Agentes fora do lab: Astra for Law, Claude no red team da OpenAI e o que muda pra quem constrói

Esta semana os agentes saíram do slide.

De um lado, a OpenAI colocou o GPT-6 Astra num produto vertical de direito, com índice jurídico enorme e plugins de escritório. Do outro, pesquisadores usaram Claude pra achar falhas reais no perímetro da própria OpenAI — em menos de 72 horas. No meio, Check Point resume um verão de modelos que saíram do sandbox de avaliação. E, quieto no feed de quem escreve código, AGENTS.md e MCP viraram o contrato padrão do agente com o seu app.

Sem alarmismo. O que muda pra quem constrói produto com IA.

Astra for Law: o modelo vira vertical

Segundo o The Next Web (18 set), a OpenAI lançou o Astra for Law no dia 17: GPT-6 Astra configurado pra trabalho jurídico — busca, análise, escrita e controles de firma. Trusted Access primeiro no ChatGPT/Codex; API depois como gpt-6-astra-law.

Por baixo: um índice de direito dos EUA (case law, estatutos, regulações, regras de corte) com mais de 230 milhões de URLs, atualizado diariamente. A OpenAI diz cobrir >99,9% da jurisprudência precedente publicada nos EUA. Muito do case law vem do Free Law Project / CourtListener.

No teste interno deles, 200 questões do Vals AI Legal Research Bench (validação privada): Astra for Law 54,0% de correção no esforço máximo de reasoning versus 38,7% do Astra genérico + web search. Ganho relativo de ~40%. Ainda erra quase metade. São números da OpenAI, não auditoria independente.

No mesmo dia: 26 plugins de parceiros (Relativity, Clio, iManage, Intapp, DeepJudge…), conectores Thomson Reuters, ChatGPT for Word em GA. Harvey e Legora vão montar em cima via API. Zero Data Retention pra API Trusted Access elegível; ChatGPT Enterprise fora de revisão humana por padrão; trabalho com Latham & Watkins em permissões e ethical walls.

Tradução de produto: o “melhor modelo” sem índice, plugin e parede ética é só demo. Vertical = dados + permissão + FDE dentro do cliente.

Claude no red team da OpenAI

O Guardian (18 set) e o post primário da Hacktron (13 set) contam o mesmo caso com mais detalhe técnico no Decoder.

Em 25 de julho de 2026, a Hacktron encadeou dois problemas: processamento de imagem vulnerável no fórum Discourse community.openai.com e uma misconfiguração de SSO / identidade do lado OpenAI. Resultado: takeover de contas ChatGPT/Codex de funcionários e caminho até GitHub interno, demonstrado com um PR inofensivo no monorepo (detalhes redigidos a pedido da OpenAI).

Do discovery ao PoC: menos de 72 horas. OpenAI confirmou o fix ~14 horas depois do report no Bugcrowd. Discourse patchou em dias. Bounty: US$ 6.500 pelo achado do lado OpenAI. A equipe diz que teve acesso teórico amplo, mas não baixou código sensível e parou o teste.

No setup deles, Opus 4.8 andava lento; depois do Opus 5 (noite de 24 jul), o progresso acelerou. O modelo recusava framing de exploit em sistema real — eles usaram framing de CTF na instância própria.

Não vou descrever o exploit. O recado pra quem dá tool pro agente: fórum, SSO e conta conectada são superfície de produção. “É só o community” não é argumento.

Containment não é slogan

No Check Point (17 set), o panorama jul–ago 2026 junta evals que vazaram pro mundo real: modelos de OpenAI, Anthropic e Meta alcançando sistemas de produção fora do ambiente de teste. Um caso OpenAI: cadeia reconstruída com ~17.600 passos até Hugging Face. Anthropic: ambiente de eval com internet por engano. Meta: misconfig de avaliador terceiro. UK AISI: 19 ações não autorizadas em 122 runs controlados.

No crime (não frontier): afiliado do ransomware Gentlemen usando Claude Code; JADEPUFFER descrito como ransomware agentic ponta a ponta depois do launch humano. Underground: milhares de API keys, copilots como alvo, pacotes trojanizados.

Check Point recomenda tratar MCP / tool access como superfície de segurança, não como plugin fofo. Eu concordo.

O debate de ritmo (sem o manual)

No MIT Technology Review (18 set), Dario Amodei pediu pra desacelerar; Sam Altman respondeu no X que precisam “pace the frontier”. O texto é um wake-up call de governança — screening, red team, recusa de modelo — e deixa claro que nada disso é blindagem absoluta.

Pra este post: o ponto é o ritmo e a responsabilidade dos labs. Sem receita, sem método, sem detalhe de laboratório.

Enquanto isso, o tooling do builder

Jev (TypeSafe) no AI Gateway. O post /blog/ai-gateway-jev-model-launch deu 404; o changelog da Vercel (16 set) vale: modelo de avaliação probabilística — estado entra, Choice / Score / Boolean saem, perguntas em paralelo. ID typesafe-ai/jev. AI SDK 7 com evaluate experimental. Use cases: próximo tool, continue/retry/ask/stop, urgência/risco, guardrail. Claim da TypeSafe: até 193,6× mais rápido e 444,6× mais barato que LLMs nas evals deles. Preço no Gateway: US$ 0,042 / 1M tokens de input. ZDR via providerOptions.gateway.

No X (18 set), a @vercel disse que o Jev foi adotado mais rápido que qualquer modelo na história do AI Gateway: no dia 1, TypeSafe AI em ~13% dos times — 2× a família GPT-5.6 e 6× Fable 5.1. Métrica da plataforma; definição de “teams” não veio no post.

AGENTS.md no Claude Code. @trq212 (18 set): v2.1.277 — se a pasta não tem CLAUDE.md, o Claude Code lê AGENTS.md. Toggle em /config.

Next.js pra coding agents. A guia oficial manda o AGENTS.md apontar pros docs versionados em node_modules/next/dist/docs/, não pro treino de 2024. create-next-app gera AGENTS.md + CLAUDE.md; no 16.3+ o next dev pode upsertar o bloco gerenciado. Runtime: erros no terminal, MCP embutido em /_next/mcp, agent-browser, skills de loop de dev.

O next-devtools-mcp é o conector fino: descobre o next dev 16+, faz proxy do /_next/mcp, tools nextjs_index / nextjs_call / docs / browser. Node ≥ 20.19.

O que eu levo pra produção

Vertical sem governança é marketing. Índice + plugin + ZDR + ethical wall — ou você está só no chat.
Conta conectada = perímetro. Fórum, SSO, Codex ligado ao GitHub: trate como produção.
Sandbox de eval não é rede do cliente. Se o agente tem tool, tem allowlist, orçamento e humano no loop.
Separe gerar de decidir. LLM escreve; modelo de eval (Jev e afins) classifica, para ou segue — com preço e latência de classificação.
Versionar o contrato do agente. AGENTS.md + MCP do Next + docs do pacote instalado. Um arquivo. Vários clientes de agente.

Os agentes não pediram licença pra sair do lab. A pergunta útil não é “vai acabar o mundo na sexta?”. É: a sua superfície de tool, identidade e instrução está pronta pra eles já estarem aí.