Imposto de gigabyte da França, tomada de conta do ChatGPT por link compartilhado, a violação do Scribd e o forja de código federada do Tangled: quatro histórias de desenvolvedores em um Daily Diff

O que este vídeo aborda

• Na sexta-feira, 30 de outubro de 2026, a Assembleia Nacional Francesa aprovou a emenda I-1358 ao projeto de lei orçamentária de 2027 (primeira leitura, projeto de lei nº 3210), que cria um imposto sobre os fluxos de dados digitais enviados por provedores de conteúdo. O texto estabelece 0,055 euros por gigabyte, devido pelo remetente; os provedores de internet contam os dados que vão para seus clientes por remetente, anonimamente e sem olhar o conteúdo, e os relatam trimestralmente à administração fiscal, e o fluxo de saída de uma rede de entrega de conteúdo conta como o do remetente. A votação foi de 11 a favor e 10 contra entre 21 votos contados, com 35 membros votando, contra as opiniões do relator do orçamento e do ministro. As traduções em inglês do texto francês neste vídeo são nossas.
• A emenda limita o imposto a 15% da receita do remetente na França ou 2% de sua receita total. Sua nota explicativa espera cerca de 10 bilhões de euros e cita uma estimativa da ARCEP de 200 bilhões de gigabytes por ano enviados a assinantes franceses; 200 bilhões vezes 0,055 é 11 bilhões, e a nota não explica a diferença. O mesmo texto foi rejeitado na comissão de finanças em 9 de outubro. A medida não é final: ainda pode ser alterada ou removida em votações posteriores da Assembleia e no Senado, e o texto lido para este vídeo não define data de início.
• A Parameter Labs diz que assumiu contas do ChatGPT usando um link público de conversa compartilhada. De acordo com sua publicação de 28 de outubro de 2026, uma sequência de recursos comuns, um HTML Preview em um quadro restrito, um gráfico que carregou uma biblioteca matemática com um "message listener" na página principal, e um "listener" que aceitou uma mensagem sem verificar seu remetente, permitiu que seu código fosse executado como chatgpt.com na sessão da vítima, listasse conversas e lesse uma conversa privada. Ele relatou o bug em 18 de outubro; o OpenAI o reproduziu, aumentou a gravidade de P2 para P1, confirmou em 26 de outubro que ambos os frontends da web rejeitaram as mensagens e concedeu uma recompensa de 5.000 dólares. A conta da falha é da Parameter.
• A Parameter aconselha verificar a origem do remetente e a janela exata nos manipuladores de mensagens, nunca aceitar HTML bruto em mensagens entre janelas e tratar a Política de Segurança de Conteúdo como um controle de backup. Ela relata que o próprio sandbox do Preview se manteve; o problema foi um "listener" na página principal.
• O aviso da central de ajuda do Scribd, atualizado pela última vez em 1º de outubro de 2026, diz que uma parte não autorizada entrou em seus sistemas, atingiu outros sistemas internos e acessou informações de usuários: informações básicas de conta para a maioria das contas e informações mais sensíveis para um número menor. Ele diz que a vulnerabilidade foi fechada, especialistas externos foram contratados, autoridades policiais e de proteção de dados foram notificadas, e recomenda redefinir senhas para Scribd, Slideshare, Everand e Fable. Um aviso publicado no Hacker News em 26 de outubro lista o endereço de e-mail, os últimos quatro dígitos do cartão, o emissor do cartão, a data de expiração, o país e o histórico de pagamentos, e diz que não há evidências de uso indevido. O Scribd não publicou quantas contas foram afetadas.
• Tangled, uma forja de código construída no Protocolo AT, anunciou um grande lançamento em 30 de outubro de 2026 e se autodenomina a primeira forja de código verdadeiramente federada. Os repositórios podem ser hospedados em seu próprio servidor (um "knot") enquanto colaboram com outros "knots". Problemas, solicitações de pull e comentários agora são armazenados no "knot" como cadeias de objetos Git, e cada edição também grava um registro de atestado no próprio servidor de dados pessoais do autor. O aplicativo da web passou de um único programa Go em um único banco de dados SQLite na Suécia para um frontend Svelte na borda com um indexador Rust somente leitura em mais de 11 regiões. Os auto-hospedadores devem atualizar os "knots" para a v1.20.0; repositórios privados, uma CLI e SDKs estão listados para as próximas semanas. Essas são as próprias afirmações do Tangled.

