Latest / Entre Chaves / PlantãoDev - Vazamento Claude: falha operacional ou estrutural?

Transcript

PlantãoDev - Vazamento Claude: falha operacional ou estrutural? · Entre Chaves

• 0:02
  E está começando mais um plantão de notícias do entre chaves, o
• 0:06
  seu podcast de desenvolvimento de software, e acabou de sair
• 0:10
  nas redes fresquinho, quentinho do forno.
• 0:12
  Fernandinha, você viu esse babado?
• 0:14
  Eu vi Datas. Acabou de sair a notícia de que
• 0:18
  o código do cloud cold vazou. Tá exposto, público acessível na
• 0:24
  internet? Exatamente, meu Deus do céu.
• 0:27
  Onde? Chegamos.
• 0:28
  E aí, e aí, né? Por que que vazou?
• 0:30
  Dantas, você que é o nosso especialista aqui de segurança,
• 0:33
  o que que aconteceu? Eu?
• 0:34
  Tenho 2 teorias, tá? A primeira é própria minha, que
• 0:37
  é a antropic. Ela é tão humilde que ela quis
• 0:41
  dar uma chance para os concorrentes.
• 0:42
  É isso? É uma empresa que está o tempo
• 0:44
  inteiro falando sobre a responsável, né?
• 0:46
  Isso exatamente. É exatamente, então, ainda.
• 0:49
  Mais que anthropic significa o homem no centro, né, antrópico.
• 0:53
  E a segunda que nem é uma teoria minha, tá, mas foi.
• 0:56
  A própria pronunciamento da anthropic diz que foi um erro
• 0:59
  humano. Então a gente teve até uma
• 1:01
  coincidência, né? Que também teve uma
• 1:02
  vulnerabilidade do axus, caso vocês não tenham visto, né?
• 1:05
  Então teve um supplyteen no ataque, no axus, que gerou uma
• 1:08
  série de problemas, mas que todo mundo.
• 1:11
  Acreditou estar envolvido com o vazamento, né?
• 1:13
  Já que saíram no mesmo dia, praticamente, mas que não de
• 1:15
  acordo com o tropa, que não foi um problema de segurança, foi
• 1:17
  uma falha humana de empacotamento deles durante o
• 1:20
  processo de publicação da última versão deles, um pesquisador de
• 1:24
  cibersegurança. Ele percebeu um problema em um
• 1:28
  desses dessas publicações na última publicação deles, e ele
• 1:32
  publicou um tuíte despretensioso, um tuíte rápido.
• 1:36
  Breve, né? Que nesse mundo aí.
• 1:38
  Ah, tudo gente começa com um tuíte impressionante.
• 1:41
  Impressionante. Impressionante, né?
• 1:42
  Os maiores termos, né? O Vibe colding começou com o
• 1:46
  tuíte, né? Assim, muita coisa, né?
• 1:48
  O próprio conta que tinha de new em esse termo também também
• 1:51
  começou com o tuíte. Esqueçam as documentações
• 1:53
  oficiais, né? A resposta está no a resposta
• 1:56
  está no X então, um tuíte despretensioso manifestou o erro
• 2:01
  da anthropic e que era possível provavelmente recuperar o código
• 2:05
  fonte do Cláudio a partir dessa última publicação.
• 2:08
  E. E em torno de 3 a 4 horas depois
• 2:11
  desse Twitter, já tinham milhões de visualizações e, claro, junto
• 2:15
  com essas milhões de visualizações, o código fonte
• 2:19
  começou a inundar OA internet. E nem precisava ir longe, não,
• 2:22
  não estou falando de entrar. Na TIP web, né não está falando
• 2:25
  sobre? Isso não uns obscuros aqui, você
• 2:28
  entrar Na Na nova silk road para poder trocar por por ethereum.
• 2:33
  Não, não estou falando disso. Estou falando do GitHub, estou
• 2:36
  falando de código público de fork aham, entendeu?
• 2:38
  Sendo acessado um desses Git hubs que ficou extremamente
• 2:42
  famoso, né? Ele alcançou 50000 favoritações
• 2:45
  e forques em tempo recorde dentro da plataforma.
