1. Monark diz que milhares de programadores foram substituídos em um instante e entra oficialmente na lista de inimigos da bolha.

2. Por que todo CEO tem um orgasmo depois de subir um CRM no Lovable em 5 minutos?

3. A era do Software as a Toy: o SaaS deixou de ser diferencial e quem paga a conta agora é serviço.

4. Maycon Braga, o dev mais agoniado do TikTok: PHP na unha, tótem de senha, TV indoor e sistema de replay vendidos na porta do cliente.

5. Pra fechar, o casal que largou São Paulo pra morar na roça.

Patrocinadores desse episódio:

• FULL CYCLE: https://fcycle.co/pr-md-mba-ia

• ELEMENTS (cupom MANO): https://loja.elements.com.br/?utm_source=youtube&utm_medium=legenda&utm_campaign=manodeyvin

• CONTA DEV: https://links.chorume.dev/contadev-ig

Apoie esse conteúdo aqui no substack ou se tornando membro no YT

Mesmo modelo nos 2 lados (Claude Code com Opus 5), mesma máquina, mesma configuração. A única variável é a língua do prompt.

Os resultados

Nível 1: texto puro, 3 notas em Markdown
Português: US$ 0,2385
Inglês: US$ 0,2310
👉 Inglês 3% mais barato. Empate técnico.

Nível 2: API em Ruby on Rails do zero
Português: US$ 4,78
Inglês: US$ 6,16
👉 Inglês 29% mais caro.

Nível 3: auditoria de segurança num SaaS real
Português: US$ 8,94
Inglês: US$ 11,35
👉 Inglês 27% mais caro.

Os 30% apareceram, só que invertidos. Em texto puro deu empate. Nas 2 tarefas de agente, o português saiu mais barato.

O que eu tirei disso

O prompt não é a conta. O que pesou foi o que o agente leu e o que ele escreveu. Cache lido na casa dos milhões de token contra um prompt de alguns milhares.

Escreve na língua que você pensa melhor. A diferença é troco de pinga.

Quer economizar de verdade? COMPRE MEU CURSO… zoeira.

Aprende controlar o que o agente lê, humilha ele até ele começar a te dar respostas curtas e deixa o cache sempre ativado.

E outra… 1 rodada não é medição. Foi só um teste, não um veredito. Roda no teu projeto e me fala oq rolou.

• Pesquisador se demite da Anthropic dizendo AGI está próxima.

• O jaquetinha de couro, vulgo CEO da Nvidia crava que GPT-6 Astra é AGI.

• Jansen Moreira se infiltra no Discord da Lof Gang, gangue que caiu por um mod falso de Hello Kitty.

• Dev com 20 anos de PHP vira motorista de app e abre o papo de etarismo.

• Pra fechar o speed run do RH que corta seu acesso antes de te avisar que você foi demitido.

Patrocinadores desse episódio:

CONTA DEV: https://links.chorume.dev/contadev-ig
SOLYD: https://solyd.link/deyvin

Apoie esse conteúdo aqui no substack ou se tornando membro no YT

No papel o contrato dele é das 9 às 18, mas a indústria roda 24 horas e o telefone toca de madrugada, então ele dorme 2 ou 3 horas por noite, vive assombrado esperando o próximo plantão e só consegue desligar a cabeça quando sai pra correr.

Isso tem nome, algema de ouro, e ela existe aqui do mesmo jeito: nesse vídeo eu conto o caso do dev brasileiro que me procurou num evento e cujo chefe cobre toda proposta que ele recebe pra ele nunca sair, e a história de Lúcio Aneu Sêneca, que ficou milionário como professor particular de Nero, escreveu um livro inteiro convencendo um amigo a largar o emprego e, aos 60 anos, ofereceu devolver o patrimônio todo pra poder ir embora.

O chefe dele disse não. Esse vídeo não conclui nada, a resenha fica nos comentários.

Ainda tivemos o depoimento do Harley Bastos sobre layoff, o dev que fechou vaga na gringa por 3.5k num fluxo de IA conversando com IA, e o direito de resposta ao desafio do Eric Wendel. Mais a jaqueta do Mega Brain e os super chats de sempre.

Patrocinador desse episódio:

BLACK FRIDAY ANTECIPADA DA FULL CYCLE:
https://fcycle.co/02-09-lv-md-mba-ia

Links das tretas:

Thread no X sobre anti-regulamentação:

PL sobre regulamentação: https://www.camara.leg.br/proposicoesWeb/prop_mostrarintegra?codteor=2199105

PL sobre 4rmas para TI: https://www.tecmundo.com.br/internet/409044-deputado-cria-pl-para-liberar-armas-de-fogo-a-profissionais-de-ti-e-seguranca.htm

Programadores poderão ser MEI: https://www.bradojornal.com/noticias/politica/2026/03/09/programadores-poderao-se-formalizar-como-mei/

Outros Links

Vídeo do Harley

Thread no /r/brdev sobre vaga arrombada na gringa

Só que a Anthropic é americana, a lei ela é europeia, e a aplicação foi global e sem botãozinho para desabilitar.

Mas por motivos acadêmicos estou deixando aqui uma lista de repositórios PARA ESTUDO para entender como fazer essa remoção.

Guillaume Meyer / watermarks-remover

• Link: github.com/guillaumemeyer/watermarks-remover

• Estrelas: ~19 mil

• Stack: Python 3.10+ (stdlib, sem deps) + skill

blader / humanizer

• Link: github.com/blader/humanizer

• 39,4 mil estrelas

• Stack: Markdown (skill), multi-modelo

lynote-ai / humanize-text

• Link: github.com/lynote-ai/humanize-text

• 1,3 mil estrelas

• Stack: IA/LLM (HTML/JS, multilíngue)

devswha / patina

• Link: github.com/devswha/patina

• 167 estrelas

• Stack: Markdown em Coreano (en/ch/ja), skill

gonta223 / humanizer-ja

• Link: github.com/gonta223/humanizer-ja

• 88 estrelas

• Stack: Markdown em Japonês

ilyautov / humanizer-ru

• Link: github.com/ilyautov/humanizer-ru

• 86 estrelas

• Versão em Russo

MohamedAbdallah-14 / unslop

• Link: github.com/MohamedAbdallah-14/unslop

• 58 estrelas

• plugins de agente, markdown

Esse conteúdo é complemento desse vídeo aqui:

A bolha tech BR se parece muito mais com a bolha tech chinesa do que com a dos EUA. Só que as redes sociais apodreceram tanto a cabeça da galera que ninguém percebe o quanto estamos perto de um período de precarização.

Eu falo das falhas de seguranças mais comum nos SaaS, vídeo bateu mais de 100 mil views em pouco tempo e gerou uma repercussão boa.

Daí um dos inscritos me deu um feedback sobre os resultados e o que poderia ser melhorado no PROMPT, daí resolvi fazer a V2 e pra garantir que ele funciona em qualquer projeto, eu busquei 4 SaaS aleatórios com tecnologias diferentes e executei o prompt, tá documentado nesse vídeo aqui:

🤖 O prompt (copia e cola no Claude Code, Cursor, OpenCode, no que você usar)

Abre o teu agente na raiz do projeto e cola isso inteiro:

Revisa este código atrás de cinco falhas de segurança. Antes de começar, detecte a stack do projeto (linguagem, framework, ORM/query builder, mecanismo de auth, frontend, arquivos de deploy como Docker/CI/Helm/Terraform) e adapte cada categoria ao equivalente dessa stack:

1. BANCO SEM TRANCA (isolamento de inquilino/dono) — em Supabase é RLS ausente; em APIs próprias são queries de listagem/busca/agregação/relatório/exportação que não filtram pelo usuário autenticado ou pela organização/workspace/tenant ao qual ele pertence. Identifique primeiro QUAL é o mecanismo de isolamento do projeto (RLS, middleware de tenant, filtro manual por user_id, etc.) e aponte onde ele está ausente ou furado.

