DEV Community: Lucas Resende

Mentoria IBM "Ctrl+Alt Dream": Lições de Carreira na Prática

Lucas Resende — Tue, 20 Oct 2026 11:00:00 +0000

Entrei na sala do Microsoft Teams às dez em ponto com o Obsidian aberto na tela, esperando aquela rotina cansativa de evento corporativo online: alguém da organização compartilhando slides institucionais sobre tendências de mercado enquanto dezenas de estudantes assistem em silêncio.

A dinâmica da mentoria <Ctrl+Alt> <Dream>, promovida pela IBM SkillsBuild em parceria com o Centro Paula Souza, foi o oposto disso. A organização dividiu os alunos em salas menores para uma hora de conversa direta com profissionais voluntários. Éramos sete pessoas no total da chamada: quatro estudantes (eu, a Júlia e a Élida, colegas de Segurança da Informação na Fatec Americana, além da Ana Clara, do ensino médio da Etec) e três profissionais com vivências sólidas no setor financeiro, tributário e de consultoria:

Mariana Ribeiro, sócia de M&A Transaction Services na Deloitte, com quase duas décadas de consultoria e mais de 300 transações de fusões e aquisições no currículo.
Vanessa Celuppi, que hoje cuida de governança e planejamento comercial no Bradesco, depois de ter começado aos 19 anos como estoquista de shopping e supervisora no telebanco.
Luiza Monticeli, analista de Business TAX e Transfer Pricing na Deloitte, que se formou em Direito e migrou para a consultoria tributária aos 25 anos.

A conversa durou 60 minutos sem nenhum slide. Falaram com abertura e sem rodeios sobre contratações, insegurança e tropeços reais de carreira. Alguns direcionamentos práticos da conversa se destacaram assim que a sessão terminou.

O currículo cheio de certificados e a dúvida da Júlia

Logo no começo, a Júlia abriu o microfone e colocou na mesa uma dúvida que consome quem está nos primeiros semestres: vale a pena passar semanas acumulando diplomas rápidos para tentar impressionar recrutadores, ou isso é perda de tempo?

A resposta da Vanessa foi direta ao ponto:

"A empresa sempre vai olhar os seus hard skills para elegibilidade da vaga. O que faz você ganhar a vaga e se destacar são os soft skills: demonstrar vontade, relacionamento e brilho nos olhos."

Vanessa Celuppi, Analista de Planejamento Comercial no Bradesco

Gastar 40 horas fazendo dezenas de cursos rápidos de 2 horas costuma gerar mais volume do que substância. As certificações funcionam apenas como um filtro mecânico inicial para colocar o currículo na pilha. O que decide a contratação é como você sustenta uma conversa técnica e reage a problemas reais.

A Luiza viveu isso na pele ao entrar no programa de novos talentos da Deloitte. Recém-formada em Direito, ela não sabia montar um Procv no Excel e nunca tinha calculado tributos complexos na vida. Ela não tentou fingir conhecimento que não tinha. Assumiu suas limitações com clareza, mostrou lógica para aprender rápido e firmeza para lidar com clientes sob pressão.

Para se preparar para a entrevista, ela usou uma abordagem pragmática: em vez de pedir resumos prontos ao ChatGPT, ela instruía a IA a agir como uma entrevistadora técnica exigente. Pedia para o modelo fazer perguntas difíceis sobre legislação e apontar qualquer inconsistência no raciocínio dela. Treinar a fala sob pressão ajudou muito mais do que empilhar diplomas de cursos rápidos.

A porta de entrada e as passagens de ônibus em BH

A trajetória que a Vanessa compartilhou quebrou qualquer tom corporativo distante. Ela começou aos 19 anos descarregando caixas como estoquista em loja de shopping, trabalhou nas Lojas Renner e depois entrou no atendimento telefônico de telebanco.

Naquela rotina pesada de telemarketing, ela não tinha como prever os próximos dez anos. Mas colocou energia no atendimento, foi promovida a supervisora de 30 pessoas em apenas um ano e encontrou uma vocação comercial nítida. Passou oito anos gerenciando contas corporativas e hoje responde pela governança de negócios no Bradesco.

"Às vezes a porta de entrada não é exatamente aquilo que a gente espera. Onde você entra não precisa ser seu destino final. Os cargos e os momentos mudam, mas aquilo que é a sua essência continua com você para sempre."

Vanessa Celuppi, Analista de Planejamento Comercial no Bradesco

A trajetória da Mariana Ribeiro reforçou essa mesma sensação de realidade. Vinda de São Gonçalo do Sapucaí, no sul de Minas Gerais, ela foi a primeira pessoa da família a pisar em uma faculdade. No primeiro estágio que arrumou na prefeitura de Belo Horizonte, o custo do transporte público superava o valor da bolsa. Ela literalmente pagava para trabalhar. Anos depois, entrou como trainee na Deloitte, passou três anos em Boston liderando projetos globais e virou sócia da consultoria em 2020.

"A vida e a carreira não são linhas retas, são feitas de vales, altos e baixos. Ter resiliência e persistência para passar pelos desafios é o que faz a gente ser perene."

Mariana Ribeiro, Sócia de M&A Transaction Services na Deloitte

Ouvir esses relatos desmontou parte da neurose com o primeiro emprego ideal. Na faculdade de tecnologia, a gente costuma criar a ilusão de que a estreia precisa ser como júnior brilhante em uma grande empresa de software. Na prática, começar em suporte técnico, atendimento ou rotinas operacionais não atrasa a vida. É no trabalho puxado do dia a dia que a gente aprende a lidar com prazos, clientes nervosos e sistemas fora do ar.

O medo de falar inglês e a vaidade da pronúncia

A Élida, que trabalhou como advogada por 25 anos e entrou na Fatec aos 47 para estudar Segurança da Informação, compartilhou um bloqueio comum: ler documentações em inglês e responder e-mails é tranquilo, mas a voz trava na hora de falar por receio de errar a gramática.

A Mariana tirou o peso do assunto contando o que sentiu na pele quando foi transferida para os Estados Unidos. Ela passou meses travada nas reuniões porque queria falar com a fluência e a pronúncia de uma americana nativa. Até perceber que os diretores em Nova York e Boston só queriam saber se o cronograma da auditoria estava correto e se os números batiam. Ninguém prestava atenção no sotaque dela.

Esperar atingir uma pronúncia irretocável antes de arriscar uma frase em público é uma forma sutil de autossabotagem. Em reuniões de trabalho, clareza e objetividade importam muito mais do que perfeição gramatical.

A paralisia por análise e a pergunta que levei para a reta final

Depois de ouvir com atenção as trajetórias da Vanessa, da Mariana e da Luiza, e acompanhar os pontos levantados pela Júlia e pela Élida, aproveitei a reta final da sessão para colocar na mesa um desafio estratégico que tenho sentido de perto.

Ao migrar do design e marketing para a computação, a quantidade enorme de caminhos possíveis gera uma sobrecarga real. Quando você tem interesse por desenvolvimento, cibersegurança e mercados globais, é fácil cair na armadilha de tentar prever cada passo, refinando planos e sistemas de estudo no detalhe em vez de testar hipóteses no mundo real. Perguntei como elas equilibravam essa busca por direcionamento sem travar no excesso de opções.

A Élida levantou a mão para responder de imediato:

"Lucas, eu estou no último semestre e você está no primeiro. A sua cabeça vai mudar muitas vezes ainda. Você não vai descobrir do que gosta apenas olhando para a grade curricular ou montando planos isolados. Procura um estágio logo, entra no dia a dia técnico. Quando você estiver trabalhando, os desafios da empresa e o contato com a equipe mostram com naturalidade o que você precisa aprofundar. O foco nasce da prática, não do excesso de planejamento."

A fala dela resumiu perfeitamente a dinâmica da sala: mais do que respostas teóricas prontas, a troca trouxe a perspectiva de quem já enfrentou a transição no campo prático. Logo em seguida, a organização encerrou as salas simultâneas e reuniu todos os participantes no saguão principal do Teams.

