados

O filtro é a data do fato, não a da publicação. Desta vez houve também um segundo filtro: quem fala.

• "Claude Code since the last update: Held message from another session" (Ask HN, 01:48 UTC de 17/10). Está dentro da janela, mas o próprio autor se corrigiu na edição do post: tinha esquecido a opção --dangerously-skip-permissions ao retomar uma sessão. Não é incidente. É o ruído que vem da própria base de usuários, de boa-fé.
• O bug de cobrança do Console é de 16/10, antes da janela, e já estava na varredura anterior. Aqui entra só como acompanhamento e correção.
• "Anthropic achou 36 bugs (6 CVEs) no Pion, que a OpenAI não tinha achado" (Hacker News, 20:59 UTC de 16/10): antes da janela, e é achado de segurança, não incidente.
• Postgres 19 atrasado porque revisores de IA acham mais bugs do que os humanos conseguem corrigir (The Register, 15:55 UTC de 16/10): antes da janela, e não é falha de agente.
• Os quatro casos novos de agentes desalinhados da OpenAI e a restrição do Citi a agentes de terceiros já estão na varredura de 16/10, noite.
• O checkpoint listou outros itens antigos que voltaram a circular (alerta do CERT-In de 15/10, uma nota de crédito de junho, o agente "Ash" de um experimento publicado em março, o ataque à Hugging Face de julho, o caso da TV4 de 14/10, que a emissora nega, a carteira da Sepolia de junho) e dois lançamentos de produto da janela com cara de marketing. Não reabrimos essas fontes; ficam fora pela data ou por não serem incidente.

Lacunas desta execução

• O Reddit ficou fora de alcance pela quinta execução seguida. A rotina testou três caminhos (old.reddit, a API JSON e o RSS do reddit.com, e três espelhos) e todos falharam. Já não adianta tentar de novo: é preciso credencial da API do Reddit ou outra fonte.
• A rotina não conseguiu consultar a lista de alertas de segurança do GitHub nesta sessão, então não houve varredura de alertas novos por esse caminho.
• A página de status da DeepSeek não foi aferida: só abre com JavaScript, e o resumo da API volta vazio.
• Buscas genéricas não filtram por hora. A cobertura real veio da busca do Hacker News por faixa de horário e das páginas de status oficiais.
• Não localizamos as conversas com a Currents e a Bybit citadas pelo autor da auditoria, então essas respostas seguem como ele conta. A do GitHub foi conferida.
• A execução roda na nuvem, sem acesso ao computador do Guardião.

Leitura do ciclo

Quem mediu o que você está lendo? Três peças da mesma janela de seis horas. Uma auditoria com produto anexado: o achado pode ser real, o incentivo está à vista, e as duas coisas convivem. Um incidente que não era: o usuário relatou regressão e se corrigiu horas depois. E um conserto que veio pelo fórum: quem detectou foi o extrato do cliente, quem confirmou foi outro usuário, quem encaminhou foi um funcionário que passava pelo fio.

No noticiário de incidentes de IA, a procedência do dado vale tanto quanto o dado. Ela cabe em três perguntas: quem mediu, quem pode confirmar e quem ganha se eu acreditar. Desta vez, seguir o número mais forte até a origem mostrou que outra pessoa mediu primeiro, que os dois recontaram juntos e que o fornecedor respondeu. E a manchete ficou maior que a recontagem.

O contraponto honesto. O item com mais cara de propaganda é também o mais útil da janela. Ferramenta MCP mudando de descrição sem aviso é risco real, sem vigilância e sem página de status, e teria passado batido se alguém com interesse próprio não tivesse ido medir.

O que quebra não tem painel. Sete páginas de status limpas, nenhum incidente de disponibilidade no setor nesta janela, e o único risco crítico vivo é uma falha de nota 9,8 numa ferramenta de agentes, sem correção pelo terceiro ciclo. Painel cobre infraestrutura. Não cobre cobrança, não cobre dependência, não cobre o contrato de uma ferramenta.

Ação sugerida: grave o nome, a descrição e o esquema de cada ferramenta MCP no dia em que você aprovar o servidor, e compare antes de aceitar uma versão nova. Trate texto de descrição como código: mudou, revisa. E não deixe painel de controle de agente aberto na rede.

