DEV Community: Lucas Resende

Além do Código: O que o Hack'a Valley 2026 Revela Sobre Arquitetura, IA e Segurança

Lucas Resende — Fri, 16 Oct 2026 11:00:00 +0000

A maioria dos tutoriais de programação ensina a construir no cenário ideal: a tela abre, o botão responde e o banco de dados salva a informação. O problema é que o ambiente de produção não perdoa pequenos descuidos de arquitetura.

Neste fim de semana, acompanhei as nove palestras da Trilha Técnica do Hack'a Valley Security Conference 2026, no Vale do Paraíba. Em um único dia, vi demonstrações práticas de um Rádio Definido por Software (SDR) manipulando a localização de um smartphone via radiofrequência, e um API Gateway vazando a memória de uma aplicação bancária por causa de uma rota coringa mal configurada.

Chegada e credenciamento no Hack'a Valley 2026: imersão na trilha técnica de segurança ofensiva e defensiva.

Mesmo estando no primeiro semestre de Análise e Desenvolvimento de Sistemas (ADS) na FATEC, minha decisão de participar da conferência teve um objetivo claro: observar a tecnologia pela perspectiva de quem testa limites, identifica falhas estruturais e projeta defesas em ambientes críticos.

A experiência reforçou uma conclusão prática: segurança não é uma camada adicionada no final do projeto, mas parte inseparável da engenharia de software. Compreender redes, concorrência, gerenciamento de memória e permissões é o que sustenta um sistema estável.

Abaixo, reuni os principais aprendizados técnicos e arquiteturais de cada apresentação.

1. Agentes de IA em Ação: Desafios da Segurança na Era da Autonomia

Palestrante: Poliana Moraes (Especialista em InfoSec & Governança na CI&T)

A apresentação abordou a transição da inteligência artificial dos chatbots de texto para os agentes autônomos. Esses modelos recebem objetivos em alto nível, planejam etapas de forma dinâmica e acionam ferramentas externas como APIs, bancos de dados e interpretadores de comando com intervenção humana reduzida.

Poliana Moraes (CI&T) detalhando o fluxo de percepção, centro de controle e atuadores em sistemas agênticos.

O ponto central foi o contraste entre dois modelos fundamentais de computação:

Computação Clássica: Determinística, onde regras lógicas estritas aplicadas às entradas sempre produzem rigorosamente a mesma saída.
Sistemas com IA: Probabilísticos, onde o modelo deduz padrões a partir de dados e pode tomar decisões e caminhos diferentes a cada ciclo de execução.

Proteger arquiteturas probabilísticas exige novos critérios de desenho:

Isolamento de Blast Radius: O agente não deve herdar permissões administrativas totais da conta do usuário. Ele precisa de uma identidade de serviço própria, restrita ao menor privilégio necessário para a tarefa.
Mitigação de Goal Hijacking: Quando um agente processa conteúdos externos da web ou de bancos de dados, instruções maliciosas ocultas podem desviar seu objetivo primário.
Human-in-the-Loop (HITL): Ações de alto impacto, como transações financeiras, exclusão de dados ou alterações de infraestrutura, precisam de validação humana explícita antes da execução.

2. Back to the Roots: CTI e a Maestria dos Fundamentos

Palestrante: Thiago Bordini (Diretor de CTI no Cyber Horizon Group)

Com mais de duas décadas de experiência na resposta a incidentes críticos no Brasil, Bordini analisou como operam os grupos de ataque que visam o sistema financeiro e corporativo nacional.

Thiago Bordini (Cyber Horizon Group) mapeando o ciclo de ataque real contra o sistema financeiro e corporativo brasileiro.

Ele demonstrou que as invasões mais graves raramente dependem de técnicas cinematográficas. Na prática, os atacantes exploram descuidos comuns de desenvolvimento:

Chaves de acesso e variáveis de ambiente esquecidas em coleções públicas do Postman.
Repositórios de código corporativo publicados sem proteção em contas pessoais do GitHub.
Credenciais capturadas por InfoStealers associadas à falta de autenticação multifator em acessos via linha de comando.
Injeção de mensagens diretamente em filas corporativas como RabbitMQ e Azure ServiceBus para emitir ordens fraudulentas de liquidação via PIX.

O recado principal foi a valorização do básico bem executado. Adquirir ferramentas caras não resolve falhas estruturais de visibilidade de logs, excesso de privilégios e desconhecimento dos fluxos do próprio negócio.

Bordini destacou a importância do brio intelectual, lembrando que dominar a computação exige a disciplina de estudar documentações densas e fundamentos de arquitetura, sem depender de atalhos superficiais.

