Textos baseados em evidências sobre defesa contra injeção de prompts, benchmarks de segurança de agentes e engenharia de segurança local. Números antes de narrativas; metodologia em cada afirmação.
O Galvanize 3, a terceira geração do nosso detector de prompt injection, agora verifica todas as chamadas à zn API. Maior AUROC entre dez detectores em benchmarks públicos, menos falsos alarmes em documentos longos e gratuito para testar.
O zn-gate 1.13.0 adiciona o zn-gate connect para uma verificação opcional na nuvem com uma chave somente de análise, o zn-gate report para um resumo local semanal, verificações dos hooks para skills digitadas e a correção da versão padrão da GitHub Action. Como atualizar.
Claude Code, Codex CLI, Cursor e OpenCode mantêm o histórico de conversas na sua máquina, e uma chave que passa por uma ferramenta pode acabar nele. Onde cada um armazena, o que os fabricantes documentam e uma lista para limpar.
O que o State of Secrets Sprawl 2026 da GitGuardian relata sobre commits com Claude Code e arquivos de configuração do MCP, o que os números mostram e não mostram, e o que fazer em 10 minutos.
O que são ataques de destilação, por que os atacantes querem as chaves de API de provedores de IA, como perceber que uma chave está sendo usada indevidamente e uma lista de verificação para usuários e para quem cria ferramentas.
No zn-gate 1.5.0 a 1.11.0, um comando de shell podia chegar a um arquivo .env protegido por caminhos que o hook não verificava. As classes de caminhos, o design da correção da 1.12.0 (GHSA-rccq-h3xc-j9qj) e o que lembrar ao escrever uma proteção para agentes de programação.
O zn-gate 1.12.0 adiciona o zn-gate reach, um relatório somente leitura do que seus agentes de programação conseguem acessar, gera as releases com SLSA Build Level 3, assina as tags com gitsign e corrige o GHSA-rccq-h3xc-j9qj nos hooks dos agentes. Como atualizar.
Um repositório pode trazer arquivos de configuração que executam comandos, iniciam servidores MCP ou desviam sua chave de API quando um agente de programação o abre. Execute npx -y zn-gate audit no clone antes. O que ele verifica e como ler o resultado.
Execute npx -y zn-gate init para que Claude Code, Codex CLI, Cursor e OpenCode não leiam seus .env nem segredos. O que muda, como verificar e como desfazer.
O Galvanize 2 é o nosso novo detector de injeção de prompts, ajustado a partir do modelo pequeno aberto da Horizon Labs. No nosso conjunto de teste reservado detecta 83,4% dos ataques com uma taxa de falsos positivos de 0,81%, e deixa de sinalizar documentos legítimos longos. Aqui estão os números, os pontos fracos e como medimos.
A 1.4.0 enviava a saída das ferramentas para a nossa API sem ocultar os segredos quando havia uma chave de API definida. A 1.4.1 remove esse caminho, torna a nuvem opcional, com os segredos ocultados, e apagamos o texto que a nossa API tinha guardado. Aqui está exatamente o que aconteceu e o que fazer.
Estamos abrindo o Galvanize-60M no Hugging Face: um pequeno classificador de injeção de prompt que roda em CPU, pensado para o loop de ferramentas de agentes de IA. Leia a nota de atualização de outubro de 2026 antes de confiar nos números deste post.
Fundimos /analyze e /v30/analyze num único endpoint que encaminha cada requisição por um nível determinístico de <50 µs, uma porta neural int8 de ~15 ms e um nível Deep Analyze com mmBERT. A engenharia, os novos limites das assinaturas e os números que medimos.
A jornada de engenharia de um modelo interno anterior em setembro de 2026: por que 64 tokens atingiram o teto, como construímos 1.176 twins negativos, treinamento MLP em GPU H100 em 7,5 min e queda de falsos positivos de 4.49% para 0.64% no nosso próprio conjunto de teste.
Os atacantes partem palavras-chave com comentários, caracteres de largura zero e letras parecidas. Este post explica os passos de normalização que o zn-gate executa antes de comparar, a velocidade do motor de regras e o que ele não cobre.
Um piloto de 12 prompts em seis modelos de fronteira, ao vivo e por trás do nosso gateway. O que cada modelo recusou, o que o gateway pegou e todos os números para reproduzir.
A nossa porta fundida superou um modelo da Meta no nosso benchmark, e depois encontramos texto benigno real pontuando acima dos ataques dentro do nosso próprio classificador. Uma autópsia da falha de um checkpoint anterior e a reconstrução completa do corpus: blueprints por família, paráfrases determinísticas, divisões sensíveis a grupos e as lacunas que deixamos abertas de propósito.
O nosso detector de injeção dava pontuações entre 0,498 e 0,509 para tudo o que apresentávamos a ele. A causa raiz foi um objetivo de treino que nunca viu um rótulo, e a correção foi embaraçosamente comum: treino supervisionado de ponta a ponta. A história completa da depuração, a receita, os números e aquilo que a nova porta ainda não consegue fazer.