• 2:47
  Ele até transformou as features para Python para não não receber
• 2:53
  ODMCA, né não? Não tomar o strike lá e ser
• 2:56
  derrubado. Então o próprio autor dentro do
• 2:59
  ridme, ele se pronuncia aqui falando que a namorada dele
• 3:02
  ligou lá da Coreia, preocupada com ele, é que estava bombando e
• 3:06
  que estava todo mundo falando sobre ele, que não sei o que e
• 3:08
  blá blá blá. E aí ele tomou essa decisão para
• 3:10
  poder transformar essas features para outra linguagem, né?
• 3:13
  Para copia, mas não faz igual. Que doideira, né?
• 3:15
  Assim e como a gente acabou de gravar.
• 3:17
  Um episódio sobre o cloud code hoje.
• 3:19
  Coincidentemente, né, ele ainda vai já.
• 3:21
  Já ele vai sair, viu, pessoal? Ative um sininho aí.
• 3:24
  A gente falou sobre algumas features do cloud code,
• 3:27
  inclusive uma que pra mim é uma contradição enorme, né?
• 3:30
  Com essa, com essa notícia de hoje, que é a própria parte de
• 3:34
  segurança do cloud code, né? O cloud security, né?
• 3:36
  É. Então a antrópica, ela quebrou o
• 3:39
  mercado dessa lei segurança há pouco tempo atrás, porque ela
• 3:41
  lançou essa ficha de validação de segurança para sast.
• 3:44
  Então por. Isso é muito doido, né, assim?
• 3:46
  Não demais, né? Assim, casa de ferreiro e espeta
• 3:49
  de pau. É exatamente, né?
• 3:50
  A própria antrrop, que também há pouco tempo atrás, falou sobre
• 3:53
  os hulks, né? E a importância lá de configurar
• 3:56
  os hulks dentro do código, né? Sejam hulks de de execução de
• 4:00
  ferramentas como hulks de pré commit, por exemplo, né?
• 4:04
  E aí nos joga uma bomba dessa aí.
• 4:06
  Né, e que eu defendo a minha teoria de que foi?
• 4:09
  Proposital? E eles fizeram isso.
• 4:11
  Mas já pensou, Fernandinha, além dessa contradição toda, os
• 4:15
  impactos que isso não vai causar na nossa?
• 4:17
  Indústria agora, exatamente assim, porque o?
• 4:18
  Claudio cold, como a gente mencionou no episódio que vai
• 4:20
  sair já, já ele ganhou o mercado, né?
• 4:23
  Ele as teve uma adesão fenomenal, porque foi realmente
• 4:26
  um fenômeno, né? A gente nunca viu isso antes.
• 4:29
  Para é assim compara com o fenômeno do GPT, né?
• 4:32
  Assim é os primeiros. Lançamentos os.
• 4:34
  Primeiros lançamentos do GPT em relação à curva, né?
• 4:37
  De adoção assim é uma ferramenta assim.
• 4:39
  Extraordinário, extraordinária mesmo, né?
• 4:41
  Eu, particularmente, sou fã dos modelos da antrópica, eu?
• 4:43
  Sou Cláudio pra. Quase tudo assim, fã.
• 4:46
  Demais da antrópica, principalmente agora com o
• 4:48
  modelo do Opus. A gente falou muito disso no
• 4:50
  episódio também, mas assim, poxa, e eu fico, eu fico até
• 4:54
  triste, fico triste mesmo com essa.
• 4:55
  É uma pena, né? Meus colegas da cibersegurança,
• 4:57
  eu posso dar a dor de cabeça que eles não estão tendo um momento.
• 5:00
  Não e até assim, né? Coitado desse desenvolvedor, né?
• 5:02
  Que que aconteceu desse esse infortúnio, né?
• 5:05
  Vai ser substituído Por Ela? Mas ao mesmo tempo, assim pra.
• 5:09
  A comunidade pode representar, como você falou, um grande
• 5:12
  avanço, né? Porque assim mais gente.