2. PERMISSÃO DEFINIDA NO NAVEGADOR — operações privilegiadas (admin, configurações, gestão de usuários, ações de escrita) em que o frontend esconde a UI por papel (isAdmin, canEdit, role...) mas o servidor NÃO faz a verificação equivalente. Cruze cada gate de papel do frontend com o endpoint correspondente e confirme se o backend valida o privilégio em toda rota sensível.

3. IDOR — rotas que buscam, alteram ou deletam um objeto por ID (path, query ou body) sem verificar se o objeto pertence ao usuário/tenant do chamador. Percorra sistematicamente TODOS os handlers de rota do backend, não amostras.

4. CHAVES EXPOSTAS (hardcode) — API keys, tokens, senhas, segredos de assinatura (JWT, webhooks), chaves privadas e credenciais padrão embutidos no código-fonte, configs, docker-compose, charts, CI, scripts e documentação. Atenção especial a defaults públicos que viram segredo real se não forem sobrescritos (ex: ${VAR:-valor-default}) e à ausência de validação de startup que rejeite esses defaults. Verifique também o histórico git por segredos commitados e o bundle do frontend por chaves embutidas.

5. INPUTS SEM TRATAMENTO (XSS) — no frontend: innerHTML/dangerouslySetInnerHTML/equivalentes do framework (v-html, [innerHTML], dangerouslySet...), renderização de markdown/HTML sem sanitização, URLs controladas por usuário em href/src (javascript:), eval/new Function. No backend: input do usuário entrando em HTML de e-mails, templates ou respostas sem escape. Verifique se existe lib de sanitização no projeto e se ela é aplicada nos pontos encontrados.

REGRAS DA AUDITORIA:
- Reporte apenas achados verificados no código real. Nada de especulação. Para cada achado: caminho do arquivo, número(s) exato(s) da linha, trecho do código, por que é explorável e severidade (crítica/alta/média/baixa/informativa).
- Liste arquivo por arquivo, linha por linha.
- Registre também o que foi verificado e está CORRETO (ex: "router X valida posse em todos os handlers") — isso vira a seção de pontos fortes e prova a cobertura da auditoria.
- Quando a categoria não se aplicar à stack (ex: projeto sem frontend), diga isso explicitamente em vez de forçar achados.
- Note condições de explorabilidade (feature flags, config insegura necessária, etc.).

DEPOIS DA AUDITORIA, gere um RELATÓRIO EM PDF, visualmente amigável, em pt-BR, salvo em docs/security-audit/relatorio-auditoria-seguranca.pdf, contendo:

a) Capa: título "Relatório de Auditoria de Segurança — <nome do projeto>", data, escopo auditado e nota metodológica (como cada categoria foi mapeada para a stack detectada).
b) Resumo executivo: total de achados por severidade, gráfico de rosca por severidade e gráfico de barras por categoria. Paleta: crítica #B91C1C, alta #EA580C, média #D97706, baixa #2563EB, ponto forte #059669.
c) Pontos fortes (o que está protegido, com evidência) e pontos fracos (os riscos centrais).
d) Tabela de achados detalhados por categoria: Severidade | Arquivo:linha | Descrição, com chip de severidade colorido.
e) Recomendações priorizadas (P1, P2, P3...).
f) AO FINAL DO PDF, uma seção "ISSUES PARA O GITHUB": para cada achado acionável, o texto COMPLETO de uma issue em Markdown, pronto para copiar e colar, dentro de um bloco delimitado (ex: entre --- ISSUE n --- e --- FIM ISSUE n ---). Cada issue deve conter:
- Título no formato "[Segurança] <descrição curta da falha>"
- Labels sugeridas: security + severidade
- Descrição do problema e por que é explorável
- Evidência: arquivo:linha com trecho de código
- Impacto
- Sugestão de correção
- Critérios de aceite (checklist verificável)
Agrupe achados triviais relacionados numa issue única quando fizer sentido (ex: vários defaults de segredo no mesmo tema), para não gerar spam de issues.

GERAÇÃO DO PDF — REGRAS TÉCNICAS:
- Não instale nada globalmente. Use ambiente isolado (venv Python com reportlab+matplotlib, ou ferramenta equivalente da stack local; se houver navegador headless/wkhtmltopdf/pandoc disponível, HTML→PDF também vale).
- Deixe o script gerador em docs/security-audit/ para regerar o relatório depois.
- Verifique o PDF gerado: número de páginas, renderização dos gráficos e legibilidade das tabelas (rasterize as páginas se possível). Corrija defeitos visuais antes de entregar.
- Páginas A4, margens ~2cm, cabeçalho/rodapé com nome do relatório e número de página.

Me entregue ao final: o relatório em PDF, a lista de achados no chat (arquivo por arquivo, linha por linha) e o caminho de todos os arquivos gerados.

🧠 O que tem de novo na versão desse prompt?

1️⃣ Ele detecta a stack antes de procurar.

“RLS desligado” só existe em Supabase. Se o teu projeto é Rails, Laravel, Next ele faz um filtro manual por user_id, middleware de tenant, scope no ORM.

2️⃣ Análise linha por linha

Ele acha a falha e aponta exatamente a linha que está com problema, por exemplo:

“routes/orders.ts:42 busca por ID sem checar o dono”

A versão anterior ele dizia apenas:

“Você tem problema de IDOR”

3️⃣ Ele vasculha o histórico do Git.

O prompt anterior o foco era a codebase, essa versão ele vasculha todo seu histórico do git em busca de alguns vacilos como por exemplo uma chave que vc commitou e apagou, mas continua no histórico

4️⃣ Ele registra também o que tá CERTO.

Pra não bater a síndrome do impostor achando que tudo que vc faz tá errado, eu adicionei nele uma sessão que lista o que tá certo na sua condebase.

E pra fechar, ele gera um PDF lindão com todas as issues escritas em markdown, que você pode usar pra abrir uma issue no github ou então jogar no peito do seu agente.