O que muda na minha rotina a partir de amanhã

Desliguei o Teams com a cabeça muito mais no lugar e com uma clareza renovada sobre prioridades. Percebi que o excesso de planejamento muitas vezes vira uma forma confortável de adiar o contato com o mercado real.

Criar cronogramas bonitos no Notion ou no Obsidian dá uma sensação boa de controle. Só que ninguém contrata quem tem o melhor sistema de anotações. O mercado valoriza quem resolve problemas concretos, tem honestidade para assumir o que ainda não sabe e mostra energia para aprender rápido onde houver demanda.

A partir de amanhã, guardo os planos teóricos na gaveta. Vou ajustar meu currículo, reconhecer que o meu conhecimento técnico está em constante construção e intensificar as candidaturas para estágios e projetos reais. O ponto de partida quase nunca é como a gente desenha no papel, e os exemplos daquela sala demonstraram que a consistência na prática é o que constrói uma carreira sólida.

Trabalhar Acima do Loop: O Que Aprendi no Capacita+ Sobre a Realidade dos Agentes de IA

Lucas Resende — Mon, 19 Oct 2026 11:08:00 +0000

Nesta semana participei do Capacita+: Construa com o Gemini, treinamento oficial do Google Cloud focado na transição para a chamada era agêntica. O evento conectou polos de ensino técnico e faculdades de vários cantos do país ao palco principal em São Paulo.

A condução do evento teve um formato bem dinâmico. O Dante Olivier abriu os caminhos como host, enquanto a apresentação técnica ficou por conta da Mikaeri Ohana, desenvolvedora e líder de relacionamento técnico no Google Cloud. Para completar, a participação da Lorrane Silva (a Pequena Lô) funcionou muito bem para puxar a conversa pro chão da realidade. Em vez de deixar a conversa presa em jargões de TI, ela fez as perguntas que qualquer usuário comum faria: onde isso me ajuda de verdade e por que eu deveria me importar?

O evento deixou um recado nítido: conversar com um modelo em uma janelinha de chat é uma coisa, mas colocar um sistema agêntico para resolver processos no mundo real é outra história completamente diferente.

Pebolim com Gemma e Gemini: IA na ponta e narração em tempo real

Antes da apresentação principal, uma das ativações montadas no espaço físico mostrou uma divisão de arquitetura que achei muito engenhosa: uma mesa de pebolim (ou totó, dependendo de onde você mora) equipada com visão computacional para narrar a partida ao vivo.

A sacada ali foi não tentar jogar vídeo em alta resolução para a nuvem o tempo todo, o que custaria caro e traria latência:

Na ponta (Edge com TPU): Uma câmera capturava quadros do jogo a cada quinze segundos e mandava direto para um modelo Gemma rodando localmente em uma TPU. Esse modelo menor cuidava do trabalho pesado de visão, medindo posse de bola, tentativas de chute ao gol e movimentação dos bonecos.
Na nuvem (Gemini): O Gemini recebia apenas esses dados já mastigados e estruturados. Com esse contexto limpo em mãos, ele assumia o papel de narrador, comentava os lances, previa as probabilidades de vitória de cada time durante a partida e até simulava um VAR de brincadeira para anular gols.

Essa separação entre o modelo leve na ponta fazendo triagem rápida e o modelo pesado na nuvem cuidando do raciocínio complexo é o padrão que mais faz sentido quando a gente pensa em custo e velocidade.

Bot, assistente ou agente: onde termina a conversa e começa a ação

Muita gente chama qualquer tela preta com inteligência artificial de agente. Só que a Mikaeri organizou essa régua de um jeito simples e direto:

"Um agente recebe um objetivo, considera o contexto, decide como avançar e consegue agir."

Mikaeri Ohana, líder de relacionamento técnico no Google Cloud

Chatbot tradicional: É o bot clássico de aplicativo de banco. Aquele que manda "digite 1 para consultar saldo ou digite 2 para falar com atendente". Ele roda em cima de regras rígidas e árvores de decisão. Se você sair um milímetro do script que o desenvolvedor previu, ele trava.
Assistente de IA: Aqui entra o modelo generativo que entende contexto e linguagem natural, como o Gemini ou o NotebookLM para anotações e estudos. Ele resume textos, sugere códigos e responde perguntas abertas com facilidade. Mas você continua pilotando tudo no braço. Você manda o prompt, lê o resultado, pede um ajuste e decide o próximo passo.
Agente de IA: Aqui a dinâmica muda. Em vez de pedir tarefa por tarefa, você entrega uma meta final. O agente entende o objetivo, analisa o contexto, traça um plano com passos intermediários e aciona ferramentas externas para entregar o trabalho concluído.

A transição aconteceu em etapas bem claras. Primeiro a IA aprendeu a gerar texto e imagens. Depois ganhou a capacidade de chamar funções (function calling) em outros programas. E agora chegamos aos sistemas que perseguem objetivos e corrigem a rota sozinhos:

Tipo de Sistema	Dinâmica Operacional	Quem Conduz o Fluxo	Papel do Humano
Chatbot Tradicional	Árvores if/else e regras pré-programadas	Código estático previsto no desenvolvimento	Navegador preso ao menu
Assistente de IA	Geração e síntese sobre janelas de contexto	O usuário envia cada prompt e guia a iteração	Piloto ativo no teclado
Agente de IA	Perseguição de metas com function calling e loops	O agente decompõe tarefas e aciona ferramentas	Supervisor acima do loop

Cérebro, mãos e sistema nervoso: como as peças se encaixam

Para explicar como essa estrutura fica de pé, a metáfora do corpo humano foi uma das partes mais didáticas do dia:

O Cérebro (Modelo): É o modelo de linguagem (como o Gemini). Ele é quem raciocina, interpreta o pedido e decide o que fazer. Mas um cérebro isolado em uma cuba não mexe em nada no mundo físico. Ele só conversa.
As Mãos (Ferramentas): São as conexões que permitem ao sistema agir. Elas se dividem em três tipos:
- Ferramentas prontas: Serviços comuns do dia a dia, como APIs de busca de passagens, mapas ou previsão do tempo.
- Funções customizadas: Conexões feitas sob medida para sistemas próprios, como bater ponto, consultar estoque ou emitir relatórios internos.
- Recuperação de dados autorizados (RAG): O canal para o agente consultar manuais, bases privadas e pastas seguras antes de responder.
O Sistema Nervoso (Orquestração): É o circuito que coordena essa dança inteira. Ele garante que o cérebro chame as mãos certas, na ordem correta, e saiba lidar com respostas incompletas.

Sem ferramentas, o modelo não passa de um conselheiro passivo. Sem orquestração, as ferramentas viram apenas scripts isolados batendo cabeça.

O loop de quatro tempos e o teste de Toronto

O coração dessa orquestração roda em um ciclo contínuo de quatro verbos: perceber, pensar, agir e checar.

Para mostrar isso na prática, veio o exemplo do intercâmbio de seis meses em Toronto com um teto de trinta e cinco mil reais:

Perceber: O agente lê as restrições da viagem (destino, datas, o limite do bolso e documentos necessários).
Pensar: Ele divide essa missão grande em tarefas menores, separando voos, hospedagem próxima do campus e o visto de estudante.
Agir: O sistema aciona APIs de companhias aéreas, filtra moradias em sites imobiliários e puxa os formulários consulares.
Checar: Ele soma tudo e confere se a conta fecha dentro do orçamento combinado.

A mágica do agente aparece justamente quando as coisas dão errado na checagem.

Imagine que a melhor combinação encontrada de passagem e estadia somou trinta e seis mil reais. Um script tradicional de programação daria erro de condição ou simplesmente travaria avisando que o orçamento estourou.

No loop agêntico, esse estouro de mil reais vira dado novo para o ciclo seguinte. O agente percebe que passou do teto, pensa em outras alternativas, age buscando passagens em dias de semana ou opções de acomodação mais afastadas, e roda a checagem novamente até encontrar uma combinação que caiba no orçamento.