3. Explorando Vulnerabilidades em APIs Gateways

Palestrante: Fepame (Especialista em API Security & OffSec)

Uma análise prática de como decisões de roteamento em arquiteturas de microsserviços afetam a segurança da aplicação. O API Gateway funciona como ponto central de entrada, validando requisições públicas e distribuindo o tráfego para serviços internos.

O palestrante destacou os riscos de configurações permissivas:

Uso de Wildcards (`/`):** Mapeamentos genéricos de rotas repassam caminhos arbitrários para a rede interna, expondo serviços que nunca deveriam ser acessíveis externamente.
Exposição de Endpoints de Diagnóstico: Manter ativas rotas do Spring Boot Actuator em produção expõe variáveis de ambiente (/actuator/env) e permite o download do heapdump da memória da JVM (/actuator/heapdump).
Path Traversal e WAF Bypass: Manipulações de codificação na URL (como Double URL Encoding) que contornam filtros do firewall de aplicação, permitindo extrair da memória tokens JWT e cabeçalhos de autenticação de sessões ativas para assumir contas de clientes bancários.

A lição para quem projeta software é direta: a segurança das rotas precisa ser validada tanto no Gateway quanto individualmente em cada microsserviço de retaguarda.

4. Além dos Prompts: Integrando Agentes de IA em OSINT

Palestrante: Vinícius Vieira (SecOps Manager na Trustly)

Apresentação voltada para o uso de agentes de IA em operações de OSINT (Open Source Intelligence), estruturando investigações em fontes abertas de maneira modular.

Vinícius explicou a diferença entre consultas isoladas em chatbots e a construção de pipelines agênticas especializadas. Em vez de concentrar instruções em um único prompt extenso, a arquitetura recomendada utiliza um orquestrador central que distribui tarefas para agentes com funções delimitadas: coleta de registros, cruzamento de dados públicos, detecção de anomalias e consolidação de relatórios com persistência de contexto entre execuções.

O palestrante também tratou do rigor de segurança operacional (OPSEC):

Dados corporativos confidenciais ou evidências sensíveis não devem ser enviados para provedores de modelos em nuvem pública sem garantias contratuais de retenção zero.
O uso de modelos abertos executados localmente, como a família Llama via ferramentas de inferência local, garante que nenhuma informação saia da infraestrutura própria.
A responsabilidade pelas conclusões de uma análise permanece com o operador humano, que deve checar a veracidade das fontes e não tratar probabilidades de modelos como fatos comprovados.

5. A História da Segurança da Informação: De 1940 aos Dias de Hoje

Palestrante: Felipe Prado (Head de IA & Cyber Analytics na Credicorp)

Uma retrospectiva histórica que conectou as origens da computação aos desafios atuais de nuvem e inteligência artificial.

Prado destacou marcos fundamentais ao longo das décadas:

Décadas de 1940 a 1970: Os trabalhos pioneiros de John von Neumann e Alan Turing, a criação da ARPANET e a era do phreaking, quando John Draper descobriu que o apito de brinquedo do cereal Cap'n Crunch (na frequência de 2600 Hz) permitia controlar comutadores telefônicos para efetuar chamadas gratuitas.
Décadas de 1980 e 1990: A chegada dos computadores pessoais, a disseminação dos primeiros vírus em disquetes, o AIDS Ransomware (1989) e as práticas de engenharia social física (dumpster diving), em que informações corporativas eram obtidas diretamente de documentos descartados no lixo de instituições financeiras.

A principal observação foi o caráter cíclico da área: novas tecnologias frequentemente recriam problemas conhecidos de validação, identidade e controle de acesso, apenas sob novas camadas de abstração.

6. Quebrando o Air-Gap com Suporte de IA: Engenharia de Detecção em SOC de TO

Palestrante: Osmany Arruda (Incident Response Specialist na Tempest e Docente na FATEC)

Uma análise sobre a segurança em ambientes de Tecnologia Operacional (TO), que controlam processos industriais, redes elétricas e linhas de produção fabris.

Arruda detalhou o contraste de prioridades operacionais entre os dois mundos:

Em TI Tradicional: A prioridade central costuma ser a Confidencialidade dos dados.
Em TO Industrial: A prioridade máxima é a Disponibilidade e a Integridade Física (Safety), pois paralisar uma linha de produção ou maquinário pesado para aplicar correções de sistema pode gerar prejuízos elevados e riscos diretos às pessoas.