• 5:14
  Sabendo que, né? Mais uma Felicidade para os
• 5:16
  concorrentes. Exatamente.
• 5:18
  Porque os modelos da antrópic são sensacionais.
• 5:20
  Isso eu não te escuto. Mas o Cláudio coach por si só
• 5:23
  também carregava muitos segredos.
• 5:26
  Exatamente como a gente sabe, né?
• 5:28
  Que comunidades open source elas tendem a evoluir mais rápido,
• 5:31
  né? Isso pode acontecer com o
• 5:32
  Claudio coach também. Né?
• 5:34
  E pode também vim outras ferramentas aí para a
• 5:36
  competição, o que é bom para nós todos consumidores aí, né?
• 5:40
  E queremos. No final das contas, tem as
• 5:42
  melhores ferramentas para o nosso desenvolvimento, não é
• 5:44
  mesmo? E isso está avançando de forma
• 5:45
  muito rápida. Fernandinha, vários fóruns na
• 5:48
  internet já estão inundados com as análises do código que a
• 5:51
  galera está fazendo do crowd code.
• 5:52
  Descobrindo features, mais features sensacionais o próprio
• 5:56
  motor do cloud code, né? O Kerry e Jim Kerry gine
• 6:00
  obrigado próprio motor do cloud code.
• 6:02
  Como o Kerry gine, ele já está sendo dissecado de cima A baixo
• 6:05
  para o pessoal entender exatamente como que as essas
• 6:08
  otimizações são feitas. O controle de contexto, a
• 6:11
  autocura da memória, né Oo self Hill memori, né?
• 6:15
  Como que eles fazem essa coordenação memória que ela não
• 6:17
  simplesmente se apaga EE ela, mas ela vai se regenerando.
• 6:20
  Ela não é só consultada, mas consumida.
• 6:22
  De forma a ser editado o tempo inteiro.
• 6:25
  Então assim, existem Pequenos Detalhes de uma engenharia de
• 6:29
  ponta que agora você nem precisa mais de uma engenharia reversa.
• 6:32
  Você já tem a engenharia crua, nua e crua na sua frente para
• 6:35
  simplesmente entender como que ela está sendo feita.
• 6:37
  Exatamente essa parte do que a andine, né?
• 6:39
  Pra mim é uma das coisas muito importantes, porque aqui a gente
• 6:42
  já falou, né, a gente nunca teve essa oportunidade, né?
• 6:45
  De olhar por dentro dessas ferramentas, como o cursor, como
• 6:48
  o próprio Copilot, como o cloud cod.
• 6:51
  Nunca tivemos a oportunidade de ver assim o.
• 6:52
  O que que eles fazem de fato por baixo dos panos?
• 6:56
  E agora a gente manda 11 instrução, né?
• 6:59
  O que que eles enriquecem ali de contexto?
• 7:01
  O como eles decidem usar uma ferramenta MCP ou não, ou usar
• 7:05
  uma ferramenta de edição de arquivo ou usar uma ferramenta
• 7:09
  de prompt de comando, né? Enfim, como essas decisões são
• 7:13
  tomadas agora? Então, ali, né?
• 7:15
  E o próprio queridini é justamente esse mecanismo que
• 7:18
  faz essa decisão do que usar o que ativar justamente para
• 7:22
  enriquecer o contexto que é mandado para API da antrópic,
• 7:26
  né? A gente já falou aqui no entre
• 7:27
  chaves algumas vezes, né? E inclusive no episódio de
• 7:30
  contact Engineering, que uma da os desafios maiores que a gente
• 7:34
  tem hoje como comunidade de ar é a gestão de contexto.
• 7:37
  Então saber como a antrópic faz isso e faz isso também, né?
• 7:42
  Ouro, né? Ouro?
• 7:43
  Líquido. A gente entende.
• 7:44
  De que entrar grave te cursou? E todas essas outras ideias como
• 7:47
  co pilote, elas compartilham de muitas coisas em comum, o grosso
• 7:52
  da questão, todas elas já entenderam como que é feito, mas
• 7:55
  esses detalhes que tornam o Cláudio tão especial agora está
• 7:59
  compartilhado, né? Está na mão de muita gente.