Quando não inventar moda: a régua prática para usar ou não agentes

Uma das coisas que mais gostei no treinamento foi o bom senso de não empurrar agente para tudo. Se a sua necessidade é simples, criar um agente é só um jeito caro e complicado de complicar a vida.

Dá para resumir a escolha em critérios bem práticos:

Passos repetitivos com caminho previsível: Use um script comum de automação. É mais rápido, não alucina e roda de graça.
Dúvida pontual ou análise de documento: Use um assistente comum de chat. Cole o texto, faça perguntas e resolva o assunto em dois minutos.
Caminhos imprevisíveis que exigem adaptação e contato com sistemas de fora: Aqui sim o agente se paga.

A comparação com busca de vagas ilustra isso perfeitamente.

Se você já achou a vaga ideal e quer só adaptar o seu currículo para aquela oportunidade específica, o Gemini no chat resolve na hora. Um assistente dá conta do recado com folga.

Agora, se você quer que o sistema monitore vagas abertas nas próximas três semanas, cruze os requisitos técnicos com as suas habilidades e deixe cartas de apresentação rascunhadas esperando a sua revisão, você tem uma missão continuada. Isso é trabalho sob medida para um agente.

O humano acima do loop: quem decide ainda é você

Autonomia não significa dar a chave do cofre para o modelo sair fazendo o que quiser. O agente trabalha dentro do loop, cuidando da parte chata de buscar opções, cruzar tabelas e simular cenários. Mas quem fica acima do loop é a pessoa.

O agente pode pesquisar as melhores passagens para Toronto e deixar tudo pronto, mas ele não passa o cartão sem você dar o clique final de aprovação. O mesmo vale para submeter uma candidatura de emprego ou apagar registros de um banco de dados.

Isso bate com uma reflexão muito lúcida que a Giulia Bordignon (@spacecoding) trouxe no evento. Ela comentou que a técnica e os comandos de código a gente aprende no Google ou na documentação oficial em pouco tempo. O diferencial que sobra para o profissional é o repertório humano: a nossa capacidade de olhar para a rotina, perceber onde as pessoas estão perdendo tempo ou enfrentando gargalos reais e direcionar essas ferramentas para resolver problemas concretos.

O Google Deep Research é um bom exemplo dessa convivência. Ele pode vasculhar a internet inteira e entregar um relatório estruturado de dez páginas com fontes auditadas. Mas se você não souber calibrar o objetivo inicial e avaliar com olhar crítico se as conclusões fazem sentido, o relatório não passa de papel digital.

Ao final do treinamento, concluí as etapas práticas propostas e recebi o certificado oficial de participação emitido pelo Google Cloud:

Certificado oficial de participação no treinamento Capacita+: Construa com o Gemini (Google Cloud).

No fim das contas, a tecnologia avança, mas o critério continua sendo nosso.

Produzir Ficou Barato, Saber Ficou Caro: O Que o Proud Tech Summit 2026 Revela Sobre a Fronteira Entre Protótipo e Produção

Lucas Resende — Sun, 18 Oct 2026 11:00:00 +0000

Acompanhei a transmissão online do Proud Tech Summit 2026, evento organizado pela Starian e pela Softplan. Foram cerca de oito horas de apresentações focadas em engenharia de software, sistemas legados, uso de agentes em produção e arquitetura de dados.

O evento fugiu do papo genérico de inteligência artificial que domina a internet. Em vez de demonstrações prontas de chat, as palestras mostraram problemas reais: bancos relacionais legados, integrações que quebram, regras fiscais e o trabalho de colocar modelos para rodar com clientes de verdade.

As palestras que acompanhei ao longo do dia:

Carla Souza, Guilherme Brasil e Luis Fausto (Starian e Softplan): abertura e maturidade de IA em empresas.
Lucas Leung (Oracle Brasil): simulações na Fórmula 1 com a Oracle RedBull Racing.
Jean Roloff (Checklist Fácil / Starian): construção do Orbit com Working Backwards e SDD.
Pedro Escobar (Softplan): governança de agentes e o framework Softflow.
Rafael Gomides e Amanda Aragão (1Doc / Softplan): atendimento público via WhatsApp nos municípios.
Diogo Noschang (Starian): governança e segurança de dados corporativos com servidores MCP.
Alexandre Messina (Lovable / VibeLabs): prototipagem rápida e Vibe Coding.

O teste dos três prompts e os 77% empacados

Na abertura, Carla Souza apontou um descompasso claro: a velocidade de construção das ferramentas acelerou drasticamente, mas o tempo necessário para entender regras de negócio e validar sistemas continua sendo humano.

Guilherme Brasil demonstrou isso com um teste no mesmo modelo de LLM. Ele pediu um texto de 32 palavras para a abertura do evento contendo os números 5, 10, 15, 25 e 50. Com o pedido seco, o modelo gerou um chavão corporativo vazio sobre conquistas e futuro. Quando ele forneceu o contexto real - 5ª edição do evento, 10 anos de empresa, 15 anos da filha, 25 de casado e 50 de idade -, a saída virou um texto direto e bem-humorado. O modelo era exatamente o mesmo. A diferença estava apenas no contexto fornecido na entrada.

Luis Fausto trouxe dados do Gartner e da McKinsey sobre o estágio atual do mercado: cerca de 77% das empresas continuam presas a testes iniciais e provas de conceito, enquanto apenas 23% conseguiram colocar sistemas agênticos em produção.

O motivo apontado para esse gargalo é puramente operacional. Para um agente rodar em produção de verdade, ele precisa de um responsável definido, regras claras de nível de serviço (SLA) e mecanismo de rollback para reverter erros em caso de falha.

Orbit: três semanas, PR/FAQ e SDD

Jean Roloff contou como foi o desenvolvimento do Orbit, a plataforma de agentes da Starian, feita em um ciclo de três semanas.

Antes de escrever código, o time usou a abordagem Working Backwards da Amazon: redigiram o comunicado de lançamento (Press Release) e as perguntas frequentes (PR/FAQ) simulando o produto pronto. A ideia era alinhar a dor do cliente e o retorno esperado antes de abrir o editor.

Jean Muller Roloff (Starian) detalhando a metodologia Working Backwards e PR/FAQ no Orbit.

Para a construção com agentes, a equipe adotou Desenvolvimento Orientado por Especificação (SDD). Em vez de prompts abertos, definiram contratos de dados, interfaces e testes unitários antes de acionar a IA para gerar os arquivos. O projeto somou mais de duzentas mil linhas de código com cobertura de testes acima de 90%.

O time também evitou subir de uma vez os quinze microsserviços planejados na arquitetura completa. Eles isolaram uma fatia específica no produto Contato Seguro, voltada à triagem de relatos, colocaram essa parte em produção para colher dados reais e só depois expandiram para outros módulos.

Softflow: 220 desenvolvedores e quatro travas manuais

Na Softplan, o problema não era falta de uso de IA, mas o surgimento de scripts e prompts isolados espalhados entre mais de 220 engenheiros, o que complicava a manutenção compartilhada da base de código.

Pedro Escobar apresentou o Softflow, um framework baseado no padrão Orchestrator-Workers com onze etapas. O ponto central do fluxo são os pontos de parada obrigatórios (gates), onde o processo é travado até que um desenvolvedor valide o que foi gerado.

Pedro Escobar (Softplan) apresentando a divisão de subagentes por contexto a partir da revisão de código.