O palestrante desmistificou o isolamento total (Air-Gap), mostrando que redes sem fio de manutenção e dispositivos temporários criam pontes de entrada. Em seguida, demonstrou como o uso orientado de IA auxilia na escrita rápida de consultas KQL (Kusto Query Language) dentro de plataformas de SIEM, identificando anomalias em protocolos industriais legados (como Modbus e CIP) sem causar interrupções operacionais.

7. É Possível Hackear o Sistema de GPS em Casa? (SDR & Aviação)

Palestrante: Alberto Magno (Pesquisador e Especialista em Cibersegurança Aeroespacial)

Apresentação técnica sobre a camada física de transmissões de radiofrequência e a vulnerabilidade das constelações de satélites GNSS (GPS, GLONASS, Galileo e BeiDou).

Alberto explicou os dois principais tipos de interferência:

Jamming: Emissão de ruído contínuo na mesma frequência do sinal (Banda L1 em 1575.42 MHz) com potência suficiente para encobrir o sinal dos satélites, resultando em perda de rastreio.
Spoofing: Transmissão de sinais forjados com potência ligeiramente superior à dos satélites legítimos, induzindo receptores a aceitarem coordenadas, velocidade e horários incorretos.

Utilizando um Rádio Definido por Software (HackRF One) e scripts em Python, ele demonstrou na prática:

A alteração das coordenadas de smartphones e módulos GPS para qualquer localização global em tempo real, contornando proteções em nível de software por atuar diretamente na camada física de rádio.
A criação de trajetórias dinâmicas contínuas através da fórmula matemática de Haversine, simulando o deslocamento suave de veículos e aeronaves com controle de velocidade e altitude.

O experimento reforçou os riscos para frotas autônomas e a aviação civil, destacando a necessidade de redundância com Sistemas de Navegação Inercial (INS) que não dependem exclusivamente de sinais externos.

8. Crime e Castigo: O Funeral do OPSEC

Palestrantes: Cybelle Oliveira (La Villa Hacker DEF CON) e Divina Vitorino (Coordenadora de InfoSec LATAM)

Estudo de caso investigativo sobre o modelo comercial de Malware-as-a-Service (MaaS), focado na operação do RedLine Stealer, um dos malwares mais disseminados para captura de credenciais, cookies de sessão e carteiras digitais.

Cybelle Oliveira (La Villa Hacker) detalhando a arquitetura de infecção e exfiltração de dados do RedLine Stealer.

A apresentação detalhou como operadores de ataques foram identificados por equipes de inteligência de ameaças (CTI) e autoridades policiais devido a falhas de segurança operacional (OPSEC):

Reuso de Identidade Digital: Associação de e-mails antigos utilizados em fóruns e redes sociais pessoais aos servidores de compilação do malware.
Contaminação de Endereço IP: Uso do mesmo IP residencial para atividades de lazer e, minutos depois, para autenticação na infraestrutura de controle do código malicioso.
Rastreabilidade Financeira: Aceitação de transações em Bitcoin vinculadas a contas em corretoras com verificação formal de identidade (KYC).

A conclusão reforçou que a sofisticação técnica de um software não anula falhas humanas de disciplina e processo.

9. macOS Doesn't Get Malware... Until It Does

Palestrante: Zoziel Freire (CSIRT Manager na Telefônica Brasil)

Apresentação que desconstruiu a ideia de invulnerabilidade do ecossistema Apple, analisando mecanismos internos de segurança (como Gatekeeper, SIP e XProtect) e apresentando técnicas utilizadas por ameaças direcionadas à plataforma.

Entre os conceitos explorados, destacaram-se:

Uso de LOLBins (Living off the Land Binaries): Emprego do interpretador Python assinado nativamente pelo sistema para rodar rotinas maliciosas sem disparar alertas de execução não autorizada.
Persistência no Nível do Usuário: Inclusão de arquivos .plist no diretório ~/Library/LaunchAgents, permitindo que o script inicie automaticamente a cada login sem exigir privilégios de administrador (root).
Execução em Memória (In-Memory): Injeção de código diretamente na memória RAM sem salvar binários no disco rígido, contornando a detecção por assinaturas estáticas de antivírus convencionais.

O encerramento destacou a importância de telemetria comportamental contínua integrada ao Endpoint Security Framework (ESF) da Apple.

Experiências Práticas e Conexões

Além das palestras no palco principal, o evento proporcionou contato direto com tecnologias emergentes e profissionais da área.

Testando na prática a interface de leitura de ondas cerebrais (EEG) para controle de dispositivos no estande da FIAP.

