Relatório Claude — 2026-10-18

🚀 Oficial Anthropic

Claude revela a origem das curvas ECDSA (16 out)

O Frontier Red Team da Anthropic relata que um modelo de pesquisa interno do Claude reconstruiu, em menos de 30 minutos, como a NSA gerou as seeds das curvas P-192/224/256/384/521 do NIST: saídas do gerador lrand48 da biblioteca C, semeado com timestamps Unix de 1997-1998, sem nenhum algoritmo de hash envolvido. O Claude reconheceu o padrão e resolveu o estado interno do gerador usando redução de base de reticulado LLL; o criptógrafo Filippo Valsorda verificou o resultado de forma independente, e a recompensa de US$ 36.864 foi doada ao Internet Security Research Group (Let's Encrypt). A descoberta indica que a escolha da NSA foi convencional, não um backdoor deliberado.

Como o time do Claude Code faz code review (15 out)

Engenheiros da Anthropic detalham a reestruturação do code review em torno do volume gerado por agentes (de 2.500 para mais de 30.000 mudanças/dia): auto-verificação antes do PR, revisão por IA em todo PR que sinaliza bugs antes de chegarem a humanos, um gate de revisão de segurança que bloqueia merges, e aprovação humana baseada em risco conforme o tipo de mudança. Construíram loops de feedback usando dados de incidentes como conjuntos de avaliação, adicionaram limites de convergência para impedir loops infinitos entre agente e revisor, e cortaram reverts em 40% reduzindo as aprovações humanas necessárias.

🔌 Plugins Claude Code

Tracking de plugins pulado nesta execução — cache de instalações do marketplace indisponível, conforme instrução.

🛠️ Skills

Nenhum dos top 5 teve atualização na janela.

Sem mudanças no período: addyosmani/agent-skills (último commit 13 out), anthropics/skills (último commit 9 out), kharmanskyi/open-steps (último commit 5 out), K-Dense-AI/scientific-agent-skills (último commit 12 out), cloudflare/security-audit-skill (último commit 14 set).

🤖 Agentes & Subagentes

wshobson/agents (15-17 out)

Lança uma sequência de correções e uma nova skill nesta coleção de 185 skills: adiciona social-evidence-research para análise rastreável de discussões sociais, corrige exemplos quebrados em três skills (padrões defensivos em bash, Python assíncrono, middleware de auth), corrige uso incorreto das APIs do Cypress/Playwright em e2e-testing-patterns, e migra a orientação de monorepo-management para Turborepo 2 e pnpm workspaces.

nicobailon/pi-subagents v0.79.1 (18 out)

Reduz overhead por requisição ao só enviar as definições de ferramenta bg_wait e subagent_supervisor (~1.500 caracteres) quando a sessão de fato delega a um subagente, corrige hosts embarcados (como o pi-web) que lançavam filhos com a instalação errada do Pi, e preserva resultados de filhos já concluídos quando o processo principal de um workflow morre.

davila7/claude-code-templates (18 out)

Adiciona um mod bluesky-feed que exibe uma timeline do Bluesky dentro do Claude Code, somando-se ao badge de pontuação NVIDIA SkillSpector adicionado a todo componente do catálogo nesta semana.

Sem mudanças no período: VoltAgent/awesome-claude-code-subagents (último commit 11 out), anthropics/commerce-agents (último commit 31 ago).

🔗 MCPs & Integrações

ChromeDevTools/chrome-devtools-mcp v1.11.0 (15 out)

Adiciona uma flag --file-navigations para rejeitar navegações em URLs file:, uma nova ferramenta analyze_heapsnapshot_contexts, uma opção ignoreCache para performance_start_trace, e paginação mais truncamento de nomes em compare_heapsnapshots.

upstash/context7 ctx7@0.8.0 (16 out)

Remove os comandos obsoletos skills e generate do CLI ctx7; ctx7 setup continua instalando as skills find-docs e context7-mcp.

DeusData/codebase-memory-mcp v0.12.1 (16 out)

Corrige as instalações via npm/PyPI/Go da v0.12.0, que recusavam os novos binários de 331-335MB por causa de um limite obsoleto de 256MB por membro de arquivo em cada wrapper; também atualiza a fórmula desatualizada do Homebrew para usar um build estático portável no Linux e corrige um go install fixado que estava quebrado.

oraios/serena (15 out)

Corrige o tratamento de symlinks em request_full_symbol_tree e adiciona validação explícita de caminho de arquivo na LSP API do Serena, rejeitando links para alvos fora da raiz em projetos não confiáveis enquanto continua permitindo em projetos confiáveis — fechando uma brecha próxima de path-traversal sinalizada na issue #2163.

Sem mudanças no período: modelcontextprotocol/servers (último commit/release 11 out).

💡 Comunidade — Workflows e Ideias

Detecting Filesystem Capability Laundering in MCP Servers at Scale (15 out)

Pesquisadores varrem mais de 21 mil servidores MCP e descobrem que 787 de 4.806 servidores triados (16,4%) expõem capacidades de sistema de arquivos apesar de classificados como ferramentas não relacionadas a arquivos, confirmando 150 instâncias exploráveis via testes dinâmicos; a divulgação coordenada gerou 13 avisos de segurança, incluindo dois CVEs no próprio Git MCP Server da Anthropic.

Vibemetric (17 out)

Um app para macOS pontua sessões do Claude Code e Codex em dez dimensões — hábitos de teste, eficiência de custo, segurança, planejamento, gestão de memória — e recomenda correções concretas de workflow.

Epoptes (18 out)

Permite descrever um objetivo uma única vez no chat enquanto a ferramenta roda sessões longas e autônomas de Claude Code ou Codex em múltiplos ciclos de renovação de contexto, com monitoramento e direcionamento ao vivo.

claude-env-tabs (18 out)

Adiciona um painel de projetos fixados com indicadores de estado de sessão ao vivo e uma barra de abas persistente à aba Code do Claude Desktop, para alternar entre múltiplas sessões de projeto.

📰 Menções Rápidas

• 500 relógios em um arquivo HTML de 6,3MB (18 out) — coleção de relógios gerados pelo Opus 5.5, criada por um desenvolvedor como um benchmark pessoal de capacidade no estilo "pelicano de bicicleta".
• Astrax (17 out) — novo servidor MCP open-source que dá a agentes controle de ver/clicar/digitar sobre um desktop Windows.
• MCPX (18 out) — novo diretório de servidores MCP que varre listagens em busca de "tool poisoning" e chaves vazadas.