Etapa / Gate	Automação do Agente / Ação do Worker	Validação Humana (Ponto de Parada)	Status / Papel
Gate 1	Lê o item de trabalho e escreve a especificação técnica formal (SDD)	Aprovação manual da especificação antes de qualquer código	`Especificação`
├── Worker	Gera a implementação e executa a suíte de testes inicial	—	`Execução`
Gate 2	Subagentes analisam o diff atrás de problemas de segurança, desempenho e arquitetura	Desenvolvedor avalia achados e decide o que corrigir ou descartar	`Achados de Revisão`
Gate 3	Cria a branch e executa os testes automatizados de integração	Aprovação manual necessária para merge na main	`Merge Request`
Gate 4	Prepara o fechamento e valida os critérios de negócio	Humano confirma se a demanda de negócio foi atendida	`Fechamento`

Pipeline de desenvolvimento e pontos de parada humanos no Softflow

O fluxo organiza a validação em quatro etapas principais:

Gate 1 (Especificação): O agente lê o item de trabalho e escreve a especificação técnica formal (SDD). Nenhum código é gerado antes da aprovação dessa spec.
Gate 2 (Achados de Revisão): Subagentes dedicados analisam o diff atrás de problemas de segurança, desempenho e arquitetura. O desenvolvedor decide pontualmente o que mandar corrigir ou descartar.
Gate 3 (Merge Request): O agente monta a branch e roda a suíte de testes, mas a aprovação do merge no repositório continua manual.
Gate 4 (Fechamento): Uma pessoa confirma se a demanda de negócio foi atendida antes de encerrar o item.

Na demonstração ao vivo, Escobar mostrou a resolução de um bug em uma integração legada com o IBM Jazz RTC, em que a API retornava campos de responsável vazios. O agente usou chamadas via MCP para inspecionar os work items e aplicou a correção. Antes de abrir o MR, um subagente de revisão apontou que uma linha de log não tinha teste unitário associado. O ajuste foi feito na hora e o merge seguiu com a suíte verde.

1Doc: atendimento público via WhatsApp e controles operacionais

A apresentação de Rafael Gomides e Amanda Aragão tratou do canal de atendimento municipal da 1Doc via WhatsApp (casos da LIA em Limeira e da TIA em Florianópolis).

Colocar serviços públicos no WhatsApp aproveita o alcance do aplicativo, mas impõe desafios práticos de arquitetura:

Rafael Gomides (1Doc) explicando a arquitetura de contratos de leitura sobre sistemas legados.

Em conversas cotidianas, as pessoas mandam mensagens truncadas, áudios e mudam de assunto, o que não encaixa direto na abertura de um processo administrativo. A solução envolveu criar formulários dentro da conversa e programar o agente para encaminhar casos complexos diretamente para os canais presenciais.

Outro ponto é a segurança: número de telefone não identifica cidadão de forma jurídica. Para emissão de certidões ou consulta de débitos, a 1Doc desacoplou o acesso: o cidadão clica em um link temporário para autenticar na plataforma web oficial, sem trafegar senhas ou armazenar dados pessoais na conversa do WhatsApp.

Além disso, a abertura do processo municipal não depende da estabilidade de um aplicativo de mensagens. O registro é salvo de forma transacional no banco antes de enviar qualquer notificação ao usuário.

Para controle de custos e risco, a gestão municipal possui botões para desativar serviços específicos sob demanda e travas com alertas automáticos em 50%, 70%, 90% e 100% da cota contratada. Se atingir o limite, a IA é desativada e as solicitações voltam para a fila de atendimento padrão.

Servidor MCP: conectando IA ao banco sem permissão de escrita

Diogo Noschang abordou o problema de permitir que modelos de IA consultem bases corporativas sem expor dados confidenciais ou arriscar alterações indevidas no banco de dados.

Bancos legados acumulam décadas de regras implícitas e tabelas com nomes abreviados que modelos de linguagem interpretam mal se receberem apenas esquemas crus.

Na Starian, a opção foi colocar um servidor Model Context Protocol (MCP) em Python entre o modelo e as bases da empresa:

Camada da Arquitetura	Componente / Ambiente	Controles de Segurança & Execução	Permissão / Escopo
Camada Cliente	Modelo de IA / Orquestrador LLM	Emite consultas específicas de métricas e contexto sob demanda	`Ferramentas sob Demanda`
├── Camada Lógica	Servidor MCP em Python	Sanitização de parâmetros, prevenção de SQL injection e limites de consulta	`Validação & Filtragem`
└── Camada Física	Banco de Dados Relacional Corporativo	Usuário de conexão estritamente restrito a operações `SELECT`	`Somente Leitura (Sem Mutações)`

Fluxo de segurança em duas camadas com Servidor MCP

A separação opera em dois níveis:

Camada lógica (Servidor MCP): O serviço em Python valida os parâmetros da pergunta, barra tentativas de injeção de SQL e rejeita pedidos excessivamente amplos (como consultas que tentam listar tabelas inteiras sem filtro).
Camada física (Banco de Dados): O usuário de conexão utilizado pelo MCP no banco corporativo tem permissão restrita a SELECT. Não existem concessões de INSERT, UPDATE ou DELETE, o que impede modificações em registros de produção mesmo em caso de erro do modelo.

O servidor também carrega contexto sob demanda: em vez de injetar o esquema completo do banco a cada interação, o MCP disponibiliza apenas as ferramentas necessárias para responder àquela métrica específica. No caso do framework Starian Performance 360, no Projuris Empresa, o sistema unificou consultas cruzando Jira, SonarQube, GitLab e Windsurf, registrando alta de 27,3% na vazão qualificada e taxa de retrabalho de 17,6%.

Red Bull Racing: simulações na OCI

A apresentação de Lucas Leung trouxe o uso de computação de alto desempenho pela Oracle RedBull Racing na Fórmula 1.

Nos finais de semana de corrida, a equipe utiliza clusters com Kubernetes rodando mais de quinhentas CPUs ARM na Oracle Cloud Infrastructure (OCI). Em momentos de bandeira amarela ou safety car, o sistema chega a rodar picos de um milhão de simulações de Monte Carlo por segundo, gerando cerca de seis milhões de cenários para avaliar se vale a pena parar nos boxes.

Essa estrutura respaldou a estratégia de Max Verstappen no GP de Miami, quando o piloto largou em nono lugar com pneus duros e estendeu o stint inicial em ar limpo para colocar médios no fim da prova, vencendo a corrida. A decisão no pitwall foi guiada diretamente por esses cálculos de probabilidade em tempo real.

Lovable e Vibe Coding: protótipos rápidos vs. sistemas legados

Alexandre Messina apresentou a trajetória da Lovable e o fluxo de Vibe Coding, mostrando a criação de interfaces funcionais a partir de comandos em linguagem natural.

Entre os exemplos citados, estava o Amosview na Amicci, um sistema de gestão de amostras montado em dois dias por um profissional de operações para resolver um gargalo interno, sem depender de chamados para a equipe de TI. Para validar ideias de produtos, desenhar provas de conceito ou criar ferramentas departamentais simples, a velocidade dessa abordagem é evidente.

Alexandre Messina (Lovable) apresentando a aceleração de protótipos com Vibe Coding.

A fronteira prática aparece quando o protótipo precisa virar produto mantido em escala corporativa. Uma interface montada em linguagem natural resolve a interação inicial, mas não resolve o banco legado com regras acumuladas ao longo de dez anos, filas assíncronas, auditoria ou controle estrito de sessão. Na Lovable é viável estruturar um SaaS com Supabase e Stripe em questão de horas, enquanto nos cenários da Softplan e da 1Doc, o desafio diário é fazer a automação conviver com sistemas legados onde qualquer falha de integridade impacta processos judiciais ou fiscais.

O que fica

Gerar código virou a parte rápida e barata do processo. O trabalho que continua tomando tempo é o de sempre: entender a regra de negócio, desenhar contratos técnicos antes de implementar e garantir testes que segurem regressões.

Saí de lá decidido a estudar mais a fundo o protocolo MCP e escrever especificações melhores antes de pedir código. O resto é conversa.

Amplificador, Não Piloto Automático: Meu Ecossistema de Estudos de Programação com IA

Lucas Resende — Sat, 17 Oct 2026 11:00:00 +0000

Estava assistindo a uma análise da engenheira Karol Attekita em seu vídeo sobre a divisão do mercado tech, e uma frase me chamou muita atenção: o rio não secou, mudou de leito.