🎯 Os 4 projetos que eu rodei

Achei os quatro em posts do r/brdev

1️⃣ Curió - app de notas, tarefas e lembretes em Flutter.
🔗 post no r/brdev · homi-lindo/curio (GPL-3.0)

2️⃣ Cofre Investimentos - carteira, cálculo de imposto de renda com importação do CSV da B3.
🔗 post no r/brdev · claudiorico/gestao-de-ativos-ai (MIT) · app no ar

3️⃣ Login com WhatsApp - um “entra com o WhatsApp” que você sobe na tua própria infra, em Docker, sem depender de Twilio nem de ninguém.
🔗 post no r/brdev · caiopizzol/whatsapp-web-api (MIT)

4️⃣ OpenBSP - o chefão, mais de 550 estrelas, roda em produção, atende cliente por WhatsApp e Instagram ligado direto na API da Meta.
🔗 post no r/brdev · matiasbattocchia/open-bsp-api · open-bsp-ui (Unlicense)

Subscreva agora

✅ EXTRA: O checklist antes de você fazer o deploy

• Rodei o prompt e li o PDF inteiro, não só o resumo executivo

• Todo endpoint que recebe um ID valida o dono antes de responder

• Toda listagem/busca/exportação filtra pelo usuário ou tenant logado

• Toda permissão que o frontend esconde, o servidor confere de novo

• Nenhum segredo no código, no bundle do front, no docker-compose ou no CI

• Rodei a busca no histórico do Git e revoguei o que apareceu, não só apaguei

• Todo input do usuário é validado e sanitizado antes de virar HTML

• Se é Supabase: RLS ligado em toda tabela e service_role fora do frontend

• Os achados viraram issue (endurecimento) ou advisory privado (explorável)

📡 E se você quer acompanhar a bolha de tecnologia sem romantização e sem papinho de vendedor de curso cola na live, quarta, 10 da manhã.

Tmj, forte abraço,
Mano Deyvin 🤙

Partilhar @manodeyvin

🚀 PARCEIROS

CONTA DEV: https://links.chorume.dev/contadev-ig
FULL CYCLE: https://fcycle.co/26-8-lv-md-mba-ia
SOLYD: https://solyd.link/deyvin

🚀 PATROCINADORES

• CONTA DEV: https://links.chorume.dev/contadev-ig

• APP MAX: https://links.chorume.dev/appmax

• FULL CYCLE: https://fcycle.co/22-06-lv-mba-ia

• CONTA DEV: https://links.chorume.dev/contadev-ig

• FIND MY SAAS: https://find-my-saas.com/

• CADEIRA ELEMENTS: https://links.chorume.dev/elements (CUPOM: MANO)

• CONTA DEV: https://links.chorume.dev/contadev-ig

• APP MAX: https://links.chorume.dev/appmax

• FULL CYCLE: https://fcycle.co/22-06-lv-mba-ia

• CONTA DEV: https://links.chorume.dev/contadev-ig

• FIND MY SAAS: https://find-my-saas.com/

• CADEIRA ELEMENTS: https://links.chorume.dev/elements (CUPOM: MANO)

Meu jogador, primeiro vou te falar das 5 vacilações e depois vou te mostrar quais ferramentas open source vc vai usar para resolver isso.

🚨 Os 5 problemas comuns

1 - RLS desligado no Supabase/Firebase

RLS desligado no Supabase/Firebase daí qualquer um com conhecimento básico leva seus dados pelo terminal do chrome.

2 - Regra de negócio no frontend (admin)

Basicamenteo deixar toda responsabilidade de validação de qualquer coisa do lado do frontend, e o pior decidir que é admin ou não através de um Ifzinho num menu (sidebar).

3 - Fetch de dados no backend sem Auth

Quando você chama uma rota de um backend ele devolve os dados sem validar se o usuário (autenticado por bearer token) que está pedindo tem permissão para ver aquele dado.

4 - Chave Secreta exposta

O que é: API key / .env no bundle do front ou no repositório Git público.

5 - Confiar em tudo que digitam

O que é: input sem tratar → XSS, upload de qualquer arquivo, sem rate limit.

Antes que vc se sinta burro calma…

• 🧪 A galera da Symbiotic Security escaneou 1.072 apps vibe-coded. 98% tinham pelo menos uma falha. Só 26 dos 1072 passaram limpos.

• 📉 A Veracode achou falha do OWASP Top 10 em 45% do código gerado por IA, e um estudo de Stanford mediu que dev usando IA produz ~40% mais vulnerabilidade e não porque a IA seja burra, mas porque o dev confia e não revisa e/ou acreditou naquele papo de ser prompt engineer sem saber fundamentos era suficiente.

🛠️ As 4 ferramentas pra você resolver (+ bônus)

1 - OWASP ZAP: escaneia o app no ar

Repo: https://github.com/zaproxy/zaproxy

É da OWASP Foundation, ONG, sem dono comercial.

Das quatro, é a única “comunidade pura” de verdade. Você aponta pra URL da sua aplicação e ela sai batendo em tudo procurando porta aberta.

✅ Baixa ela em zaproxy.org.

✅ Dá pra integrar com o Claude Code / OpenCode.

2 - Gitleaks: caçadora de API-KEY vazado

Repo: https://github.com/gitleaks/gitleaks

MIT, comunidade. Acha chave e senha no seu código e no histórico do Git inclusive naquele commit que você apagou e achou que tinha sumido (não sumiu).

# instala (mac)
brew install gitleaks

# roda na raiz do projeto
gitleaks detect --source . -v

✅ Apareceu chave? Considere ela vazada. Já revoga e gera outra.

3 - Bandit: Se o teu SaaS é Python

Repo: https://github.com/pycqa/bandit

Do PyCQA, a comunidade do Python. Acha os padrões perigosos: input sem tratar, senha hardcoded, função insegura.

pip install bandit
bandit -r ./seu_projeto

4 - Opengrep: motor de análise estática de código (SAST)

Repo: https://github.com/opengrep/opengrep

Esse é o fork da Semgrep que falei anteriormente, tocado por um consórcio justamente pra não ter dono.

Roda regra em cima do código procurando SQLi, XSS, segredo.

🧯 Código illuminatti pra executar agora…

Supabase + Vibecoding == vazamento em massa

Ferramenta tipo Supabase e Firebase funciona diferente do que você tá acostumado: o banco fala direto com o navegador do cliente, sem servidor no meio filtrando nada. Pra travar isso tem uma parada que se chama RLS (Row Level Security) é a regra onde diz que “esse usuário só vê os dados dele“.

O grande problema é: ela vem desligada.

Pra cada tabela do teu banco, faz o seguinte:

ALTER TABLE public.sua_tabela ENABLE ROW LEVEL SECURITY;

Só isso já fecha a porta pra quem não tá logado.

Depois você configura as policies.

🔴 A chave service_role NUNCA vai pro frontend. Ela pula todo o RLS, é a chave mestra. No navegador só a anon.

CVE-2025-48757 vazou dado de mais de 170 aplicativos de uma vez.

1 linha de SQL resolvia toda essa parada.

🔑 E a chave de API paizão?

Esse é o vacilo 4. Pra gente ficar na mesma página:

Toda integração te dá uma chave (gateway, e-mail, a própria API de IA). E tem uma parada que muito vibe coder não sabe: quando você faz o build do frontend, toda variável vira JavaScript que qualquer um lê abrindo o “inspecionar”.

Você acha que escondeu. Mas tá lá exposto bonitinho pra qualquer um ver.

E não é exagero não: só em 2024 vazaram 24 milhões de segredos no GitHub, e o tempo médio pra um bot colher uma chave exposta é de poucos minutos depois do commit.

“Ahh mas mas será que eu sou tão importante assim??”

Calma… segura sua síndrome do protagonista… não é nenhum hacker que está te monitorando é bot arrendo o GitHub inteiro, 24h por dia.

O padrão pra resolver chama BFF (Backend for Frontend): o front nunca fala com a API de terceiro, ele fala com um endpoint teu, e o teu servidor que ninguém abre no inspecionar guarda a chave.

Tá explicado direitinho no post do GitGuardian.

E o .env no .gitignore antes do primeiro commit e não depois. (eu sei que isso é básico, mas é bom avisar).