Transcrição traduzida

Traduzido da narração original em inglês. Áudio e legendas disponíveis são controlados pelo YouTube.

Início frio: quem paga por um gigabyte na França?

0:00 Impostos sobre a internet geralmente contam receita ou lucro. A Assembleia Nacional da França acaba de adotar um que conta gigabytes, cinco e meio centavos de euro cada, por onze votos a dez. Neste vídeo, quatro histórias. Quem paga o imposto de gigabyte da França, e já é lei? Como um link compartilhado do ChatGPT alcançou chats privados? O que o Scribd disse que foi levado? E o que é uma forja de código federada?

0:24 Um número no texto francês não bate muito bem. Vou verificar no final. É sábado, trinta e um de outubro, e este é o The Daily Diff. Um imposto de gigabyte cobra de uma empresa por cada gigabyte que ela envia às pessoas, independentemente do que a empresa ganha. Pense em uma cabine de pedágio na internet que conta bytes em vez de carros, e a maioria dos carros são vídeos de gatos.

Primeira história: quem paga o imposto de gigabyte da França, e já é lei?

0:44 Primeira história. Na sexta-feira, a Assembleia Nacional aprovou a emenda treze cinquenta e oito ao projeto de lei orçamentária de dois mil e vinte e sete. Ela estabelece cinco e meio centavos de euro por gigabyte, devido pela empresa que envia os dados a assinantes franceses. O texto tem três partes móveis. Provedores de internet contam os dados que fluem para seus clientes e relatam quem os enviou, trimestralmente, sem olhar o conteúdo. O remetente deve o imposto; os assinantes não devem nada.

1:09 Se o remetente usa uma rede de entrega de conteúdo, o que sai dessa rede conta como o do remetente. Aqui está a taxa, do texto francês. O remetente deve o volume em gigabytes vezes cinco e meio centavos. Cem gigabytes custam cinco euros e cinquenta. Um limite restringe a conta a quinze por cento da receita francesa do remetente, ou dois por cento de sua receita total. O inglês é nossa tradução.

1:34 A comissão rejeitou o mesmo texto em nove de outubro. Na sexta-feira, o relator do orçamento alertou que grandes plataformas poderiam repassar o custo aos anunciantes. O ministro disse que seriam necessários sensores de fluxo, e que metade do imposto recairia sobre provedores menores, notadamente franceses. O autor, do grupo Socialista, respondeu que os serviços são gratuitos, então não há nada a repassar. Trinta e cinco membros votaram. Dos vinte e um votos contados, onze disseram sim e dez disseram não.

2:01 Ainda é apenas uma emenda na primeira leitura do projeto de lei orçamentária, então votações posteriores da Assembleia e do Senado podem alterá-la ou removê-la. O texto que li não define data de início. Em vinte e três de outubro, eu disse que o Quad9 está deixando a França após uma decisão judicial. Desta vez o alvo é o próprio tráfego. Se você envia muitos dados para usuários franceses, observe o Senado, e pergunte ao seu CDN o que ele relata por país. Segunda história. A empresa de segurança Parameter publicou como assumiu contas do ChatGPT

Segunda história: como um link compartilhado do ChatGPT alcançou chats privados?

2:29 usando apenas um link de conversa compartilhado. Ela relatou o bug ao OpenAI em dezoito de outubro. O OpenAI classificou-o como P1, e em vinte e seis de outubro confirmou a correção. A Parameter descreve a cadeia. O Preview executa HTML em um quadro restrito em outro endereço. Um gráfico na mesma página carregou uma biblioteca matemática que escuta mensagens na página principal. Esse ouvinte aceitou uma mensagem sem verificar quem a enviou, e a mensagem poderia conter HTML.

2:57 O HTML criou um novo quadro, que foi executado como chatgpt ponto com. Na versão automática, abrir o link foi o único clique. A Parameter diz que seu código de teste listou as conversas da vítima e leu uma privada. Ela enviou apenas um pequeno pedaço para seu próprio servidor para provar, e o OpenAI pagou uma recompensa de cinco mil dólares. O próprio sandbox do Preview se manteve. O buraco foi o ouvinte na página principal. A Parameter aconselha verificar o endereço do remetente e a janela exata,

3:26 e nunca aceitar HTML bruto em uma mensagem entre janelas. É um bom dia para procurar seus próprios manipuladores de mensagens. Terceira história, uma curta.

Terceira história: o que o Scribd disse que foi levado?