A tese dela é que o mercado em 2026 não morreu, mas sofreu uma divisão profunda. De um lado, demissões em posições de entrada focadas em tarefas repetitivas, telas simples e CRUDs padronizados, coisas que a inteligência artificial hoje entrega em segundos. Do outro lado, sobram vagas abertas para quem domina sistemas complexos, arquitetura, automação e segurança. O desenvolvimento de software não ficou mais simples nem menos técnico. Pelo contrário, ganhou camadas novas de abstração, como Spec-Driven Development e arquiteturas de agentes.

Nas minhas próprias pesquisas e na rotina de estudos, tenho percebido esse contraste com cada vez mais força. Para quem está aprendendo a programar agora, isso cria uma encruzilhada perigosa.

Com um comando de prompt, qualquer modelo de linguagem resolve os exercícios do CS50 de Harvard ou as listas de lógica da faculdade em instantes. Mas se eu usar essa facilidade para pular o esforço intelectual, estou apenas me treinando para ser substituível amanhã.

Por isso, tanto na Fatec quanto no CS50x, decidi inverter essa lógica: em vez de pedir para a IA me entregar o código pronto, uso a tecnologia como amplificador de contexto, pesquisa e fixação, mantendo 100% da construção do raciocínio nas minhas mãos.

A rotina que construí no dia a dia é o resultado prático dessa escolha, conectando o que vejo em sala de aula até a automação de memória e gestão de ferramentas.

Da lousa ao Obsidian: o que faço quando a aula da faculdade acaba

Nas aulas da Fatec, a primeira decisão acontece antes mesmo de ligar o computador: o formato do registro depende do que está acontecendo na sala.

Quando a aula é expositiva e acompanhada por slides conceituais, digito direto no Obsidian em Markdown. Mas quando o professor vai para a lousa desenhar estruturas de dados, fluxos de execução, representações de memória ou diagramas relacionais, prefiro papel e caneta. A flexibilidade do desenho livre para capturar conexões espaciais e setas lógicas em tempo real ainda supera qualquer teclado.

O ponto principal é o que acontece depois da aula. As anotações do papel não vão para uma gaveta. Eu levo esse material para o Obsidian, onde roda uma rotina automatizada com apoio de IA para me ajudar em quatro etapas bem definidas:

Primeiro, ela reorganiza as ideias dispersas. Muitas vezes o professor faz uma observação no final da aula que amarra um conceito do começo, e o script conecta esses pontos estruturando títulos claros e diagramas visuais em Mermaid.

Segundo, e essa é uma das partes mais úteis: durante a explicação em sala, sempre que surge um conceito confuso que não deu tempo de tirar dúvida na hora, anoto essa pergunta diretamente no meio do texto:

[DÚVIDA:: Por que quando passo um array pra uma função em C o sizeof só mostra o tamanho do ponteiro (8 bytes) em vez do tamanho total da lista? Lembrar de testar no código.]

Em vez de deixar essa dúvida esquecida, o agente lê essa marcação específica e busca em documentações oficiais uma contextualização rápida, trazendo a regra formal e um exemplo prático.

Mas existe uma regra inegociável nesse processo: a IA apenas organiza e contextualiza. Depois que o documento é enriquecido, leio a nota completa linha por linha com calma para re-aprender o conteúdo. Sem essa leitura ativa, a nota vira apenas um arquivo bonito ocupando espaço no disco.

Anki e repetição espaçada: como evito esquecer a sintaxe no dia seguinte

Anotar bem e revisar no mesmo dia ajuda muito, mas o cérebro humano tem uma facilidade enorme de descartar regras de sintaxe e detalhes técnicos se não for provocado com frequência.

Para resolver isso, levo esses conceitos para o Anki, usando o algoritmo FSRS (Free Spaced Repetition Scheduler), que calcula o intervalo exato de revisão para cada cartão dependendo da minha facilidade ou dificuldade ao responder.

Aqui muita gente cai numa armadilha clássica: pedir para uma IA qualquer "gerar 10 cartões de perguntas e respostas sobre a aula". O resultado costuma ser desastroso: textos longos, respostas óbvias e decoreba passiva que não dura uma semana.

Prefiro seguir os princípios clássicos de formulação de conhecimento do Piotr Wozniak. Os cartões precisam ser atômicos, cobrindo apenas um fato ou uma relação de causa e efeito através de lacunas pontuais (clozes). O foco não é memorizar definições prontas, mas entender como o código quebra e como o compilador reage.

Na prática, um cartão gerado pelo fluxo fica assim:

Em C, a função malloc retorna {{c1::NULL}} quando {{c2::não há memória suficiente disponível no heap}}, exigindo validação defensiva antes de usar o ponteiro.

Para não perder tempo copiando e colando dezenas de cartões manualmente, conectei essa rotina diretamente à API local do AnkiConnect, que roda na porta 8765 do meu computador. O agente formata os cartões a partir da nota revisada e injeta tudo no baralho certo via chamadas HTTP locais. Minha única tarefa matinal é abrir o aplicativo e fazer as revisões do dia.

O desafio do C no CS50: desenhar na lousa antes de encostar no teclado

No CS50x de Harvard, o nível de exigência sobe bastante. Atualmente estou na Semana 4, que é a virada para a linguagem C pura, lidando com ponteiros, alocação de memória com malloc e manipulação direta de endereços na RAM.

Aqui o compilador é implacável. Se você não souber exatamente para onde um ponteiro aponta ou o que acontece com um byte na memória, o programa fecha na hora com uma falha de segmentação (segmentation fault). Terceirizar a resolução desses exercícios para uma IA seria o caminho mais rápido para criar uma falsa sensação de competência e não aprender computação de verdade.

Para acompanhar as aulas longas e densas do professor David J. Malan, comecei a usar transcrições aumentadas. A transcrição automática em áudio vem com pequenos erros fonéticos e texto corrido, enquanto as notas oficiais cortam boa parte dos exemplos práticos. Peço então para a IA cruzar as duas fontes, gerando um material limpo, com os slides certos inseridos no momento em que o professor fala e os trechos de código formatados.

Com esse material aberto, meu processo antes de codificar é bem visual: antes de encostar um dedo no teclado para escrever exercícios clássicos como o cálculo de troco (Cash) ou manipulações de matrizes, abro uma lousa digital. Desenho como os loops vão rodar, onde os ponteiros começam e quais são as condições de parada.

Só depois de enxergar a lógica na tela é que abro o VS Code Spaces oficial do curso para digitar. E não tem sensação melhor do que rodar os testes automatizados do curso no terminal e ver o check50 retornar inteiramente verde, sabendo que cada linha foi pensada e depurada por mim.

Outra adaptação que fiz foi no método de foco: em vez de cortar o raciocínio a cada 25 minutos no Pomodoro clássico, sigo a minha carga mental real. Se estou focado em um problema difícil de ponteiros, fico até 2 horas direto sem pausas forçadas. No final da sessão, sempre deixo uma nota curta de bastidor no meu diário: "Hoje apanhei da sintaxe de aritmética de ponteiros, achei interessante o comportamento do buffer". Esse histórico me mostra com clareza onde estou tropeçando e o que preciso reforçar.

Meu setup diário: múltiplos modelos rodando por R$ 24 ao mês

Existe um mito de que ter um ambiente de estudos avançado com inteligência artificial exige gastar fortunas em múltiplas assinaturas todo mês. Na prática, montei uma bancada muito eficiente gastando cerca de R$ 24 mensais através de orquestração inteligente:

Camada / Ambiente	Descrição & Fluxo	Papel
Google Antigravity	IDE com orquestração de agentes e execução local	`Ambiente Principal (R$ 24/mês)`
├── Gemini 3.8 + Qwen 3.8 Max	Investigação profunda e síntese cruzada de relatórios	`Deep Research`
└── DeepSeek API + NotebookLM	Contingência via Zoo Code e consulta a PDFs técnicos	`Contingência & Consulta`

Arquitetura do ecossistema de estudos com múltiplos modelos

Como ambiente principal de desenvolvimento, uso o Google Antigravity, aproveitando o plano Pro para estudantes (que custa por volta de R$ 24 ao mês). Além de me dar acesso amplo aos modelos mais recentes da família Gemini, o pacote inclui um bom espaço de armazenamento no Google Drive, que compartilho com a minha família.

