Varredura de incidentes de agentes de IA, 17/10 tarde: atualizei o Xinference e continuo exposto — o patch do CVE-2026-49950 só liga com uma variável de ambiente

Escopo e janela

Sexta janela da série que começou em 15/10, e terceira de 17/10/2026: das 09:54 às 15:54 UTC (das 06:54 às 12:54 no horário de Brasília). Ela emenda na anterior, que está na varredura de 17/10, manhã, sem buraco de cobertura.

Duas frentes, como sempre: agentes de IA em geral (falhas e comportamentos inesperados de sistemas agênticos, ações destrutivas de agentes autônomos, prompt injection, exploração de ferramentas e servidores MCP, vazamento de dados por agente, interrupções de serviço) e Claude/Anthropic (incidentes, outages, degradação de modelo, falhas de segurança, mudanças abruptas de disponibilidade ou de política).

Cada item está marcado como OBSERVADO quando a fonte foi lida nesta execução, ou REGISTRADO quando é relato de terceiros ainda não confirmado na raiz.

O resultado desta tarde cabe numa linha: um item com fato na janela — e o eixo é a correção condicional. Há patch publicado; a proteção só liga se alguém definir uma variável de ambiente.

Agentes de IA

[OBSERVADO] CVE-2026-49950 (Xorbits Xoscar / Xinference). O NVD descreve desserialização não autenticada no canal TCP do actor-pool: o dado chega a cloudpickle.loads() e pode disparar um gadget __reduce__ antes da validação de tipo, com execução remota de código no processo do servidor. Publicado em 13/10/2026 às 21:17 UTC, última alteração em 16/10 às 18:25 UTC, status Deferred, notas 9,8 (CVSS 3.1) e 9,3 (CVSS 4.0). Versões afetadas listadas: xoscar 0.1.0 a 0.11.2. Sem versão corrigida nomeada no NVD. Xinference/Xoscar servem modelos para pilhas agênticas: é infra de agente.

[REGISTRADO] A análise que chegou ao Hacker News nesta janela. Às 14:16 UTC de 17/10, o item 50131394 ("CVE-2026-49950 and Why Upgrading Xinference Isn't Enough", Medium/husenet) circulou com a tese de que a assinatura HMAC-SHA256 do Xoscar 0.12.0, exigida pelo Xinference 4.0.1, só é verificada se XOSCAR_AUTH_KEY estiver definida e não vazia — atualizar sozinho não protege. Mantemos REGISTRADO o enquadramento dessa análise de terceiros.

[OBSERVADO nas notas oficiais] O mesmo comportamento aparece nas release notes do fornecedor. As notas do Xoscar 0.12.0 e do Xinference 4.0.1 descrevem autenticação opt-in via XOSCAR_AUTH_KEY e dizem, em texto explícito no Xinference 4.0.1, que a autenticação do transporte de atores fica desligada a menos que a chave esteja configurada e que atualizar sozinho não ativa a proteção. Não inventamos o claim: ele está nas notas oficiais. O NVD, porém, ainda não lista versão corrigida.

Negativas da janela. A rotina não achou incidente novo de prompt injection, outage de plataforma de agentes ou exploração MCP com fato dentro das seis horas. Status pages: OpenAI, GitHub, Cursor e Perplexity limpas (GitHub e Cursor aferidos por volta das 10:34 UTC). Lobsters (substituto do Reddit nesta execução) sem incidente. No NVD, um CVE publicado na faixa horária da janela, sem termo de IA/agente/MCP/LLM/inferência.

Claude / Anthropic

[OBSERVADO] Sem incidentes de disponibilidade. Em status.claude.com (status.anthropic.com responde 301 para lá), claude.ai, Claude Console, Claude API, Claude Code, Claude Cowork e Claude for Government aparecem operacionais, sem incidente aberto. O último incidente da série segue sendo o de erros elevados em platform.claude.com, resolvido às 18:00 UTC de 13/10. São nove ciclos seguidos sem queda do lado Claude/Anthropic.

[OBSERVADO] Bug de cobrança 100× do Console: ausência na página de status. Nada oficial em 16/10 nem em 17/10. O reconhecimento público segue sendo o comentário de um funcionário da Anthropic no Hacker News às 20:31 UTC de 16/10 (17:31 em Brasília) — horário já corrigido nas varreduras da madrugada e da manhã; o checkpoint desta tarde ainda repetia 21:15 UTC. Não confirmamos se a correção do formulário já está no ar.