🤖 O prompt da auditoria illuminati [copia e cola no Claude Code / Cursor]

Se você leu tudo e ficou com preguiça e não quer instalar nada agora, calma.

Copia isso aqui e joga no peito do teu agente:

Revisa este código atrás das 5 falhas mais comuns 
em app gerado por IA: (1) tabelas de Supabase/Firebase sem RLS; 
(2) autorização decidida no frontend em vez do servidor; 
(3) rotas que buscam por ID sem checar o dono (IDOR); 
(4) segredos/API keys expostos no código ou no bundle; 
(5) input do usuário sem validação/sanitização e upload sem checar tipo de arquivo. 
Lista cada achado com arquivo, linha e como corrigir.

Ele vai achar, vai doer, mas é melhor chorar agora do que depois.

✅ Salva o checklist illuminati [antes de todo deploy]

• RLS ligado em toda tabela do Supabase/Firebase + policies por usuário

• service_role / chave de admin fora do frontend

• Toda decisão de permissão conferida no servidor (não só no navegador)

• Todo endpoint que recebe ID valida o dono antes de responder

• Nenhuma API key / segredo no código do front ou no Git (.env no .gitignore)

• Todo input validado e sanitizado; upload checa o tipo de arquivo

• Rate limit nos endpoints sensíveis (login, resgate, verificação)

• Rodei um scanner (ZAP / Gitleaks / Bandit / Opengrep) antes de subir

Conclusão

Resumindo:

🧠 A IA não deixou essas portas abertas de sacanagem. Ela fez o que você pediu e ninguém pede “e deixa trancado”. Segurança é a única parte que VOCÊ tem que lembrar de colocar nos seus prompts, mas ninguém faz pq ela não tem nenhum resultado visual.

Por isso eu acho que o mundo deveria ter mais backends do que frontends, pq nós backends estamos acostumados de nosso trabalho não ter nenhum prestígio por pessoas de fora.

💬 Agora é congito meu PRO PLAYER de Claude Code

• 🔓 Qual desses 5 vacilos você já cometeu?

• 🧪 Rodou o scanner e achou coisa? Conta o que apareceu.

📺 Se você ainda não viu, o vídeo completo com os casos reais tá aqui

👉 SEU SAAS FEITO COM IA VAI SER HACKEADO EM 10 MINUTOS

📚 Todas as fontes, na ordem do texto

1. 🧪 Symbiotic Security — 1.072 apps vibe-coded escaneados, 98% com falha

2. 📉 Veracode / OWASP Top 10 em código gerado por IA (45%)

3. 🎓 NowSecure — o que as falhas OWASP em código de IA significam (Stanford, +40%)

4. 🛡️ OWASP ZAP — scanner dinâmico da OWASP Foundation

5. 🔌 dtkmn/mcp-zap-server — ZAP via MCP no Claude Code / OpenCode

6. 🔑 Gitleaks — caça segredo no código e no histórico do Git

7. 🐍 Bandit (PyCQA) — análise estática pra Python

8. 🏴 Opengrep — o fork livre da Semgrep

9. 🧨 Wiz — riscos comuns em apps vibe-coded (CVE-2025-48757, +170 apps)

10. 🔐 vibeappscanner — Supabase, RLS e o CVE

11. 💸 GitGuardian — 24 milhões de segredos vazados e o padrão BFF

12. 🔢 XHack — BOLA/IDOR, o #1 do OWASP API Security

13. 📋 OWASP API Security Top 10

Complemento do vídeo 👉 Claude Code: os gênios trocaram de lado. Em 6 meses.. No vídeo eu conto a treta com resenha. Aqui embaixo tá tudo com fonte, link por link, pra você conferir cada afirmação e sair com a lista de leitura da semana.

Deixa eu adivinhar uma coisa sobre você.

Você abre o Claude Code, o Cursor, seja lá o que for, e no fundo bate aquela vozinha fdp:

“Será que eu tô fazendo isso do jeito errado?”

Aí você entra no X e vê um mano jurando que o certo é só usar autocomplete. Rola mais um pouco e tem outro dizendo pra largar tudo pro agente. Mais embaixo, um terceiro mandando NÃO usar agente nenhum. E ainda tem o maluco que bota a IA rodando sozinha de madrugada, queimando dólar de API enquanto dorme. 🔥💸

E você no meio disso tudo, achando que tá ficando burro, gastando token à toa, e, presta atenção nessa, trabalhando MAIS, não menos.

Calma paizão…

🧠 Não é você. Não existe consenso. E os dois maiores caras que diziam “faça na unha, não terceirize seu cérebro” trocaram de lado nos últimos seis meses.

Vou te provar com links.

🎚️ Primeiro, o botão de volume

Antes de sentar o pau (lá ele/ai dentu) em cada escola, deixa eu organizar esta parada na tua cabeça, pra vc não ficar maluco…

Quem me ajudou a organizar foi o Andrej Karpathy, ele mesmo aquele arrombado que inventou o termo “vibe coding”.

Ele fala de uma parada chamada autonomy slider. Pensa no controle de volume do rádio do carro. 🎛️ Só que em vez de volume, é o tanto de rédea que você solta pra IA:

• 🔉 Abaixa tudo: ela cochicha uma sugestão e quem faz é você.

• 🔊 Aumenta no talo: você fala o que quer, vira as costas, e a máquina se vira sozinha.

A sacada é essa: toda escola que eu vou te mostrar é só um ponto nesse volume. Ninguém é dono da verdade, cada um escolheu um lugar pra deixar o botão.

[ihh… calma, não fala lá ele ainda]

Só que o Karpathy soltou uma frase, lá na Sequoia, que é a coisa mais braba desse texto inteiro:

💬 “Você até consegue terceirizar o seu pensamento. Agora o seu entendimento, esse não dá pra passar pra frente.”

Grava isso.

Não importa a escola que você seguir, entender o que tá rolando ali continua sendo problema TEU.

Quem esquece disso vira refém. E você vai ver dev virando refém dos dois lados desse botão. 📎 (A palestra tá aqui, vale o play: Karpathy na Sequoia, 2026.)

Agora bora abrir as cinco escolas, da mais de boa pra mais hardcore. 🥊

1️⃣ Escola do autocomplete: a IA sugere, você dirige

A primeira é a mais tranquila: a IA sugere, você dirige. Fim.

Isso é o Cursor Tab, é o GitHub Copilot, que, aliás, o nome já entrega a filosofia. Co-pilot. Copiloto. O próprio GitHub bate na tecla de que “você é o piloto”.

A máquina senta do lado, aponta o caminho, mas a mão na manivela é sua.

Por que essa galera defende isso?

Porque LLM alucina, mano, inventa função que não existe com a maior cara de pau. Então o humano fica no volante, revisando cada sugestão, e nunca aceita nada que não leu.

É a escola do dev que ainda tem calo. Não tem glamour nisso, ninguém fica rico vendendo curso disso.

Apesar de eu ter falado com o Akita que trabalhava assim e ele me disse que eu estavam em 2023 mas é quem menos toma susto no fim do mês.

Agora segura essa ideia com suas 2 mãos “menos susto”, porque na próxima escola tem gente tomando susto de centena de dólar. 😅

2️⃣ Escola do agente: delega tudo e vira babá

O oposto. Você para de digitar e vira tipo um tech lead de um estagiário que trabalha na velocidade da luz e não te enche o saco com perguntas chatas antes de pesquisar qualquer coisa.