Quando preciso fazer pesquisas aprofundadas em tópicos mais complexos de arquitetura, coloco o Deep Research do Gemini 3.8 Flash e o modo investigativo do Qwen 3.8 Max para rodar. Relatórios de pesquisa profunda costumam vir cheios de ruído superficial e repetições. É aí que uso os agentes no Antigravity para comparar as duas fontes, filtrar redundâncias e resumir apenas o núcleo técnico verificado.

Meu interesse pelas tecnologias chinesas veio dos meus estudos de mandarim, e o DeepSeek me surpreendeu muito pelo custo-benefício em tarefas de raciocínio. No VS Code, utilizo a extensão Zoo Code conectada à API do DeepSeek (modelos V3 e 4.1 Flash). Quando as cotas do ambiente primário atingem o limite temporário, essa API assume o trabalho como contingência, custando centavos por milhão de tokens.

Por fim, uso o NotebookLM como cofre fechado de consulta para documentações oficiais e livros técnicos em PDF. Ele garante que as respostas fiquem restritas às fontes confiáveis que eu subi, além de gerar resumos em áudio que gosto de ouvir enquanto caminho.

Limites e segurança: por que não deixo agentes soltos na minha máquina

Participar recentemente da conferência de segurança Hack'a Valley 2026, no Vale do Paraíba, me fez olhar para o uso de IA com uma postura muito mais cuidadosa e defensiva.

Modelos de linguagem conectados a ferramentas do sistema operacional não são mágicos, mas sim sistemas probabilísticos. Se você deixa um agente rodar comandos no seu terminal ou varrer páginas da web sem travas, você está abrindo portas para problemas reais, como ataques de injeção de prompt indireta (indirect prompt injection). Uma instrução maliciosa hospedada em uma página qualquer pode desviar o objetivo do agente e tentar rodar scripts indesejados no seu sistema.

Para evitar surpresas, sigo diretrizes bem definidas no meu fluxo diário. Em primeiro lugar, agentes de leitura e pesquisa operam sempre com permissões mínimas, em modo estritamente somente leitura. Em segundo lugar, nenhuma ação que altere arquivos críticos, remova diretórios ou execute chamadas de rede roda sem a minha confirmação explícita no teclado (Human-in-the-Loop). Por fim, qualquer conteúdo externo vindo da web passa por filtros de limpeza antes de entrar no contexto dos modelos.

Aprender a programar cercado por agentes de IA também significa aprender a governar essas ferramentas com rigor técnico.

O próximo passo: fugir dos tutoriais com estudo socrático

Assistir a tutoriais em vídeo dá uma sensação confortável de progresso. O professor digita, o código compila na tela e parece tudo muito claro. Mas o teste de verdade acontece quando você fecha a janela do vídeo, abre um arquivo em branco no editor e percebe que não sabe por onde começar.

O plano para quando eu terminar o CS50x e fechar o primeiro semestre da Fatec é dar mais um passo rumo ao estudo ativo: adotar tutores com o método socrático para guiar meu aprendizado autodidata.

A ideia é alimentar o modelo com roadmaps validados e documentações oficiais, deixando que ele atue como um tutor exigente. Em vez de me entregar explicações prontas, a IA vai fazer perguntas sobre a lógica, apresentar pequenos códigos quebrados para eu corrigir e calibrar os exercícios de acordo com a minha Zona de Desenvolvimento Proximal (ZPD). O avanço para o próximo tópico só acontece quando o código e o raciocínio estiverem comprovadamente dominados na prática.

A ferramenta acelera, mas quem precisa aprender sou eu

O mercado de tecnologia de 2026 não está carente de pessoas que sabem digitar comandos em um chat para gerar códigos automáticos. O que falta são profissionais com capacidade analítica, que entendem como sistemas quebram, como a memória se comporta e como desenhar soluções seguras.

A inteligência artificial é uma das maiores aliadas que um estudante de computação pode ter hoje, desde que seja usada para tirar o trabalho burocrático da frente e abrir espaço para o que realmente importa: o atrito de pensar.

Aprender programação de verdade dá trabalho e exige paciência. Mas quando você usa as ferramentas para potencializar o seu esforço, e não para fugir dele, a base que você constrói fica sólida para o resto da jornada.

Além do Código: O que o Hack'a Valley 2026 Revela Sobre Arquitetura, IA e Segurança

Lucas Resende — Fri, 16 Oct 2026 11:00:00 +0000

A maioria dos tutoriais de programação ensina a construir no cenário ideal: a tela abre, o botão responde e o banco de dados salva a informação. O problema é que o ambiente de produção não perdoa pequenos descuidos de arquitetura.

Neste fim de semana, acompanhei as nove palestras da Trilha Técnica do Hack'a Valley Security Conference 2026, no Vale do Paraíba. Em um único dia, vi demonstrações práticas de um Rádio Definido por Software (SDR) manipulando a localização de um smartphone via radiofrequência, e um API Gateway vazando a memória de uma aplicação bancária por causa de uma rota coringa mal configurada.

Chegada e credenciamento no Hack'a Valley 2026: imersão na trilha técnica de segurança ofensiva e defensiva.

Mesmo estando no primeiro semestre de Análise e Desenvolvimento de Sistemas (ADS) na FATEC, minha decisão de participar da conferência teve um objetivo claro: observar a tecnologia pela perspectiva de quem testa limites, identifica falhas estruturais e projeta defesas em ambientes críticos.

A experiência reforçou uma conclusão prática: segurança não é uma camada adicionada no final do projeto, mas parte inseparável da engenharia de software. Compreender redes, concorrência, gerenciamento de memória e permissões é o que sustenta um sistema estável.

Abaixo, reuni os principais aprendizados técnicos e arquiteturais de cada apresentação.

1. Agentes de IA em Ação: Desafios da Segurança na Era da Autonomia

Palestrante: Poliana Moraes (Especialista em InfoSec & Governança na CI&T)

A apresentação abordou a transição da inteligência artificial dos chatbots de texto para os agentes autônomos. Esses modelos recebem objetivos em alto nível, planejam etapas de forma dinâmica e acionam ferramentas externas como APIs, bancos de dados e interpretadores de comando com intervenção humana reduzida.

Poliana Moraes (CI&T) detalhando o fluxo de percepção, centro de controle e atuadores em sistemas agênticos.

O ponto central foi o contraste entre dois modelos fundamentais de computação:

Computação Clássica: Determinística, onde regras lógicas estritas aplicadas às entradas sempre produzem rigorosamente a mesma saída.
Sistemas com IA: Probabilísticos, onde o modelo deduz padrões a partir de dados e pode tomar decisões e caminhos diferentes a cada ciclo de execução.

Proteger arquiteturas probabilísticas exige novos critérios de desenho:

Isolamento de Blast Radius: O agente não deve herdar permissões administrativas totais da conta do usuário. Ele precisa de uma identidade de serviço própria, restrita ao menor privilégio necessário para a tarefa.
Mitigação de Goal Hijacking: Quando um agente processa conteúdos externos da web ou de bancos de dados, instruções maliciosas ocultas podem desviar seu objetivo primário.
Human-in-the-Loop (HITL): Ações de alto impacto, como transações financeiras, exclusão de dados ou alterações de infraestrutura, precisam de validação humana explícita antes da execução.

2. Back to the Roots: CTI e a Maestria dos Fundamentos

Palestrante: Thiago Bordini (Diretor de CTI no Cyber Horizon Group)

Com mais de duas décadas de experiência na resposta a incidentes críticos no Brasil, Bordini analisou como operam os grupos de ataque que visam o sistema financeiro e corporativo nacional.

Thiago Bordini (Cyber Horizon Group) mapeando o ciclo de ataque real contra o sistema financeiro e corporativo brasileiro.