• 8:02
  Exatamente, né? EEA?
• 8:03
  Gente até chegou numa. Acho que foi no próprio episódio
• 8:06
  de engenharia de contexto. Eu mesma defendi, né?
• 8:08
  Que essas ferramentas estavam cada vez mais próximas.
• 8:11
  Justamente por isso que você acabou de falar, né?
• 8:13
  Alguns mecanismos já estão descobertos, já estão, né?
• 8:16
  Quase que conhecidos aí pela comunidade, mas até os próprios
• 8:19
  fremox também vieram adicionando uma camada, né?
• 8:22
  De conhecimento, de gestão, de contexto muito importante.
• 8:25
  E para mim agora, né? Antrópica e infelizmente, né,
• 8:28
  com esse passo em falso, vamos falar assim, partindo do
• 8:31
  princípio que não foi de propósito, como, né?
• 8:33
  Tá falando no início, trouxe aí alguns alguns detalhes aí da sua
• 8:38
  implementação, que era secretas, né?
• 8:40
  Vamos falar assim, e aí? Será que as outras empresas vão
• 8:42
  realmente copiar essas otimizações, né, essas features
• 8:45
  que a cloud já tem? Elas até conseguem agora de
• 8:48
  maneira ainda melhor, pegar as fitness que elas já estavam
• 8:50
  desenvolvendo e conseguir implementar essas ideias da
• 8:52
  antrópica, né? Eu vi muitas dessas análises de
• 8:54
  código acontecendo e entre as centenas de coisas que esses
• 8:58
  fóruns estão inundando, além do próprio motor central, como a
• 9:01
  gente comentou, tem algumas fiters aqui até engraçadas, viu?
• 9:04
  Fernandinho, então? Tem aqui, por exemplo, uma ficha
• 9:06
  de tamagote que eles implementaram em que eles
• 9:09
  provavelmente lançariam hoje, né?
• 9:10
  No dia primeiro de abril, que a gente está gravando esse
• 9:12
  episódio, mas imagino que eles tenham coisas a mais para se
• 9:15
  preocupar nesse momento. Mas o que?
• 9:16
  Que era essa viatura de tamagote?
• 9:17
  Era literalmente um tamagote que aparecia no seu console e você
• 9:21
  conseguia ficar alimentando o. Bichinho, Ah, meu Deus, eles
• 9:23
  escreveram meus tons, não. Não aí.
• 9:27
  Eu não fiz essa análise. Fernando, até engraçado aqui,
• 9:30
  né, ó pra vocês acharem aí que seus códigos são bagunçados.
• 9:33
  Gente, eu acho que é um padrão universal, tá?
• 9:35
  A antrópica, ela implementou 18 espécies de animais e uma delas
• 9:38
  era patos, mentira, só que já tinha uma variável chamada patos
• 9:42
  no código deles, e aí eles precisaram de codificar o nome
• 9:45
  dessas espécies em hexadecimal para não ter que mudar que um
• 9:48
  dessas desses bichinhos era um pato, não é paciente, entendeu?
• 9:51
  É sensacional, mas nem tudo são apenas features.
• 9:55
  Estranhas, né? Tem algumas features bem
• 9:58
  interessantes aqui, como por exemplo essas features de
• 10:00
  compactação pra gerância de tokens como eles fazem, que é o.
• 10:05
  Negócio do contexto, né? Isso exatamente.
• 10:08
  Eu vi uma análise aí de uma feature de micro compactação,
• 10:11
  né, que acho que é a mais cirúrgica delas de todos, que
• 10:13
  limpa o resultado das ferramentas antigas baseadas no
• 10:16
  tempo. Então se você ler um arquivo,
• 10:17
  por exemplo, de 40 mensagens atrás e já editou, né, esse
• 10:21
  arquivo desde então, esse conteúdo.
• 10:23
  Bruto daquela leitura, ele é descartado, né?
• 10:26
  Então é uma forma, é um corte, né?