Aqui mora a galera do Claude Code, do terminal agêntico illuminatti.

O Thorsten Ball, que constrói um agente chamado Amp, fala numa boa que o agente escreve uns 70, 80% do código que ele commita, que quase não escreve mais na mão.

O Steve Yegge, lenda viva, lançou um livro dizendo que o trabalho novo do dev vai ser pouco código e MUITA babá de agente.

E tem a versão adulta pagadora de conta disso, o spec-driven: em vez de prompt solto, você escreve uma especificação bem feita e o agente constrói a partir dela.

O Sean Grove, da OpenAI, resume assim:

“A especificação é o artefato valioso, o código é só uma projeção dela. O documento importa mais que o código.”

E é aqui que a história fica boa. Porque foi nessa escola que os dois gênios pousaram, depois de jurarem de pés juntos que nunca fariam isso. 👀

🔄 A defecção (a parte que dói)

Primeiro: o DHH. O criador do Ruby on Rails. O mano que rodou boa parte da minha carreira. Em 2025, ele falava assim sobre usar IA pra codar: que conseguia literalmente sentir a competência escorrendo pra fora dos dedos. Comparava com aprender violão, você aprende com os dedos, não vendo vídeo. Anti-agente raiz.

Seis meses depois? Virou agent-first em tudo. Hoje o DHH começa toda tarefa jogando pro agente autônomo, diz que digitar na mão “agora é tedioso”, e compara usar agente a vestir uma armadura de mech.

O mesmo cara. Seis meses.

Mas pera… que o segundo é ainda mais brabo.

O Antirez. O criador do Redis, esse mano aí de cima com skin de pai de divorciado, é um dos programadores mais respeitados vivos.

Em 2025 ele escreveu um post que virou a bíblia dos anti-agente: escreve o código na mão, o agente deixa a base frágil e inchada.

Adivinha. Começo de 2026, ele volta e escreve, com todas as letras, que pular a IA não vai ajudar você nem a sua carreira. Passou a usar Claude Code de forma agêntica e batizou de “automatic programming”. Os dois maiores nomes anti-agente do planeta jambrolaram a própria posição.

E é aí que eu te pergunto:

❓ Se o criador do Rails e o criador do Redis não conseguem segurar uma opinião por doze meses… por que raios você tá aí achando que VOCÊ é o errado??

Guarda o nome do antirez. Porque a escola seguinte é a que ele abandonou, mas ele levou um princípio no bolso, e esse princípio é o coração de tudo. 🔑

3️⃣ Escola do “na unha”: a que fugiu 🏃

Papo reto, sendo bem honesto contigo essa é a escola mais coerente da história, e é justamente a que tá sendo abandonada.

O argumento vem de um cara chamado Peter Naur, num documento de 1985. Quarenta anos atrás.

O nome é “Programming as Theory Building”, programar como construção de teoria. E a tese é uma soco na barriga:

🧩 Um programa não é o código. O código é resíduo. O que vale é a teoria, o modelo mental de POR QUE aquele sistema funciona, e isso só existe na cabeça de quem construiu.

Sentiu o golpe? O agente cospe código, mas nunca fez o trabalho, então nunca teve a teoria. E se ele faz tudo, VOCÊ também não constrói essa teoria. Aí o sistema quebra três da manhã e não tem IA que salve, porque ninguém, nem você, entende aquilo.

Tem um nome moderno pra isso, do Addy Osmani, do Google: dívida de compreensão, a conta que não faz barulho na hora, mas chega.

Só que os donos dessa escola fugiram.

Sobrou o apenas Naur, que morreu em 2016 e não pode trocar de lado.

Mas (e é por isso que mandei guardar o nome dele) o Antirez, quando virou a casaca, levou um princípio no bolso. Ele separa duas coisas:

• ✅ “automatic programming”: usar o agente com direção e com crivo de qualidade, onde ele crava que o código que gera desse jeito é DELE.

• ❌ vibe coding: aceitar o que a máquina cospe no chão, sem pensar.

Tradução: pode usar o agente. Mas a teoria tem que continuar entrando na TUA cabeça.

Senão você não é dev, você é um rato que aperta botão esperando recompensa.

4️⃣ Escola do loop: o extremo 🌀

A ponta mais radical do slider. O loop.

Tem um cara, o Geoffrey Huntley, que criou um método e batizou de (não é zoeira) “Ralph Wiggum”. Sim, o menino burro dos Simpsons.

O esquema é doentio: você bota o agente num loop infinito, sem NENHUM humano no meio, errando e tentando de novo a noite inteira até passar nos testes.

O repositório se vende dizendo que reduz o custo de software pra menos que o salário de um atendente de fast food, cravam um valor por hora e mandam ver.

É o sonho dos Illuminattis do Vale, né? Dev que não pensa, não discute, só aperta enter e paga a conta da API.

Mas sendo honesto novamente: nem quem AMA agente engole o loop puro.

O Armin Ronacher, criador do Flask, usa agente o dia todo, e mesmo ele admitiu que nesse futuro o papel dele virou o de um mensageiro, e que ele ressente isso. Até o convertido tem medo. Isso te diz alguma coisa. 😬

🐣 E quem tá começando agora, no meio desse caos?

Aqui a briga é feia:

• 💀 Tem gente séria como o Namanyay Goel dizendo que a IA cria programador braindead.

• 🚀 E gente do peso do Andrew Ng dizendo que é a melhor hora da história pra aprender.

Minha visão (que vale menos que um mijo de cachorro): começa sim, mas usa a IA como professor que te faz ENTENDER, não como muleta. Senão você vira aquele Front Enzo emocionado formado em bootcamp de pandemia que só sabe repetir jargão técnico sem entender o fundamento das coisas.

E tem o dado que ninguém no YouTube brasileiro vai te mostrar. O único estudo sério de verdade, o METR, pegou dev experiente e viu que, no início de 2025, com IA, o cara ficou 19% mais LENTO. Só que jurava que tinha ficado 20% mais rápido. 📉

E, sendo justo, porque esse canal não é de meia verdade, a própria METR voltou em 2026 e disse que, com as ferramentas melhores, esse número provavelmente melhorou. Beleza. Mas o que envelhece bem é o autoengano: o cara achando que tá voando enquanto rasteja.

🏁 Fechando a conta

Cinco escolas. Cinco gênios. Cinco “jeitos certos”. E ZERO consenso. Com os donos da escola mais séria fugindo pela porta dos fundos em seis meses.

A verdade é essa:

✈️ Não existe consenso porque a ferramenta tem 18 meses de vida. A gente tá escrevendo o manual de voo com o avião já no ar. Ninguém sabe. Nem os gênios, eles trocam de lado a cada semestre.

Então PARA DE SE COBRAR PORRA!!

Escolhe a merda da escola que te faz PRODUZIR hoje.

Mas desconfia com todas as forças de qualquer um que te venda o método dele como “o jeito certo”, inclusive de mim.

Porque em tecnologia, “o jeito certo”, quase sempre, é só o jeito de quem tá vendendo a ferramenta. 🤝💰

E lembra da frase do Karpathy, lá do começo: dá pra terceirizar o pensamento. O entendimento, não. Escolhe a escola que você quiser, mas não larga a única coisa que é só sua. 🧠

💬 Agora é com você

Me responde sincero aqui nos comentários:

• 🎚️ Em qual dessas cinco escolas você tá hoje?