Ele demonstrou que as invasões mais graves raramente dependem de técnicas cinematográficas. Na prática, os atacantes exploram descuidos comuns de desenvolvimento:

Chaves de acesso e variáveis de ambiente esquecidas em coleções públicas do Postman.
Repositórios de código corporativo publicados sem proteção em contas pessoais do GitHub.
Credenciais capturadas por InfoStealers associadas à falta de autenticação multifator em acessos via linha de comando.
Injeção de mensagens diretamente em filas corporativas como RabbitMQ e Azure ServiceBus para emitir ordens fraudulentas de liquidação via PIX.

O recado principal foi a valorização do básico bem executado. Adquirir ferramentas caras não resolve falhas estruturais de visibilidade de logs, excesso de privilégios e desconhecimento dos fluxos do próprio negócio.

Bordini destacou a importância do brio intelectual, lembrando que dominar a computação exige a disciplina de estudar documentações densas e fundamentos de arquitetura, sem depender de atalhos superficiais.

3. Explorando Vulnerabilidades em APIs Gateways

Palestrante: Fepame (Especialista em API Security & OffSec)

Uma análise prática de como decisões de roteamento em arquiteturas de microsserviços afetam a segurança da aplicação. O API Gateway funciona como ponto central de entrada, validando requisições públicas e distribuindo o tráfego para serviços internos.

O palestrante destacou os riscos de configurações permissivas:

Uso de Wildcards (`/`):** Mapeamentos genéricos de rotas repassam caminhos arbitrários para a rede interna, expondo serviços que nunca deveriam ser acessíveis externamente.
Exposição de Endpoints de Diagnóstico: Manter ativas rotas do Spring Boot Actuator em produção expõe variáveis de ambiente (/actuator/env) e permite o download do heapdump da memória da JVM (/actuator/heapdump).
Path Traversal e WAF Bypass: Manipulações de codificação na URL (como Double URL Encoding) que contornam filtros do firewall de aplicação, permitindo extrair da memória tokens JWT e cabeçalhos de autenticação de sessões ativas para assumir contas de clientes bancários.

A lição para quem projeta software é direta: a segurança das rotas precisa ser validada tanto no Gateway quanto individualmente em cada microsserviço de retaguarda.

4. Além dos Prompts: Integrando Agentes de IA em OSINT

Palestrante: Vinícius Vieira (SecOps Manager na Trustly)

Apresentação voltada para o uso de agentes de IA em operações de OSINT (Open Source Intelligence), estruturando investigações em fontes abertas de maneira modular.

Vinícius explicou a diferença entre consultas isoladas em chatbots e a construção de pipelines agênticas especializadas. Em vez de concentrar instruções em um único prompt extenso, a arquitetura recomendada utiliza um orquestrador central que distribui tarefas para agentes com funções delimitadas: coleta de registros, cruzamento de dados públicos, detecção de anomalias e consolidação de relatórios com persistência de contexto entre execuções.

O palestrante também tratou do rigor de segurança operacional (OPSEC):

Dados corporativos confidenciais ou evidências sensíveis não devem ser enviados para provedores de modelos em nuvem pública sem garantias contratuais de retenção zero.
O uso de modelos abertos executados localmente, como a família Llama via ferramentas de inferência local, garante que nenhuma informação saia da infraestrutura própria.
A responsabilidade pelas conclusões de uma análise permanece com o operador humano, que deve checar a veracidade das fontes e não tratar probabilidades de modelos como fatos comprovados.

5. A História da Segurança da Informação: De 1940 aos Dias de Hoje

Palestrante: Felipe Prado (Head de IA & Cyber Analytics na Credicorp)

Uma retrospectiva histórica que conectou as origens da computação aos desafios atuais de nuvem e inteligência artificial.

Prado destacou marcos fundamentais ao longo das décadas:

Décadas de 1940 a 1970: Os trabalhos pioneiros de John von Neumann e Alan Turing, a criação da ARPANET e a era do phreaking, quando John Draper descobriu que o apito de brinquedo do cereal Cap'n Crunch (na frequência de 2600 Hz) permitia controlar comutadores telefônicos para efetuar chamadas gratuitas.
Décadas de 1980 e 1990: A chegada dos computadores pessoais, a disseminação dos primeiros vírus em disquetes, o AIDS Ransomware (1989) e as práticas de engenharia social física (dumpster diving), em que informações corporativas eram obtidas diretamente de documentos descartados no lixo de instituições financeiras.

A principal observação foi o caráter cíclico da área: novas tecnologias frequentemente recriam problemas conhecidos de validação, identidade e controle de acesso, apenas sob novas camadas de abstração.

6. Quebrando o Air-Gap com Suporte de IA: Engenharia de Detecção em SOC de TO

Palestrante: Osmany Arruda (Incident Response Specialist na Tempest e Docente na FATEC)

Uma análise sobre a segurança em ambientes de Tecnologia Operacional (TO), que controlam processos industriais, redes elétricas e linhas de produção fabris.

Arruda detalhou o contraste de prioridades operacionais entre os dois mundos:

Em TI Tradicional: A prioridade central costuma ser a Confidencialidade dos dados.
Em TO Industrial: A prioridade máxima é a Disponibilidade e a Integridade Física (Safety), pois paralisar uma linha de produção ou maquinário pesado para aplicar correções de sistema pode gerar prejuízos elevados e riscos diretos às pessoas.

O palestrante desmistificou o isolamento total (Air-Gap), mostrando que redes sem fio de manutenção e dispositivos temporários criam pontes de entrada. Em seguida, demonstrou como o uso orientado de IA auxilia na escrita rápida de consultas KQL (Kusto Query Language) dentro de plataformas de SIEM, identificando anomalias em protocolos industriais legados (como Modbus e CIP) sem causar interrupções operacionais.

7. É Possível Hackear o Sistema de GPS em Casa? (SDR & Aviação)

Palestrante: Alberto Magno (Pesquisador e Especialista em Cibersegurança Aeroespacial)

Apresentação técnica sobre a camada física de transmissões de radiofrequência e a vulnerabilidade das constelações de satélites GNSS (GPS, GLONASS, Galileo e BeiDou).

Alberto explicou os dois principais tipos de interferência:

Jamming: Emissão de ruído contínuo na mesma frequência do sinal (Banda L1 em 1575.42 MHz) com potência suficiente para encobrir o sinal dos satélites, resultando em perda de rastreio.
Spoofing: Transmissão de sinais forjados com potência ligeiramente superior à dos satélites legítimos, induzindo receptores a aceitarem coordenadas, velocidade e horários incorretos.

Utilizando um Rádio Definido por Software (HackRF One) e scripts em Python, ele demonstrou na prática:

A alteração das coordenadas de smartphones e módulos GPS para qualquer localização global em tempo real, contornando proteções em nível de software por atuar diretamente na camada física de rádio.
A criação de trajetórias dinâmicas contínuas através da fórmula matemática de Haversine, simulando o deslocamento suave de veículos e aeronaves com controle de velocidade e altitude.

O experimento reforçou os riscos para frotas autônomas e a aviação civil, destacando a necessidade de redundância com Sistemas de Navegação Inercial (INS) que não dependem exclusivamente de sinais externos.

8. Crime e Castigo: O Funeral do OPSEC

Palestrantes: Cybelle Oliveira (La Villa Hacker DEF CON) e Divina Vitorino (Coordenadora de InfoSec LATAM)

Estudo de caso investigativo sobre o modelo comercial de Malware-as-a-Service (MaaS), focado na operação do RedLine Stealer, um dos malwares mais disseminados para captura de credenciais, cookies de sessão e carteiras digitais.

Cybelle Oliveira (La Villa Hacker) detalhando a arquitetura de infecção e exfiltração de dados do RedLine Stealer.

A apresentação detalhou como operadores de ataques foram identificados por equipes de inteligência de ameaças (CTI) e autoridades policiais devido a falhas de segurança operacional (OPSEC):

Reuso de Identidade Digital: Associação de e-mails antigos utilizados em fóruns e redes sociais pessoais aos servidores de compilação do malware.
Contaminação de Endereço IP: Uso do mesmo IP residencial para atividades de lazer e, minutos depois, para autenticação na infraestrutura de controle do código malicioso.
Rastreabilidade Financeira: Aceitação de transações em Bitcoin vinculadas a contas em corretoras com verificação formal de identidade (KYC).

