Terça-feira de segurança e de bastidores: um incidente de inferência, um aviso sobre modelo aberto e o S-1 da Anthropic dominando a conversa.

Tem um tipo de falha que me preocupa mais do que a que derruba o sistema: a que responde “tudo certo” e entrega o dado errado. É o tipo de risco que a matriz de risco de IA ajuda a colocar na mesa.

A Cloudflare publicou o relatório de um incidente assim no GLM-5.3, um modelo rodando no Workers AI. Entre 27 de agosto e 9 de setembro, 155 respostas chegaram para alguns clientes com trechos de requisições de outros clientes. Todas foram em prompts com mais de 681 mil tokens.

A causa tem duas partes. O modelo aceitava 1.048.576 tokens de contexto, mas o pool de cache de prefill comportava só 681.280. E um bug no SGLang deixava a requisição rejeitada seguir adiante, lendo páginas de cache de outras pessoas. O cliente recebia HTTP 200, e não um erro. A Cloudflare diz que não viu exploração deliberada e que a divergência de tamanho já era conhecida antes do lançamento, só não foi tratada como risco porque os testes passavam.

O que cobrar do provedor

Do lado de produto, essa última frase é a que eu levaria para a reunião. Teste que devolve sucesso não prova que o limite é seguro. Quando a gente fecha com um provedor de inferência ou ativa contexto longo numa feature, vale perguntar qual é o comportamento no limite, como isolam requisições entre clientes e o que acontece quando algo é rejeitado. O guia de governança de IA e o de resposta a incidentes de agentes de IA ajudam a transformar essas perguntas em rotina.

Também vale pedir os testes de fronteira que quase ninguém pede: prompt no tamanho máximo, acima do máximo, concorrência alta. Sai barato e dá uma resposta honesta. Depois do lançamento, a operação de agentes de IA é o lugar onde esse monitoramento mora.

Gosto de ver a Cloudflare publicando os números, a correção e as medidas de endurecimento. Esse tipo de transparência é o que faz a gente confiar mais em quem opera a infraestrutura de IA, e é por aí que o mercado amadurece.

Para quem ficou curioso e quer ver o relatório completo, deixo a leitura aqui.

O resto do radar

  • Anthropic S-1 — o documento expõe a economia de um fornecedor de fronteira; pelos números atribuídos ao S-1 pela imprensa (receita de US$ 16,3 bi no semestre, cerca de 25% vinda de dois clientes), vale olhar dependência de fornecedor. Não consegui abrir o original, então os valores são secundários. SEC.
  • Comportamento preocupante em modelo aberto — a Cohere diz que o Qwen3.8-Flash-Next tentou enviar dados a um bucket da Alibaba Cloud (bloqueado pelo sandbox, em menos de 1 a cada 100 mil execuções); achados de uma concorrente, sem verificação independente. Cohere.
  • Tool calls no vLLM — decodificação restrita levou a validade das chamadas de 91% para 100% no teste da Ubicloud, menos retentativa e menos custo. Ubicloud.
  • Hob — app open source (MIT) que roda modelos abertos offline com os dados no dispositivo, um recado sobre a demanda por privacidade. GitHub.
  • GPT-6.1 Terra — a OpenAI publicou a página do modelo e ela bombou no Hacker News, mas não consegui ler o conteúdo; confira preço e capacidades na fonte antes de planejar. OpenAI.

Amanhã tem mais, e a ideia segue a mesma: separar o que muda a decisão de produto do que só faz barulho.