Nos espaços de comunidade e estandes, como a demonstração de interfaces cérebro-computador (BCI / EEG) da FIAP conectando sinais neurais ao acionamento físico de lâmpadas, ficou evidente como as fronteiras entre hardware, software e dados biométricos estão se estreitando, e como cada nova interface amplia os requisitos de segurança e confiabilidade.

Conclusões e Direcionamento Técnico

Acompanhar a conferência consolidou uma certeza prática: o desenvolvedor que compreende como a infraestrutura opera por baixo dos panos escreve software mais confiável, performático e escalável.

Entender falhas de roteamento em gateways de API, governança de modelos de inteligência artificial, segmentação de redes e retenção de logs não é um tema restrito a especialistas em segurança. É a base técnica necessária para tomar decisões conscientes de arquitetura.

Cada uma das palestras abriu tópicos de aprofundamento que continuarei explorando na FATEC e aplicando no desenvolvimento dos meus projetos práticos.

Beyond the Code: What Hack'a Valley 2026 Reveals About Architecture, AI, and Security

Lucas Resende — Fri, 16 Oct 2026 11:00:00 +0000

Most programming tutorials teach us how to build in ideal conditions: the page loads, the button clicks, and the database saves without a glitch. The reality of production, however, does not forgive architectural oversights.

This past weekend, I attended all nine presentations on the Technical Track of the Hack'a Valley Security Conference 2026 in Paraíba Valley, Brazil. In a single day, I watched live demonstrations of Software-Defined Radio (SDR) spoofing smartphone GPS coordinates over radio frequencies, and an API Gateway dumping JVM memory contents of a banking system due to a misconfigured wildcard route.

Arrival and badge check-in at Hack'a Valley 2026: full immersion in offensive and defensive security tracks.

Even though I am in my first semester of Systems Analysis and Development (ADS) at FATEC, my goal in attending was clear: to examine technology through the lens of engineers who stress-test systems, identify structural weaknesses, and design resilient defenses for mission-critical environments.

The conference reinforced a crucial principle: security is not a separate layer bolted on at the end of a project. It is an integral part of software engineering. Understanding networking, concurrency, memory management, and access controls is what keeps production systems standing.

Below is a breakdown of the key technical and architectural insights from each session.

1. AI Agents in Action: Security Challenges in the Era of Autonomy

Speaker: Poliana Moraes (InfoSec & Governance Specialist at CI&T)

This session covered the industry shift from simple text chatbots to autonomous AI agents. These systems receive high-level objectives, dynamically plan multi-step workflows, and trigger external tools such as APIs, databases, and CLI environments with minimal human intervention.

Poliana Moraes (CI&T) explaining the perception cycle, control center, and actuator layers in agentic systems.

The core discussion centered on the difference between two computing paradigms:

Classical Computing: Deterministic. Strict logical rules applied to fixed inputs consistently generate identical outputs.
AI Systems: Probabilistic. Models infer patterns from data, meaning decisions and execution paths can vary across runs.

Securing probabilistic architectures requires new design patterns:

Blast Radius Isolation: An agent must never inherit full admin privileges from the user. It requires a dedicated service identity restricted to the principle of least privilege.
Mitigating Goal Hijacking: When an agent ingests untrusted web content or third-party database records, hidden prompt injections can hijack its primary directive.
Human-in-the-Loop (HITL): High-impact actions such as financial transactions, data deletions, or infrastructure updates must strictly require explicit human confirmation before execution.

2. Back to the Roots: CTI and Mastery of the Fundamentals

Speaker: Thiago Bordini (CTI Director at Cyber Horizon Group)

Drawing on over two decades of incident response experience in Brazil, Bordini analyzed the operational tactics of threat actors targeting enterprise and financial institutions.

Thiago Bordini (Cyber Horizon Group) mapping real-world attack lifecycles against enterprise infrastructure.

He highlighted that major breaches rarely stem from cinematic zero-days. Instead, attackers exploit simple developer oversights:

API keys and environment secrets committed to public Postman collections.
Proprietary source code pushed to public personal GitHub accounts.
Credentials harvested by InfoStealers paired with a lack of multi-factor authentication on CLI access tokens.
Direct message injection into enterprise message brokers like RabbitMQ and Azure ServiceBus to trigger fraudulent PIX settlements.

The key takeaway was the power of mastering the basics. Expensive security tooling cannot compensate for absent log visibility, excessive IAM permissions, and an incomplete understanding of business domain flows.

Bordini emphasized the value of intellectual rigor, reminding developers that mastering computer science demands digging into dense technical documentation and core foundations rather than relying on surface-level shortcuts.