• 10:27
  É, é exatamente é uma forma de tirando e limpando o contexto,
• 10:31
  justamente para fazer toda a parte de engenharia de contexto,
• 10:33
  né? 11 técnica aqui, né, de limpar o
• 10:36
  contexto, tirar coisas que não são para.
• 10:38
  Provavelmente não são úteis mais, né?
• 10:40
  É além dos próprios comandos ocultos que eles tinham, o que
• 10:44
  tem até gerado um problema de de volta pra segurança.
• 10:47
  Então, uma das coisas que aconteceu com os pesquisadores
• 10:49
  de segurança começaram por aquele Twitch que eu comentei é
• 10:51
  que eles perceberam vulnerabilidades dentro do
• 10:54
  próprio cloud code. Afinal, agora eles têm o código
• 10:56
  fonte, né? Então fica muito mais fácil de
• 10:58
  você explorar. Eles perceberam vulnerabilidades
• 11:00
  onde se o seu projeto que você está atuando, ele tem algum tipo
• 11:03
  de variável de ambiente, por exemplo, você pode recuperar
• 11:06
  elas mesmo sem ter nenhum tipo de acesso.
• 11:08
  Se o Cláudio tiver, você também tem no final, mesmo que ele
• 11:10
  estivesse orientado, por assim dizer, anão ter, não te dar
• 11:14
  nenhum tipo de permissão ou acesso a isso, ele já descobriu
• 11:16
  uma forma de by passar esse projeto, entre outras, né?
• 11:19
  Fe onde os problemas como comandos ocultos que estavam
• 11:23
  reservados para os desenvolvedores do Cláudio, né?
• 11:26
  Agora eles podem ser habilitados e utilizados.
• 11:28
  Uma coisa legal também que eu acho que é importante falar aqui
• 11:31
  é qual linguagem, né, que eles escolheram, né?
• 11:33
  Desenvolver o cloud, né? Então são mais de 500000 linhas
• 11:36
  de timescript, né? E a interface do terminal?
• 11:38
  É construída com o react e é engraçado.
• 11:40
  Né, que foi uma grande surpresa. Né mesmo, né?
• 11:42
  Mas não é o react para web. Não é uma react que renderida no
• 11:45
  terminal, né? Utilizando uma biblioteca
• 11:47
  chamada, achei bem interessante. Muito diferente, né?
• 11:50
  Eu fico pensando que que é com eles a.
• 11:52
  É também. Chegarem nessa conclusão, falar,
• 11:54
  Ah, vamos usar o react para o. Terminal, né?
• 11:55
  Achei bem interessante também. E além, né?
• 11:59
  De tudo isso que a gente está falando de análise do código,
• 12:01
  uma coisa que eu achei curiosa aí assim, né?
• 12:04
  A gente pode discutir um pouquinho aqui sobre o próprio
• 12:07
  código do cloud cold. Não estava instrumentado com
• 12:10
  coisas de ar, então assim, não tinha um arquivo MD de não tinha
• 12:14
  muitas coisas, né? Não tinham skills, claro, pode
• 12:17
  ser simplesmente porque essas coisas não são comitadas, né?
• 12:20
  No repositório, o que me me pareceu não tinha Hulk, não
• 12:23
  tinha nada muito configurado que são coisas que eles mesmo
• 12:25
  defendem que usam, né? Enfim, mas pode ser, eu acho que
• 12:28
  é mais provável que seja, porque isso não deve estar comentado
• 12:32
  nesse repositório específico. Né, às vezes são.
• 12:34
  Coisas mais gerais, comentadas até no repositório mais geral,
• 12:38
  né? É no workspace da antrrop que
• 12:40
  talvez seja, né? Compartilhada entre os os
• 12:42
  diversos produtos, né? Pode ser eu eu tendo a acreditar
• 12:46
  que é mais isso do que falar, que eles não usam, que eles
• 12:49
  defendem, né? É, eu concordo, viu,
• 12:50
  Fernandinha? Talvez daqui 1 ano, quando a
• 12:52
  antrrop estiver se sentindo benevolente novamente, às vezes
• 12:54
  eles liberam para a gente o repositório bem.