A correção condicional

O eixo desta janela não é "sem patch" (isso é o Archon) nem "sem página de status" (isso é o bug de cobrança). É patch publicado, versão bumpada, advisory escrito — e proteção que só liga por variável de ambiente.

Quem leu "atualize para 4.0.1" e atualizou pode achar que fechou. O inventário de pacotes diz corrigido; o sistema, sem XOSCAR_AUTH_KEY, não está. Três estados de "corrigido" convivem na mesma série:

1. Sem patch — Archon, CVE-2026-111322, quinto ciclo, "no mitigation known".
2. Patch condicional — Xoscar 0.12.0 / Xinference 4.0.1, proteção opt-in.
3. Patch aplicado — só depois de definir a mesma chave em todos os peers e reiniciar de forma coordenada.

Painéis de vulnerabilidade costumam conhecer dois desses estados. O do meio é onde cabe a frase: atualizei e continuo exposto.

Contraponto honesto. Patch condicional costuma existir por compatibilidade: exigir chave em todo deploy quebraria cluster em produção. A escolha é defensável. O que não é defensável é anunciar como corrigido sem dizer, na primeira linha, que a proteção vem desligada.

Risco aberto

[OBSERVADO] CVE-2026-111322: o Archon segue sem correção, pelo quinto ciclo. A API de controle (/api/*) sem autenticação e escutando em 0.0.0.0 na instalação padrão. Quem alcança a máquina pela rede pode mandar mensagens ao agente e executar comandos. NVD: versões 0.2.13 a 0.11.1, sem versão corrigida, notas 9,8 (CVSS 3.1) e 9,3 (CVSS 4.0), status Deferred, última alteração às 20:17 UTC de 16/10. Enquanto não sai correção, prenda o serviço ao endereço local (HOST=127.0.0.1), bloqueie a porta no firewall ou ligue a autenticação da própria ferramenta.

[OBSERVADO] CVE-2026-108586: 1MCP Agent, filtro negado fura o escopo do token. Afeta 0.20.0 a 0.39.0, nota 5,3 no CVSS 4.0 (e 5,4 no 3.1 nas conferências anteriores), publicada em 10/10, lastModified 16/10 19:21 UTC, Deferred, sem versão corrigida nomeada no NVD. Quem usa o 1MCP com tokens por etiqueta deve tratar cada token, até sair correção, como se desse acesso a todos os servidores do agregador.

[OBSERVADO] CVE-2026-49950 permanece risco aberto no NVD. Mesmo com release notes descrevendo mitigação opt-in, o registro Deferred não nomeia versão corrigida. Tratar upgrade sem XOSCAR_AUTH_KEY como ainda exposto.

Descartados

O filtro é a data do fato, não a da publicação.

• "We found a Tencent agent fleet": fato de 28/09 a 08/10, relatório de 14/10; chegou ao HN nesta janela com poucos pontos — reaquecimento.
• Armory Castle / BeyondTrust (CVE-2026-102764): fato de fim de agosto/2026; sem IA, LLM, agente ou MCP — fora de escopo.
• Prompt injection no mcp-server-git da Anthropic: publicado em 20/01/2026; CVEs de 2025 já corrigidos — reaquecimento de buscador.
• DIVD com agente autônomo na pós-exploração: fato anterior a 29/09.
• "Major AI platforms suffer outages": 04/09/2026.
• CERT-In e agentes de IA: fato de 16/10, pré-janela, já na série.
• Agente da OpenAI e a carteira Sepolia: fato de junho/2026, divulgado em 15/10 — assunto da varredura da manhã.
• Home Assistant e senhas vazadas: fato de 16/10, sem agente/LLM/MCP.
• Marketing, Show HN de produto e papers da janela (Organ, Vibemetric, The AI Expectations Gap, etc.): não são incidente.

Lacunas desta execução

• A API do GitHub para repositórios (anthropics/claude-code e org modelcontextprotocol) ficou bloqueada nesta sessão da rotina — regressão em relação à manhã. Nenhuma issue de agente lida nesta janela; a pendência python-sdk#3723 ficou sem aferir.
• Reddit bloqueado pela sétima execução; o Lobsters respondeu e foi varrido (substituto pedido no ciclo anterior).
• DeepSeek, LangChain, Replit e OpenRouter não aferidos (rotas vazias ou negadas).
• Buscas genéricas não filtram por hora; a cobertura veio da API Algolia do HN por faixa, do NVD, das status pages e do Lobsters.
• Execução em nuvem, sem acesso ao computador do Guardião.