• 🔄 Você já trocou de lado tipo o DHH?

📺 Se você ainda não viu, o vídeo completo com a resenha tá aqui

👉 ASSISTA NO YOUTUBE.

📡 E se você quer entender o mercado de tech sem hype e sem ninguém te empurrando curso, cola nas lives, quarta e quinta, 10 da manhã.

Tmj, forte abraço,
Mano Deyvin 🤙

📚 Todas as fontes, na ordem do texto

1. 🎚️ Andrej Karpathy, Sequoia Ascent 2026 (o “autonomy slider”)

2. ⌨️ Cursor Tab, a escola do autocomplete

3. ✈️ GitHub Copilot, “você é o piloto”

4. 🤖 Thorsten Ball (Amp), “o agente escreve 70 a 80% do código”

5. 👶 Steve Yegge, livro “Vibe Coding” (a babá de agente)

6. 📄 Sean Grove (OpenAI), “a especificação é o artefato valioso”

7. 🎸 DHH em 2025, “a competência escorrendo dos dedos”

8. 🦾 DHH em 2026, agent-first em tudo

9. 📕 antirez em 2025, “não use agentes”

10. 🔄 antirez em 2026, “automatic programming”

11. 📜 Peter Naur, “Programming as Theory Building” (1985)

12. 🧾 Addy Osmani, dívida de compreensão

13. 🌀 Geoffrey Huntley, o método “Ralph Wiggum”

14. 😬 Armin Ronacher (Flask), “The Coming Loop”

15. 💀 Namanyay Goel, “braindead coders”

16. 🚀 Andrew Ng, “a melhor hora da história pra aprender”

17. 📉 Estudo METR, dev 19% mais lento com IA (início de 2025)

Principais tópicos:

1. Golpe da filha de Bill Gates (Phoebe Gates) — Cookie Stuffing
A startup de compras “Fia”, cofundada por Phoebe Gates, foi acusada de cookie stuffing: a extensão do Chrome da empresa sobrescrevia cookies de afiliados legítimos para roubar comissões de vendas que não gerou. Davin explicou como o esquema funciona, citou casos nos EUA em que a prática resultou em prisão (caso do maior afiliado do eBay), e alertou que extensões de “cupom de desconto” no Brasil frequentemente fazem o mesmo.

2. Vídeo viral: “A IA destruiu minha sanidade” (canal Brulette)
Uma gerente sênior de dados que trabalhou 8 anos em uma big tech pediu demissão após a empresa demitir todo o seu time e substituí-lo por agentes de IA. Davin debateu como a gestão está implementando IA de forma irresponsável — cobrando produtividade ilimitada sem entender os gargalos reais, como a etapa de revisão do que a IA produz.

3. O Scrum morreu com a IA?
Discussão sobre como o processo tradicional de desenvolvimento (discovery, refinamento, QA, code review) está sendo atropelado pela pressão por entregas via IA, e por que as etapas de QA e revisão humana são hoje os maiores gargalos — e as áreas com mais futuro segundo Davin.

4. Café com teu Python — dilema de carreira
Um ouvinte postou no subreddit da comunidade perguntando se vale a pena conciliar estágio remoto de dev + emprego CLT presencial de suporte + faculdade. Davin respondeu: se não há necessidade financeira urgente, o melhor é focar nos estudos durante a faculdade; e alertou que a promessa de “virar dev pelo suporte” é, na maioria dos casos, bait.

5. Vibe coding, segurança e o rollback da IA agêntica
Davin defendeu que o hype de IA agêntica vai diminuir por conta do custo crescente de tokens, e que o próximo ciclo será um retorno ao uso pontual da IA (estilo Cursor). Reforçou que vibe coders precisam contratar profissionais de cibersegurança para auditar seus projetos.

━━━━━━━━━━━━━━━━━━━
🚀 PARCEIROS
━━━━━━━━━━━━━━━━━━━

FULL CYCLE: https://fcycle.co/22-06-lv-mba-ia
CONTA DEV: https://links.chorume.dev/contadev-ig

Read more

Patrocinadores

FULL CYCLE: https://fcycle.co/22-06-lv-mba-ia

CONTA DEV: https://links.chorume.dev/contadev-ig

APP MAX: https://links.chorume.dev/appmax

FIND MY SAAS: https://find-my-saas.com/

CADEIRA ELEMENTS: https://links.chorume.dev/elements

A semana que a conta da IA chegou. Tim Cook saiu ao vivo na WWDC. Oracle demitiu 30 mil com receita subindo 22%. E a Anthropic pediu pausa global em IA enquanto protocola IPO de $1 trilhão.

TL;DR:

• 💸 Empresas cortaram acesso à IA depois de 2 anos mandando todo mundo usar

• 🍎 Tim Cook anunciou saída na WWDC ao vivo. Siri virou Gemini.

• 🤯 Anthropic pediu pausa global em IA e protocolou IPO de $965 bilhões na mesma semana

• 💀 Oracle demitiu 30 mil com receita subindo 22%

• 📉 183 mil demitidos em tech em 2026. 55% citam IA como causa.

• 🔴 Chrome vai matar o uBlock de vez via Manifest V3

💸 Mandaram usar IA. A conta chegou. Cortaram o acesso.

Empresa ficou 2 anos mandando “use IA pra tudo”, se rebrandeou como “AI first”, fez 2 rodadas de demissão, e cortou o acesso ao Claude por custo. Outra empresa com 1.000 devs viu a cota do Copilot sumir em horas no dia 1. Outra media adoção de IA no standup, a galera usou, custo explodiu, mandato cancelado sem comunicado.

O ciclo tem três fases: hype, mandato, fatura. A terceira chegou.

• Empresa cortou acesso ao Claude

• Empresa perdendo a cabeça com custos de IA

• Mandato silenciosamente cancelado

🍎 Tim Cook saiu. Ao vivo. Na WWDC.

Não foi press release. Foi na keynote, em tempo real. Sai em setembro, assume John Ternus. 15 anos de era encerrados ao vivo. iOS 27 vem com Siri rodando em cima do Gemini, Claude disponível como extensão. A Apple terceirizou a inteligência do iPhone pro Google.

Fonte: TechCrunch, jun/2026

🤯 Anthropic: pausa global em IA + IPO de $1 trilhão. Na mesma semana.

Publicaram post pedindo pausa em IA de fronteira. Na mesma semana, protocolaram S-1 na SEC com valuation de $965 bilhões. Ainda lançaram o Fable 5 com restrição oculta em pesquisa de IA e life sciences, a Microsoft bloqueou os funcionários de usar, a comunidade explodiu, e eles voltaram atrás em 24h sem comunicado.

A empresa da “IA segura e ética” faz censura silenciosa, apanha, recua sem dar explicação, e corre pro IPO enquanto pede pausa no mundo.