• 12:56
  Exato, eu fiquei assim, uma das coisas mais animadas que eu
• 12:59
  fiquei. Gente, quando eu ouvi isso, eu
• 13:00
  falei, nossa, agora vamos saber como que a antrópica está
• 13:03
  desenvolvendo com ya. Nossa senhora, elas estão.
• 13:06
  Vou descobrir todos os padrões melhores.
• 13:08
  Padrões de desenvolvimento que eles estão fazendo para ser
• 13:10
  super produtivos e tive essa deceção de que não tinha skills
• 13:14
  MD não tinha, enfim, cloud MD não tinha nada nesse
• 13:17
  repositório, infelizmente. Vou mandar um e-mail para eles
• 13:19
  saber Gina, Fernandinho. Mas tudo, já que vocês liberaram
• 13:22
  o código todo, que tal, né? Agora, agora, agora, o estrago.
• 13:26
  É menor bom, mas brincadeiras à parte, Hein Fernandinha, que
• 13:28
  impacto que a gente teve agora para o mundo do desenvolvimento,
• 13:30
  né? Exato, quero ver as cenas dos
• 13:32
  próximos dos próximos capítulos de.
• 13:33
  Usina para ver os próximos mês, 2 meses das publicações dos
• 13:37
  outros com. Concorrentes, né?
• 13:39
  Quantas features eles não vão lançar?
• 13:41
  Otimizar por causa desses segredos industriais que vazaram
• 13:44
  do cloud? Né?
• 13:45
  E será também que não vai, né? Abrir realmente o caminho para
• 13:48
  ferramentas de fato? Eu penso, ó, se assim é, talvez
• 13:51
  alguma que fique reconhecida aí no mercado como uma.
• 13:54
  Ferramenta do code, né? Do code, né?
• 13:56
  Já que essas todas custam aí pelo menos 20 USD por usuário
• 14:00
  por mês, claro que essas elas acabam abstraindo o custo do
• 14:03
  consumo da PI, né? Mas enfim, às vezes fazendo toda
• 14:07
  essa gestão, porque como você? Certeza, né?
• 14:09
  O Cláudio tem lucro, né? Ele compra, ele cobra 25, mas
• 14:12
  com certeza não gasta os 25. anão ser que a bolha.
• 14:14
  Da bolha, né? Exatamente, aí tem a outra
• 14:17
  coisa, né? Mas enfim, pode ser que rodando
• 14:19
  uma instância dessa na sua própria máquina, você tem um
• 14:21
  custo menor, né? Cenas para os próximos
• 14:23
  capítulos, né, Fernandinho? É isso aí.
• 14:25
  A gente encerra então o nosso plantão de hoje.
• 14:27
  Se vocês não deram uma olhada, vale a pena passar lá no GitHub
• 14:30
  de curiosidade, de ver como é que foram feitos.
• 14:32
  Só. Pra ver o negócio assim?
• 14:32
  É coisa rápida, não se preocupa não.
• 14:35
  Deixa aí sua opinião, do que que você achou, se você viu lá
• 14:37
  alguma coisa que. Você achou muito interessante,
• 14:40
  uma. Fita é diferente, né?
• 14:41
  Exatamente. Ou o que que você já fez aí com
• 14:43
  o Cláudio? Porque eu sei que tem gente que
• 14:45
  já, como eu falei, né, já instanciou o Cláudio, já estava
• 14:47
  lá com sua instanciazinha rodando do Cláudio dentro da sua
• 14:50
  máquina, né? Dentro do seu, do seu Apple Mini
• 14:52
  lá. Conta pra gente que que você
• 14:54
  achou dessa notícia. E é isso aí, né, Dantas?
• 14:56
  Fechamos, né? Fernandinha?
• 14:58
  Tomem cuidado, validem sua segurança.
• 15:00
  Eu tenho muita certeza sobre os pacotes vocês estão publicando,
• 15:03
  viu, pessoal? Valeu, tchau, tchau.
• 15:04
  Até mais, tchau, até mais.