A conclusão reforçou que a sofisticação técnica de um software não anula falhas humanas de disciplina e processo.

9. macOS Doesn't Get Malware... Until It Does

Palestrante: Zoziel Freire (CSIRT Manager na Telefônica Brasil)

Apresentação que desconstruiu a ideia de invulnerabilidade do ecossistema Apple, analisando mecanismos internos de segurança (como Gatekeeper, SIP e XProtect) e apresentando técnicas utilizadas por ameaças direcionadas à plataforma.

Entre os conceitos explorados, destacaram-se:

Uso de LOLBins (Living off the Land Binaries): Emprego do interpretador Python assinado nativamente pelo sistema para rodar rotinas maliciosas sem disparar alertas de execução não autorizada.
Persistência no Nível do Usuário: Inclusão de arquivos .plist no diretório ~/Library/LaunchAgents, permitindo que o script inicie automaticamente a cada login sem exigir privilégios de administrador (root).
Execução em Memória (In-Memory): Injeção de código diretamente na memória RAM sem salvar binários no disco rígido, contornando a detecção por assinaturas estáticas de antivírus convencionais.

O encerramento destacou a importância de telemetria comportamental contínua integrada ao Endpoint Security Framework (ESF) da Apple.

Experiências Práticas e Conexões

Além das palestras no palco principal, o evento proporcionou contato direto com tecnologias emergentes e profissionais da área.

Testando na prática a interface de leitura de ondas cerebrais (EEG) para controle de dispositivos no estande da FIAP.

Nos espaços de comunidade e estandes, como a demonstração de interfaces cérebro-computador (BCI / EEG) da FIAP conectando sinais neurais ao acionamento físico de lâmpadas, ficou evidente como as fronteiras entre hardware, software e dados biométricos estão se estreitando, e como cada nova interface amplia os requisitos de segurança e confiabilidade.

Conclusões e Direcionamento Técnico

Acompanhar a conferência consolidou uma certeza prática: o desenvolvedor que compreende como a infraestrutura opera por baixo dos panos escreve software mais confiável, performático e escalável.

Entender falhas de roteamento em gateways de API, governança de modelos de inteligência artificial, segmentação de redes e retenção de logs não é um tema restrito a especialistas em segurança. É a base técnica necessária para tomar decisões conscientes de arquitetura.

Cada uma das palestras abriu tópicos de aprofundamento que continuarei explorando na FATEC e aplicando no desenvolvimento dos meus projetos práticos.

Do Scratch ao C: Como Foram Minhas Primeiras 3 Semanas no CS50 de Harvard

Lucas Resende — Thu, 15 Oct 2026 12:24:52 +0000

Quando comecei as primeiras aulas do CS50x (o curso introdutório de Ciência da Computação de Harvard), o professor David J. Malan avisou logo de cara: aprender programação pode parecer como tentar beber água diretamente de um hidrante.

Três semanas depois, posso confirmar: o volume de informação é enorme. De início, confesso que bateu um leve receio pelo fato das aulas serem 100% em inglês, mas as explicações eram tão didáticas que, com uma ou outra pesquisa rápida, deu para acompanhar super bem.

Para não me afogar, precisei de um ritmo próprio: dividi as sessões de estudo ao longo de 2 a 3 dias por aula, sempre parando o vídeo, entendendo a lógica, anotando e testando no código. No fim das contas, encarar as dificuldades e ver a solução funcionar por conta própria traz uma satisfação indescritível.

Quero compartilhar como foi vivenciar essa maratona inicial, da lógica visual no Scratch até os primeiros desafios em C, com meus comentários de bastidor, erros e pequenas vitórias.

Week 0: Aprendendo a pensar como programador (e brincando no Scratch)

A Semana 0 me fez virar uma chave importante: Ciência da Computação não é sobre memorizar sintaxe, mas sobre resolver problemas. É o processo que acontece no espaço entre o input (o problema) e o output (a solução).

Entender como os computadores funcionam por baixo dos panos, do binário até a forma como imagens e textos são guardados na memória, me deu uma perspectiva totalmente nova. Mas o momento em que a chave virou de verdade foi na prática.

Para treinar a lógica sem as barreiras do código em texto, o curso usa o Scratch, uma ferramenta desenvolvida pelo MIT em que programamos juntando blocos visuais coloridos, quase como montar um quebra-cabeça. Nele, criei meu primeiro projeto interativo (Starting from Scratch). Montei blocos customizados com parâmetros, criei variáveis e condicionais. Parecia um jogo simples de início, mas me forçou a pensar em estrutura e abstração antes de encostar em uma linha de código textual.

Week 1: O choque com a linguagem C e o amor pelo terminal

Se no Scratch tudo era visual e amigável, a Semana 1 nos joga direto na linguagem C. De repente, um simples ponto e vírgula esquecido paralisa o programa inteiro.

Conforme fui avançando nos vídeos, me peguei me desafiando a ir além do que o professor mostrava na tela. Tiveram pequenos tropeços, como descobrir na prática que para declarar um char eu precisava usar aspas simples ('a'), mas cada erro virava um aprendizado imediato.

Dois momentos se destacaram muito para mim:

Adeus mouse, olá Terminal: Aprendi a interagir direto com a linha de comando (ls, cd, make, ./hello). No começo é estranho não usar a interface gráfica, mas você percebe rapidamente como o teclado torna a navegação muito mais fluida.
A lógica na lousa digital: Nos exercícios da pirâmide do Mario e do cálculo de troco (Cash), a cabeça deu um nó. A saída foi abrir uma lousa digital, desconstruir a lógica linha por linha e desenhar como os loops se comportavam. Me desafiei até a criar funções próprias para renderizar os blocos, e ver o código rodar sem iterações desnecessárias foi recompensador.

Week 2: Arrays, strings e a resiliência nos problemas

Na Semana 2, entramos em conceitos mais profundos: como a memória RAM organiza dados em blocos (arrays), como strings são apenas sequências de letras terminadas por um caractere invisível (\0), e como funciona a criptografia.

Organizei meus estudos em blocos de foco de 25 minutos e passei por uma verdadeira montanha-russa de sentimentos. Anotei no meu diário de estudos, por exemplo: "Aprendi o que são Arrays, achei muito legal!" e, 25 minutos depois: "Tá, arrays não são tão fáceis assim kkk, começou a ficar complexo".

Nos exercícios da semana, o bicho pegou:

No Scrabble, penei para mapear as pontuações das letras na tabela ASCII. Cheguei a anotar frustrado: "Minha nossa senhora, esse negócio é MUITO difícil kk. Vou continuar amanhã de cabeça fresca". E foi a melhor decisão. Voltei no dia seguinte, desenhei a lógica na lousa e o código finalmente fluiu.
No Readability e no Caesar, a satisfação foi ver que desconstruir o problema em etapas menores fazia tudo se encaixar, desde a rotação de caracteres da criptografia até os ajustes de arredondamento da fórmula de leitura.

O que tiro dessas 3 primeiras semanas

Se eu pudesse resumir meu principal aprendizado até aqui em três pontos, seriam estes:

Desenhar antes de codificar: Tentar resolver um problema digitando direto no editor gera frustração. Escrever o raciocínio no papel ou numa lousa digital economiza horas.
Aprender a gostar dos erros: O compilador reclamando não é um puxão de orelha, é um guia. Ver o check50 mudar de vermelho para verde depois de tanto testar e ajustar é a melhor recompensa.
Paciência e processo: Como anotei após terminar uma das aulas: parar, entender, anotar e voltar. Fazer os exercícios, enfrentar dificuldades e conseguir achar a solução conectando conceitos de múltiplas aulas dá uma sensação boa demais.

Sinto que a base que estou construindo aqui vai sustentar muito do que vou aplicar na FATEC e nos meus projetos futuros. A decisão do reset de carreira faz cada vez mais sentido.