• Fable 5 handicapado em IA research

• Microsoft bloqueia Fable 5

• Anthropic volta atrás em 24h

• Pausa global + IPO de $1T

🎯 Outros Highlights da Semana

Oracle demite 30 mil. Receita subiu 22%. 💀

18% do headcount global. Cloud cresceu 44%. O dinheiro vai pra IA e data centers. TechTimes, jun/2026

183 mil demitidos em tech em 2026. Projeção: 370 mil até dezembro. 📉

247 eventos de layoff. 55% citam IA como causa. Wix (1.000), Nike (1.400), Coinbase (700) só essa semana. TechSpot, jun/2026

Microsoft cortou o cordão com a OpenAI no Copilot. 🔪

Modelo próprio (MAI-Code-1) substituindo o GPT-4 Turbo a partir de agosto. Roda nos chips Maia da Microsoft. TechTimes, jun/2026

Chrome matando o uBlock. De vez. 🔴

Manifest V3 cortando os bypasses do uBlock Origin. Edge e Opera seguem. Firefox ainda roda o uBlock completo. r/technology, 7.708 pts

GitHub bloqueado no Brasil. Quase. 😤

Indícios de bloqueio nacional de api.github.com por autoridades brasileiras. npm, pip, todo ecossistema de dependência pendurado nisso. r/brdev

“Fui demitido pela IA.” Relato pessoal. 😶

Dev BR, empresa americana, RTO de 3 meses em San Francisco. Primeiro relato pessoal verificável que circulou com força. r/brdev, 294 pts

George Hotz: agentes de IA vão gerar avalanche de código impossível de manter. 🗑️

“The Eternal Sloptember”: código que passa nos testes mas ninguém consegue manter. Blog + r/webdev, 3.982 pts

Bug de 1 clique rouba token do GitHub via VSCode. 🎯

Extensão maliciosa, 1 clique, token roubado. VSCode respondeu com delay de 2 horas nas atualizações de extensões. 2 horas. Blog post, jun/2026

Tribunais vs. Google AI: EUA e Alemanha na mesma semana. ⚖️

EUA: “ninguém precisa de IA pra buscar”. Alemanha: Google é responsável pelas alucinações do AI Overviews. Marco regulatório. EUA / Alemanha

CNPJ alfanumérico entra em vigor em julho. 🇧🇷

Receita Federal começa a emitir CNPJs com letras. Regex, banco legado, validação de NFe: tudo precisa atualizar. r/brdev, 195 pts

ArXiv vai banir pesquisador por 1 ano se mandar AI slop. 📄

Papers com sinais de geração automática sem revisão: ban de 1 ano. O repositório de papers de IA colocando freio em papers gerados por IA. 404 Media, jun/2026

📚 O Que Eu Aprendi Vasculhando Essa Baderna Toda

1. O ciclo “AI first” tem três fases: hype, mandato, fatura. Estamos na terceira.

2. Pedir pausa em IA enquanto vai pro IPO não é ironia. É hedge: se der ruim, você disse que avisou.

3. Empresa que mede adoção de IA no standup não quer produtividade. Quer slide pro board.

4. Corte de acesso a ferramenta nunca vem com comunicado. Vem com erro 403 numa segunda de manhã.

📍 Me marca quando achar treta

• LinkedIn: linkedin.com/company/chorume

• X/Twitter: @manodeyvin

• Instagram: @manodeyvin

🙏 Valeu a Galera que Me Marcou Essa Semana

Se essa edição te fez rir, perder a fé na humanidade ou cuspir o café no teclado, encaminha pra um amigo dev.

• 🤬 Um dev de 54 anos desabafou no Reddit sobre Vibe Coding e acertou na mosca: o problema não é IA, é a arrogância da nossa classe que transforma qualquer tecnologia nova em motivo pra diminuir o próximo

• 🔤 CNPJ vai ter letras a partir de julho de 2026 e você, dev, vai ter que atualizar validador, máscara de frontend e rezar pra ninguém ter salvo isso como integer no banco

• 🍎 A Apple fez a WWDC mais constrangedora dos últimos anos: Siri recebeu Gemini (isso mesmo, o Google), iOS 27 ficou 70% mais rápido pra abrir foto e Tim Cook se despediu depois de 15 anos entregando firula com cara de inovação

• 🚪 Tim Cook não saiu aposentado, não saiu feliz. O board precisava de alguém pra culpar pela conta da IA que chegou e o cara foi o candidato mais conveniente da sala

Mais uma terça-feira de chorume, rapaziada. EP 251 do Rage Show ao vivo com três pautas que doem:Um dev de 54 anos desabafou no Reddit sobre Vibe Coding e a arrogância da nossa classe — e o cara acertou em tudo. CNPJ vai ter letras a partir de julho e seus validadores vão por água abaixo.

E a Apple fez uma WWDC histórica pelos motivos errados: Siri com Gemini, iOS 27 com foto 70% mais rápida, e Tim Cook se despedindo depois de 15 anos entregando firula.

Abacate Pay aparece no final, essa parte foi pra Verdinha.
🟢 https://links.chorume.dev/live-do-mano

Isso aqui é fofoca. Cheque sempre as fontes. Não acredite em youtubers.
Seja membro: https://www.youtube.com/channel/UC1VZDEtGNxfQzh7EYcD2frg/join

Vote em mim no ibest: https://premioibest.vote/483718727

🚀 PARCEIROS
FIND MY SAAS: https://find-my-saas.com/
CONTA DEV: https://links.chorume.dev/contadev-ig
CADEIRA ELEMENTS: https://links.chorume.dev/elements
FULL CYCLE: https://fcycle.co/11-05-lv-mba-ia
APP MAX: https://links.chorume.dev/appmax


━━━━━━━━━━━━━━━━━━━
📸 REDES SOCIAIS
━━━━━━━━━━━━━━━━━━━

Instagram: https://instagram.com/manodeyvin

━━━━━━━━━━━━━━━━━━━
🌿 OUTROS CANAIS
━━━━━━━━━━━━━━━━━━━

Cortes oficiais: @cortesdomanoofc

━━━━━━━━━━━━━━━━━━━
📚 LIVROS QUE JÁ LI E RECOMENDO
━━━━━━━━━━━━━━━━━━━

Confira minha biblioteca: https://chorume.club/livros/
━━━━━━━━━━━━━━━━━━━

00:00 Abertura musical
05:23 Bom dia, chat — calor absurdo e saudações globais
10:03 Pautas do dia
13:00 [Publi] Elements — cadeira de adulto pagador de conta
16:42 [Publi] Appmax — infra de pagamento feita pra dev
18:49 Dev de 54 anos desabafa: Vibe Coding e a arrogância da classe
31:00 O Grande Rollback e a síndrome do protagonista
33:30 "Não existe dev de verdade" — cura pra síndrome do impostor
37:01 Super chats e interações da galera
40:44 CNPJ alfanumérico a partir de julho — o que muda no seu código
51:20 [Publi] ContaDev — contabilidade que entende de PJ dev
52:40 [Publi] MBA Full Cycle — arquitetura com IA de verdade
57:37 WWDC 2026: Siri + Gemini, iOS 27 e Tim Cook se despedindo
70:05 Encerramento — continuação na Verdinha

• 🎯 iFood recebeu ameaça de extorsão com 43,8 milhões de registros. Prazo até dia 10 de junho. A empresa nega vazamento, mas 84% do chat apostou que os dados são reais

• 💸 Dev reportou falhas críticas em Bug Bounty, deveria receber R$ 4.000 e levou R$ 1.000 + pontuação. Empresas usando Bug Bounty pra dar calote em galera de cyber

• 🐛 Pacotes oficiais do Red Hat Cloud Service contaminados via NPM (campanha Miasma). Worm autopropagável roubando credenciais, chaves SSH e segredos de CI/CD

• 🔓 Credenciais do governo do RJ expostas em env.ts público no site da Controladoria Geral do Estado. GovRJ, Proderge, Serpro, tudo acessível

• 📉 Layoffs na Magalu (10-15% dos devs) e Boticário no primeiro dia útil de junho. A planilha de Q2 chegou

ANTES DE COMEÇAR, me ajude a ser o maior “INFLUENCER DE TECNOLOGIA” de 2026 kkkkk

Vote aqui: https://premioibest.vote/483718727

🚨 iFood: 43,8 milhões de registros e um prazo até dia 10

Hacker usando o pseudônimo “Bassen” anunciou o suposto vazamento de 43,8 milhões de dados do iFood. Nomes completos, CPFs, e-mails, cartão de crédito. Extorsão pura: se não pagar até dia 10 de junho, os dados seriam liberados em etapas.