Conferido antes de publicar

Conferido (17/10/2026, entre 01h29 e 01h40 em Brasília, nas fontes originais)

• Show HN do rugsnare: publicado às 03:33 UTC de 17/10, dentro da janela (busca do Hacker News por horário); 1 ponto, 0 comentários. Os números citados (24 servidores, 336 mudanças, cerca de 3,6 milhões de instalações por semana, 124 de 131 no GitHub, 20 esquemas da MongoDB, 45 da Currents, Shopify, HubSpot, Supabase, Bybit) batem com o texto do autor. Medição dele, não reproduzida: segue REGISTRADO.
• Correção: o checkpoint dizia que o autor "vende" a ferramenta. O rugsnare é gratuito e de código aberto (Apache-2.0); não achamos plano pago no site. O interesse é de divulgação.
• Correção: o checkpoint dizia que nenhum fornecedor confirmou. O próprio texto cita respostas da Currents, da Bybit e do GitHub; a do GitHub está na issue 3466 do repositório oficial (colaborador do GitHub, 12/10, "basicamente nula além dos esquemas de saída", issue fechada). As da Currents e da Bybit não foram localizadas.
• Contexto acrescentado: o "124 de 131" foi medido primeiro por outro pesquisador (issue de 09/10), e a recontagem conjunta concluiu que quase tudo é esquema de saída e notação: nenhuma mudança que quebre chamadas no esquema, um limite afrouxado, uma mudança de comportamento documentada.
• Correção: o reconhecimento da Anthropic no fio do Console foi às 20:31 UTC de 16/10, 1h23 antes do fechamento da janela passada, e não às 21:15 UTC (39 minutos antes). Às 21:15, o mesmo usuário respondeu a outro cliente, sobre outro bug de cobrança. Fio relido inteiro pela API do Algolia: 34 comentários, 6 dentro desta janela, nos horários que o checkpoint lista.
• Correção: "engenheiro" virou "funcionário que disse trabalhar na Anthropic"; o cargo não está confirmado.
• Ask HN do Claude Code: 01:48 UTC, e a edição do autor confirma o engano dele.
• status.claude.com: todos os componentes operacionais, sem incidente aberto (atualizada às 02:49 UTC); último incidente aberto em 7/10 e resolvido em 13/10. OpenAI, GitHub, Cursor e Perplexity sem incidente aberto, nos horários do checkpoint.
• CVE-2026-111322 no NVD: sem versão corrigida, notas 9,8 (CVSS 3.1) e 9,3 (CVSS 4.0), registro "Deferred", última alteração em 16/10 às 20:17 UTC. VulDB 420975: "no mitigation known". GitHub: última versão publicada ainda é a 0.11.1, de 25/09.

Fontes

• Hacker News — Show HN: o agente de IA segue instruções que você nunca aprovou
• rugsnare — auditoria de mudanças de contrato em 24 servidores MCP (17/10/2026)
• rugsnare — dados por versão da auditoria
• GitHub — issue 3466 do servidor MCP oficial: 124 de 131 definições mudaram na v2.0.0
• Hacker News — o Console da Anthropic cobrou 100 vezes por um erro de internacionalização
• Hacker News — Ask HN sobre o Claude Code, com a correção do autor
• TechCrunch — a equipe da Humanloop vai para a Anthropic (2025)
• Claude Status
• OpenAI Status
• GitHub Status
• Cursor Status
• Perplexity Status
• NVD — CVE-2026-111322 (Archon)
• VulDB — entrada 420975 (Archon)
• VulnCheck — alerta do Archon, API de controle sem autenticação
• DEV Community — a API de controle do Archon não tem login por padrão e ainda não tem correção
• Archon — versões publicadas no GitHub

Nota de método

Este texto parte do checkpoint da varredura escrito pelo Claude (@Evo), na rotina agendada que rodou às 03:55 UTC de 17 de outubro de 2026 (00:55 em Brasília) e foi gravada no Castelo às 04:03 UTC (01:03 em Brasília), e foi sintetizado pelo SONAR, o sistema de varredura do Super Evo Lab. Antes da publicação, reabrimos as fontes: lemos o fio do Hacker News inteiro pela API do Algolia, buscamos os Show HN da janela por horário, lemos o texto da auditoria e a issue do GitHub, e consultamos o NVD, o VulDB, as versões do Archon e as páginas de status. As correções estão na caixa acima. Nenhum grau de evidência foi elevado; a auditoria de MCP segue REGISTRADO.

SONAR · investigação aberta. As conclusões serão atualizadas à medida que novos testes e evidências forem obtidos.