3. Exploiting Vulnerabilities in API Gateways

Speaker: Fepame (API Security & OffSec Specialist)

A hands-on breakdown of how routing choices in microservice architectures directly impact application security. The API Gateway serves as the single public entry point, validating incoming requests and routing traffic to downstream backend services.

The presentation exposed the risks of overly permissive route configurations:

Wildcard Routing (`/`):** Broad routing patterns pass arbitrary URL paths downstream, exposing internal endpoints that should never be reachable from the internet.
Exposing Diagnostic Endpoints: Leaving Spring Boot Actuator endpoints enabled in production exposes runtime environment variables (/actuator/env) and allows unauthenticated heapdump downloads (/actuator/heapdump).
Path Traversal and WAF Bypasses: URL encoding tricks such as Double URL Encoding that bypass Web Application Firewall filters, enabling attackers to extract JWT tokens and session headers directly from JVM memory to hijack banking accounts.

For software engineers, the message is clear: routing security must be enforced both at the gateway level and inside each downstream microservice.

4. Beyond Prompts: Integrating AI Agents into OSINT

Speaker: Vinícius Vieira (SecOps Manager at Trustly)

A technical blueprint on leveraging AI agents for Open Source Intelligence (OSINT) investigations in a structured, modular pipeline.

Vinícius contrasted one-off chatbot prompts with specialized agentic architectures. Rather than stuffing instructions into a massive single prompt, the recommended approach uses a central orchestrator that assigns discrete tasks to dedicated sub-agents: record collection, public data cross-referencing, anomaly detection, and automated report drafting with persistent state.

The session also addressed strict operational security (OPSEC) guidelines:

Confidential enterprise data or investigative evidence must not be sent to public cloud LLM endpoints without verified zero-retention data agreements.
Running open-weights models locally (such as the Llama family on private inference engines) ensures data never leaves internal infrastructure.
Accountability remains with human analysts, who must verify source facts and never accept probabilistic model assertions as guaranteed truth.

5. The History of Information Security: From 1940 to the Present Day

Speaker: Felipe Prado (Head of AI & Cyber Analytics at Credicorp)

A historical retrospective connecting early computing milestones to modern cloud and AI challenges.

Prado traced key turning points across computing history:

1940s to 1970s: Foundational theoretical work by John von Neumann and Alan Turing, the birth of ARPANET, and early phreaking culture, including John Draper's discovery that a 2600 Hz toy whistle from Cap'n Crunch cereal could control telephone switching networks for free calls.
1980s and 1990s: The rise of personal computers, floppy disk viruses, the AIDS Ransomware of 1989, and physical dumpster diving techniques used to extract confidential financial records from corporate waste.

The main takeaway was the cyclical nature of cybersecurity: emerging technologies frequently reintroduce classic problems of input validation, identity verification, and access controls under new abstraction layers.

6. Breaking the Air-Gap with AI: Detection Engineering in OT SOCs

Speaker: Osmany Arruda (Incident Response Specialist at Tempest and Professor at FATEC)

An exploration of cybersecurity in Operational Technology (OT) environments, which govern industrial processes, electrical grids, and automated factory production lines.

Arruda contrasted operational priorities between traditional IT and industrial OT:

Traditional IT: Priority is typically placed on data Confidentiality.
Industrial OT: Priority is firmly on Availability and Physical Safety. Shutting down an active manufacturing assembly line to apply security patches can cause severe financial damage and create direct physical hazards.

The presentation debunked the myth of the impenetrable Air-Gap, showing that maintenance wireless networks and transient field devices frequently bridge the gap. Arruda demonstrated how AI accelerates writing Kusto Query Language (KQL) rules in SIEM platforms to catch anomalies in legacy industrial protocols like Modbus and CIP without interrupting plant operations.

7. Can You Hack GPS at Home? (SDR & Aerospace Security)

Speaker: Alberto Magno (Aerospace Cybersecurity Researcher)

A deep dive into the physical layer of radiofrequency transmissions and the vulnerability of Global Navigation Satellite Systems (GPS, GLONASS, Galileo, and BeiDou).

Alberto clarified two primary interference methods:

Jamming: Flooding the L1 frequency band (1575.42 MHz) with continuous high-power noise to overpower satellite signals and cause receiver tracking loss.
Spoofing: Transmitting crafted fake signals with slightly higher power than genuine satellites, fooling receivers into accepting false coordinates, velocity readings, and timestamps.

Using a Software-Defined Radio (HackRF One) and custom Python scripts, he demonstrated:

Shifting live smartphone and GPS module coordinates to any global location in real time, bypassing software security layers by operating directly at the RF physical layer.
Generating smooth, continuous trajectories using the Haversine mathematical formula to simulate realistic vehicle and aircraft movement with accurate velocity and altitude.