O iFood nega. Falou pro Tecmundo (reportagem do Adriano Camacho) que não encontrou evidências de comprometimento. O Tecmundo segue apurando.

O dilema: pra bater o pé e falar “não vazou nada”, você tem que confiar muito no seu time de segurança. Imagina o Diego Barreto chegando no time de sec e perguntando “vazou?” três vezes seguidas. O cara dá um tail -f no log e fala “não, patrão.” Se eu fosse o cara de dados, eu já estaria suando frio.

Enquete no chat: 84% apostou que vazou de verdade. Eu fiquei do lado do iFood. Dia 11 (quinta, live) a gente confere o bolão.

Contexto: o iFood já passou pelo caso de espionagem industrial com a Keeta (delivery chinesa da Meituan). Diego Barreto resolveu, mandou embora, delegacia, processo. Agora vem essa. Fase complicada.

🤝 Patrocinador: ContaDev

Se você é dev PJ (gringa ou Brasil) e tá desesperado com imposto de renda, nota fiscal e declaração, a ContaDev é contabilidade que entende a nossa área. Mais de 50% de imposto economizado. Assessoria que pega na sua mãozinha pra você não fazer merda. Procura eles e volta aqui pra me agradecer.

💰 Calote em Bug Bounty: achou SQL Injection e recebeu pontuação

Denúncia anônima na live. Dev participando de Bug Bounty de uma rede grande reportou várias falhas críticas, incluindo SQL Injection. Deveria receber R$ 4.000.

Resposta da empresa: “a API é de terceiro, fora do escopo.”

Só que essa API era consumida direto pelo front-end. Sem BFF, sem gateway. Dava pra coletar dados de todos os funcionários e clientes. “Terceiro” com dados internos.

Depois de envolver o CEO do programa, conseguiu R$ 1.000. Outras falhas? Só pontuação. Sem grana.

O recado: tem empresa usando Bug Bounty pra dar calote. Se for pra dar calote em alguém, não dê calote em quem sabe invadir seus sistemas.

🐛 NPM contaminado (de novo): Red Hat Cloud Service comprometido

Saiu no The Hacker News. Campanha “Miasma”, variante do Mini Shai-Hulud, comprometeu pacotes oficiais do Red Hat Cloud Service. Worm autopropagável.

Pacotes contaminados: Vulnerabilities Client, TSC Transform Import, Topological Inventory Client, Census Client, Rules Component, Remediation Client, RBAC Client. Confere seu projeto.

Hook de pré-instalação ofuscado coletando credenciais de nuvem, chaves SSH, ambiente de CI/CD. O grupo Team PCP liberou as ferramentas em código aberto, facilitando novos ataques.

O grande rollback vai dar valor a quem programa sem lib externa. Golang nasceu com essa filosofia. As linguagens mais seguras vão ser as que não dependem de pacote de terceiro.

NPM é o mais popular e o que mais vaza. ThinStack provou. Composer do Laravel também foi (Laravel Lang envenenado). Difícil ser programador JavaScript em 2026.

🔓 Credenciais expostas na Controladoria do Estado do RJ

O Iago (Upyago), moderador da Ilha da Macacada, achou mais uma. Credenciais expostas no site da Controladoria Geral do Estado do RJ.

env.ts público com todos os credenciais. axios.ts com credenciais dentro do Axios. N consultas a banco de dados do governo. Dados da Controladoria, GovRJ, Proderge, Serpro. Tudo exposto. Dockerfile público.

App Vite com modo dev e debug em produção. Aparentemente um aluno da Rocketseat. Já corrigiram, chaves revogadas.

Frase do chat: “A Controladoria fiscaliza o estado e esqueceu de fiscalizar o próprio deploy. Novo portal de transparência.”

📉 Layoffs: Magalu e Boticário

Junho mal começou e já tem passaralho. Magalu demitiu pelo menos 10-15% dos devs. Um inscrito contou ao vivo: tribo de 45 pessoas, 8 demitidas, 3 do time dele. Daily cancelada, meet marcado, demissão. “Reorganização.”

Boticário também. Layoff grande.

Metade Q2 é quando a planilha é formada. Força pra quem ficou.

🎯 Outros Destaques da Live

🎮 Banido do alarme do celular 🤖

Print fake (IA) genial: cara “banido permanentemente” do app de alarme. Violou os termos de uso do despertador. 5h e 5h30 pra sempre. Vende o celular, a maldição vai junto. Black Mirror vibes. O chat desdobrou: banido do calendário, da lanterna (iluminou conteúdo +18). Puro chorume.

🎨 Gorgonóide faz thumbs no Corel Draw 🖥️

Gorgonóide, da bolha maromba, declarou no X que faz thumbnails no Corel Draw. Mostrou o arquivo. E ficam boas. Grande rollback na bolha fitness. “Quem não usa Corel Draw, usa IA, usa Canva, tem testo baixa e pai ausente.”

📺 Tela Brasil usando CDN da Amazon 🇧🇷

Ayub levantou que a Tela Brasil (”Netflix estatal”) usa CDN da Amazon. Cada exibição de um longa de 5,4 GB custaria US$ 46. Sem licitação pública encontrada. Existem alternativas BR (Gocache, CDN Star). Proposta de valor é ser 100% brasileiro e vacilaram. Alô, Magalu Cloud?

🏆 Ranking SmartCast e Prêmio Best

Primeiro lugar no ranking de programação do SmartCast nos últimos 7 dias. Concorrendo ao Prêmio Best como influenciador de tecnologia. Vota em mim, na moral.

🎱 Convite do Joey Ponzi

Joey Ponzi me chamou ao vivo pro Encaixapaz. Blablacar pro Rio, sinuca no Bar da Marlene, Tijuca. Quinta-feira, duas da tarde.

📍 Me marca quando achar treta

Se você viu algo épico rolando em qualquer rede essa semana, manda no grupo ou me marca que eu adiciono na próxima curadoria. Quanto mais bizarro, melhor.

• LinkedIn: linkedin.com/company/chorume

• X/Twitter: @manodeyvin

• Instagram: @manodeyvin

• Substack: manodeyvin.com.br

Seja membro: https://www.youtube.com/channel/UC1VZDEtGNxfQzh7EYcD2frg/join

🚀 PARCEIROS

FIND MY SAAS: https://find-my-saas.com/
CONTA DEV: https://links.chorume.dev/contadev-ig
CADEIRA ELEMENTS: https://links.chorume.dev/elements
FULL CYCLE: https://fcycle.co/11-05-lv-mba-ia
APP MAX: https://links.chorume.dev/appmax



📸 Instagram: https://instagram.com/manodeyvin
📚 LIVROS: https://chorume.club/livros/