3:34 Scribd, a empresa por trás do Slideshare e Everand, tem um aviso na central de ajuda sobre um incidente de segurança, atualizado pela última vez em primeiro de outubro. Ele diz que uma parte não autorizada entrou em seus sistemas, então alcançou outros sistemas internos e informações de usuários. Para a maioria das contas, o Scribd diz, isso significou informações básicas de conta. Para um número menor, informações mais sensíveis foram envolvidas. Um aviso que um usuário publicou no Hacker News na segunda-feira lista o endereço de e-mail e os últimos quatro dígitos do cartão.

4:02 Ele também lista o emissor do cartão e a data de validade, além do país e histórico de pagamentos. O Scribd diz que não há evidências de uso indevido. Os avisos diferem por pessoa. Uma saída romena, Business 24, relata que os avisos lá também listam os títulos que as pessoas leram ou pesquisaram. O Scribd não disse quantas contas foram afetadas, e diz que os avisos são enviados em fases, então nenhum e-mail não significa que você foi poupado. O que fazer.

4:29 O Scribd pede que você redefina sua senha em todos os quatro sites, então faça isso, e mude-a em qualquer outro lugar onde você a reutilizou. Cuidado com qualquer ligação ou e-mail que saiba os últimos quatro dígitos do seu cartão, porque um golpista também pode saber.

Quarta história: o que é uma forja de código federada?

4:42 Quarta história. Tangled, uma forja de código construída no Protocolo AT, o protocolo aberto em que o Bluesky é executado, lançou um grande lançamento na sexta-feira. Ele se autodenomina a primeira forja de código verdadeiramente federada. Você pode hospedar seus repositórios em seu próprio servidor, que o Tangled chama de "knot", e ainda colaborar com pessoas em outros "knots". A mudança importante é onde a discussão acontece. Problemas, pull requests e comentários agora são armazenados no "knot", bem ao lado do código, como cadeias de objetos Git.

5:09 Um "knot" poderia tentar colocar palavras em sua boca, então cada edição também grava um registro em seu próprio servidor de dados pessoais. O Tangled chama isso de verificação bidirecional. Até este lançamento, todo o aplicativo web era um programa Go em um único banco de dados SQLite em um servidor na Suécia. Agora é um frontend Svelte na borda, mais um indexador somente leitura em Rust que é executado em onze ou mais regiões. Se você se hospedar, o lançamento pede para você atualizar seus "knots" para a versão um

5:38 ponto vinte. Repositórios privados e uma ferramenta de linha de comando estão listados para as próximas semanas. Este é o próprio anúncio do Tangled, e ainda não encontrei nenhuma revisão independente.

De volta à França: a soma dos gigabytes se soma?

5:47 Agora a soma que prometi. A própria nota da emenda francesa cita duzentos bilhões de gigabytes por ano enviados a assinantes franceses. A cinco e meio centavos cada, isso é onze bilhões de euros. A nota promete dez bilhões. Não explica a diferença. Se você preferir ler isso a me ouvir dizer, o "diff" chega à sua caixa de entrada todas as manhãs, gratuitamente em the daily diff dot dev, link abaixo.

6:10 Então o veredito de hoje é NEEDS REVIEW.

Veredito: NEEDS REVIEW

6:13 Eu o revisaria porque o imposto francês foi aprovado por um voto e ainda não é lei, a correção do ChatGPT é descrita apenas pelos pesquisadores, o Scribd não disse quantas contas foram atingidas, e a alegação de federação do Tangled é própria. Assine, ative o sino e me diga nos comentários se você o teria carimbado diferentemente. E esse é o "diff" de hoje. Sou o Niko da Axrisi. Faça o merge com responsabilidade.

Fontes

1. Amendement n°I-1358, Projet de loi de finances pour 2027 (adopted October 30, 2026)Assemblée nationale
2. Compte rendu de la première séance du vendredi 30 octobre 2026Assemblée nationale
3. Amendement I-CF365 (rejected in the finance committee)Assemblée nationale
4. Budget 2027 : les députés votent une taxe au gigaoctetEurope 1
5. Do the Math: How We Took Over ChatGPT AccountsParameter Labs
6. Information about the recent security incidentScribd Help Center
7. Tell HN: Scribd Breached (notice text as posted by a user)Hacker News
8. Scribd notifică utilizatorii din România privind un incident de securitateBusiness24
9. The federated code forgeTangled