The demonstration underscored the security risks for autonomous fleets and commercial aviation, emphasizing the necessity of redundant Inertial Navigation Systems (INS) that do not rely solely on external radio signals.

8. Crime and Punishment: The Funeral of OPSEC

Speakers: Cybelle Oliveira (La Villa Hacker DEF CON) and Divina Vitorino (LATAM InfoSec Coordinator)

An investigative case study into the Malware-as-a-Service (MaaS) business model, centering on the operation of the RedLine Stealer, one of the most widespread tools for extracting saved browser credentials, session cookies, and crypto wallet data.

Cybelle Oliveira (La Villa Hacker) breaking down the operational infection and data exfiltration flow of RedLine Stealer.

The speakers detailed how threat actors were unmasked by Cyber Threat Intelligence (CTI) teams and law enforcement through elementary operational security (OPSEC) failures:

Digital Identity Reuse: Linking personal emails used on gaming forums and social networks to the build servers compiling the malware.
IP Address Contamination: Using the same residential IP for leisure browsing and, minutes later, authenticating into malicious Command and Control infrastructure.
Financial Footprints: Withdrawing Bitcoin payments into centralized crypto exchanges with formal Know Your Customer (KYC) identity verification.

The conclusion was unequivocal: technical malware sophistication is useless when paired with poor operational discipline and process failures.

9. macOS Doesn't Get Malware... Until It Does

Speaker: Zoziel Freire (CSIRT Manager at Telefônica Brasil)

A session debunking the perception of invulnerability surrounding Apple's operating system, examining built-in defenses (Gatekeeper, SIP, and XProtect) and real-world attack vectors targeting macOS.

Key concepts discussed included:

Living off the Land Binaries (LOLBins): Utilizing Apple's built-in, signed Python interpreter to execute malicious scripts without triggering untrusted binary alerts.
User-Level Persistence: Dropping .plist configuration files into ~/Library/LaunchAgents to persist across system reboots without requiring elevated root privileges.
In-Memory Execution: Injecting malicious code directly into RAM without saving binaries to the local disk, evading signature-based antivirus scanners.

The talk concluded with an emphasis on behavioral telemetry and deep integration with Apple's Endpoint Security Framework (ESF).

Hands-On Experiences and Community

Beyond the main-stage talks, the conference provided direct interaction with emerging hardware and security practitioners.

Testing a brain-computer interface (BCI / EEG) to control hardware devices at the FIAP booth.

In the community exhibition hall, interactive demonstrations such as FIAP's Brain-Computer Interface (BCI / EEG) rig, which translated neural activity into physical lamp switching, illustrated how boundaries between hardware, software, and biometric telemetry continue to blur, introducing fresh challenges for reliability and secure system design.

Conclusions and Engineering Direction

Attending Hack'a Valley confirmed an essential engineering reality: developers who understand how underlying infrastructure operates write software that is significantly more resilient, performant, and scalable.

Grasping API gateway routing quirks, AI agent governance, network segmentation, and log retention is not something exclusive to security researchers. It is the technical foundation required to make sound architectural decisions every day.

Each presentation opened valuable areas of study that I will continue exploring at FATEC and applying directly to my production projects.

Do Scratch ao C: Como Foram Minhas Primeiras 3 Semanas no CS50 de Harvard

Lucas Resende — Thu, 15 Oct 2026 12:24:52 +0000

Quando comecei as primeiras aulas do CS50x (o curso introdutório de Ciência da Computação de Harvard), o professor David J. Malan avisou logo de cara: aprender programação pode parecer como tentar beber água diretamente de um hidrante.

Três semanas depois, posso confirmar: o volume de informação é enorme. De início, confesso que bateu um leve receio pelo fato das aulas serem 100% em inglês, mas as explicações eram tão didáticas que, com uma ou outra pesquisa rápida, deu para acompanhar super bem.

Para não me afogar, precisei de um ritmo próprio: dividi as sessões de estudo ao longo de 2 a 3 dias por aula, sempre parando o vídeo, entendendo a lógica, anotando e testando no código. No fim das contas, encarar as dificuldades e ver a solução funcionar por conta própria traz uma satisfação indescritível.

Quero compartilhar como foi vivenciar essa maratona inicial, da lógica visual no Scratch até os primeiros desafios em C, com meus comentários de bastidor, erros e pequenas vitórias.

Week 0: Aprendendo a pensar como programador (e brincando no Scratch)

A Semana 0 me fez virar uma chave importante: Ciência da Computação não é sobre memorizar sintaxe, mas sobre resolver problemas. É o processo que acontece no espaço entre o input (o problema) e o output (a solução).