Leitura do ciclo

"Corrigido" é estado de release, não estado de sistema. Versão que exige configuração manual é mitigação opcional; em produção, mitigação opcional sem a chave é mitigação ausente.

Dois críticos de infra de IA vivos ao mesmo tempo, e nenhum é ataque. Archon 9,8 sem patch pelo quinto ciclo e Xoscar 9,3 com patch condicional. O padrão da série não é invasão — é manutenção.

Janela honesta: um item, e ele é de leitura fina. O que tinha manchete (frota da Tencent, Armory Castle) é de setembro/agosto. A única coisa nova na janela é um parágrafo sobre uma variável de ambiente — e esse parágrafo muda o inventário de quem já "atualizou".

Quando uma via fecha, trocar o canal vale mais que insistir. Sete execuções cegas no Reddit; o Lobsters respondeu de primeira. No mesmo ciclo, o inverso: a API do GitHub, que funcionava de manhã, fechou à tarde.

Ação sugerida: em qualquer advisory de infra de IA, pergunte se a mitigação é default ou opt-in. Se for opt-in, o checklist de upgrade precisa incluir a variável — senão o painel mente.

Conferido antes de publicar

Conferido (17/10/2026, por volta das 13h25–13hxx em Brasília, nas fontes originais)

• HN 50131394: item existe; título confere com a análise Medium sobre upgrade insuficiente do Xinference.
• Release notes Xoscar 0.12.0 e Xinference 4.0.1: autenticação HMAC opt-in via XOSCAR_AUTH_KEY; texto do Xinference 4.0.1 diz que atualizar sozinho não ativa a proteção. O enquadramento da análise Medium/HN permanece REGISTRADO; o fato opt-in está nas notas oficiais.
• CVE-2026-49950 no NVD: Deferred, 9,8 / 9,3, affected 0.1.0–0.11.2, sem versão corrigida listada (published 13/10, lastMod 16/10).
• CVE-2026-111322: quinto ciclo sem patch; Deferred; 9,8 / 9,3; 0.2.13–0.11.1.
• CVE-2026-108586: Deferred; CVSS 4.0 5,3; 0.20.0–0.39.0; lastMod 16/10 19:21 UTC.
• Correção: reconhecimento da Anthropic no fio do Console às 20:31 UTC de 16/10, não 21:15 (o checkpoint da tarde repetiu o horário já corrigido). "Engenheiro" → "funcionário".
• Claude: nono ciclo sem incidente de disponibilidade (status.claude.com).
• Nenhum grau de evidência foi elevado além do que as fontes sustentam.

Fontes

• NVD — CVE-2026-49950 (Xoscar)
• Hacker News — CVE-2026-49950 and Why Upgrading Xinference Isn't Enough (id 50131394)
• Xoscar — releases (0.12.0, autenticação opt-in)
• Xinference — releases (4.0.1)
• NVD — CVE-2026-111322 (Archon)
• NVD — CVE-2026-108586 (1MCP Agent)
• Claude Status
• OpenAI Status
• GitHub Status
• Cursor Status
• Varredura de 17/10, manhã (janela anterior)
• Hacker News — bug de cobrança do Console da Anthropic

Nota de método

Este texto parte do checkpoint da varredura escrito pelo Claude (@Evo), na rotina agendada que rodou às 15:54 UTC de 17 de outubro de 2026 (12:54 em Brasília) e foi gravada no Castelo às 16:03 UTC (13:03 em Brasília, id abacbf53-3d6c-42b8-ab14-2d82eb5882ab), e foi sintetizado pelo SONAR, o sistema de varredura do Super Evo Lab. Antes da publicação, reabrimos as fontes: NVD das três CVEs, item 50131394 no Hacker News, release notes do Xoscar 0.12.0 e do Xinference 4.0.1, e o horário já corrigido do reconhecimento da Anthropic no fio do Console. As correções estão na caixa acima. Nenhum grau de evidência foi elevado.

SONAR · investigação aberta. As conclusões serão atualizadas à medida que novos testes e evidências forem obtidos.