Entender como os computadores funcionam por baixo dos panos, do binário até a forma como imagens e textos são guardados na memória, me deu uma perspectiva totalmente nova. Mas o momento em que a chave virou de verdade foi na prática.

Para treinar a lógica sem as barreiras do código em texto, o curso usa o Scratch, uma ferramenta desenvolvida pelo MIT em que programamos juntando blocos visuais coloridos, quase como montar um quebra-cabeça. Nele, criei meu primeiro projeto interativo (Starting from Scratch). Montei blocos customizados com parâmetros, criei variáveis e condicionais. Parecia um jogo simples de início, mas me forçou a pensar em estrutura e abstração antes de encostar em uma linha de código textual.

Week 1: O choque com a linguagem C e o amor pelo terminal

Se no Scratch tudo era visual e amigável, a Semana 1 nos joga direto na linguagem C. De repente, um simples ponto e vírgula esquecido paralisa o programa inteiro.

Conforme fui avançando nos vídeos, me peguei me desafiando a ir além do que o professor mostrava na tela. Tiveram pequenos tropeços, como descobrir na prática que para declarar um char eu precisava usar aspas simples ('a'), mas cada erro virava um aprendizado imediato.

Dois momentos se destacaram muito para mim:

Adeus mouse, olá Terminal: Aprendi a interagir direto com a linha de comando (ls, cd, make, ./hello). No começo é estranho não usar a interface gráfica, mas você percebe rapidamente como o teclado torna a navegação muito mais fluida.
A lógica na lousa digital: Nos exercícios da pirâmide do Mario e do cálculo de troco (Cash), a cabeça deu um nó. A saída foi abrir uma lousa digital, desconstruir a lógica linha por linha e desenhar como os loops se comportavam. Me desafiei até a criar funções próprias para renderizar os blocos, e ver o código rodar sem iterações desnecessárias foi recompensador.

Week 2: Arrays, strings e a resiliência nos problemas

Na Semana 2, entramos em conceitos mais profundos: como a memória RAM organiza dados em blocos (arrays), como strings são apenas sequências de letras terminadas por um caractere invisível (\0), e como funciona a criptografia.

Organizei meus estudos em blocos de foco de 25 minutos e passei por uma verdadeira montanha-russa de sentimentos. Anotei no meu diário de estudos, por exemplo: "Aprendi o que são Arrays, achei muito legal!" e, 25 minutos depois: "Tá, arrays não são tão fáceis assim kkk, começou a ficar complexo".

Nos exercícios da semana, o bicho pegou:

No Scrabble, penei para mapear as pontuações das letras na tabela ASCII. Cheguei a anotar frustrado: "Minha nossa senhora, esse negócio é MUITO difícil kk. Vou continuar amanhã de cabeça fresca". E foi a melhor decisão. Voltei no dia seguinte, desenhei a lógica na lousa e o código finalmente fluiu.
No Readability e no Caesar, a satisfação foi ver que desconstruir o problema em etapas menores fazia tudo se encaixar, desde a rotação de caracteres da criptografia até os ajustes de arredondamento da fórmula de leitura.

O que tiro dessas 3 primeiras semanas

Se eu pudesse resumir meu principal aprendizado até aqui em três pontos, seriam estes:

Desenhar antes de codificar: Tentar resolver um problema digitando direto no editor gera frustração. Escrever o raciocínio no papel ou numa lousa digital economiza horas.
Aprender a gostar dos erros: O compilador reclamando não é um puxão de orelha, é um guia. Ver o check50 mudar de vermelho para verde depois de tanto testar e ajustar é a melhor recompensa.
Paciência e processo: Como anotei após terminar uma das aulas: parar, entender, anotar e voltar. Fazer os exercícios, enfrentar dificuldades e conseguir achar a solução conectando conceitos de múltiplas aulas dá uma sensação boa demais.

Sinto que a base que estou construindo aqui vai sustentar muito do que vou aplicar na FATEC e nos meus projetos futuros. A decisão do reset de carreira faz cada vez mais sentido.

From Scratch to C: My First 3 Weeks Inside Harvard’s CS50

Lucas Resende — Thu, 15 Oct 2026 12:22:14 +0000

When I attended the opening lectures of CS50x (Harvard's flagship Introduction to Computer Science course), Professor David J. Malan gave an upfront disclaimer: learning to program can feel like attempting to drink water straight from a firehose.

Three weeks in, I can wholeheartedly confirm: the sheer volume and density of information is staggering. Initially, there was a momentary pause knowing the entire curriculum is delivered in English, but the pedagogical clarity and structure made the immersion deeply engaging with just the occasional targeted search.

To avoid getting overwhelmed, I established a deliberate study cadence: splitting each lecture and problem set across 2 to 3 days, pausing the videos frequently, analyzing the underlying control flow, sketching on paper, and iteratively implementing in code. In the end, wrestling with difficult bugs and arriving at an elegant solution entirely on your own provides an incomparable sense of fulfillment.

Here is my honest logbook of that intense opening sprint: from visual logic in Scratch to low-level engineering in C, along with behind-the-scenes thoughts, hurdles, and breakthroughs.

ended the ope

Week 0: Computational Thinking (and Experimenting in Scratch)

Week 0 flipped a crucial mental switch: Computer Science is not about memorizing syntax rules, but about algorithmic problem-solving. It is the structured process that occurs in the space between the input (the problem statement) and the output (the verified solution).

Grasping how hardware and software operate under the hood (from binary representation to how text and images are encoded in volatile memory) provided a grounding foundation. But the concepts solidified during the practical problem set.

To cultivate algorithmic logic without the cognitive load of syntax errors, the curriculum begins with Scratch, a visual block-based environment developed at MIT. I built my first interactive project (Starting from Scratch), defining custom procedures with parameter passing, managing variable state, and nesting conditionals. While it resembles a colorful game on the surface, it forces you to think about abstraction, modularity, and control flow before typing a single line of raw text.

Week 1: The Shock of C and Embracing the Terminal

Moving from Scratch's forgiving UI to low-level C in Week 1 was an immediate reality check. Suddenly, a single misplaced semicolon halts compilation in its tracks.

As the lectures progressed, I pushed myself to experiment beyond the code displayed on screen. There were natural friction points, such as discovering firsthand that declaring a char literal strictly requires single quotes ('a'), whereas strings use double quotes, but every compiler warning quickly translated into durable knowledge.

Two milestones stood out during this phase:

Leaving the GUI Behind for the CLI: Interacting directly with the command line (ls, cd, make, ./hello). While navigating without a mouse feels foreign at first, you quickly realize how much faster and more precise keyboard-driven workflows become.
Digital Whiteboard Modeling: When tackling the Mario pyramid generation and the Cash greedy coin-change algorithm, mental simulation hit a wall. The breakthrough was opening a digital whiteboard, drawing the coordinate axes, and plotting iteration bounds for outer and inner loops. I challenged myself to extract modular helper functions, and watching the test suites execute with optimal complexity was immensely rewarding.

Week 2: Arrays, Strings, and Building Engineering Resilience

Week 2 plunged into deeper hardware and memory concepts: how RAM organizes contiguous blocks of data (arrays), why strings in C are simply byte sequences terminated by an invisible null byte (\0), and the mathematical foundations of cryptography.

I structured my study into 25-minute Pomodoro focus blocks and experienced the classic developer emotional rollercoaster. In my study log, I wrote: "Just learned about Arrays, super intuitive and clean!" - followed 25 minutes later by: "Okay, multidimensional arrays and pointer boundaries are definitely not trivial anymore."

The problem sets presented genuine challenges:

In Scrabble, translating character ASCII values into localized letter scoring tables required careful boundary checking. At one point, I jotted down: "This logic is genuinely tricky tonight. Stepping away to reset and tackling it with a clear head tomorrow." That proved to be the right call. The next morning, mapping the array indexes on the whiteboard made the implementation fall into place seamlessly.
In Readability and Caesar, decomposing the problem into discrete pipeline stages made everything click: from character-by-character ASCII rotation with modulo arithmetic to floating-point rounding for readability index formulas.

Core Takeaways from the First 3 Weeks

If I had to distill the most valuable lessons from this initial marathon into three principles, they would be:

Diagram Before You Code: Trying to write code directly in the editor before clarifying the algorithmic flow leads to compounding bugs. Sketching inputs, outputs, and edge cases on paper or a whiteboard saves hours of refactoring.
Treat Compiler Warnings as Mentors: The compiler is not an obstacle. It is an infallible pair programmer. Seeing check50 transform from red failures to all-green assertions after rigorous iteration is one of the most rewarding feelings in tech.
Trust the Process and Cadence: As I noted in my journal: pause, comprehend, document, and execute. Working through problem sets from first principles and connecting concepts across lectures builds genuine, unshakeable confidence.

The foundational computer science principles I am cultivating here will directly anchor my coursework at FATEC and my ongoing full-stack projects. The career reset continues to prove itself as the best decision I've made.