Imposto sobre gigabytes da França, tomada de conta do ChatGPT por link compartilhado, violação do Scribd e forja de código federada da Tangled: quatro histórias de desenvolvedores em um Daily Diff

O que este vídeo aborda

• Na sexta-feira, 30 de outubro de 2026, a Assembleia Nacional Francesa aprovou a emenda I-1358 ao projeto de lei do orçamento de 2027 (primeira leitura, projeto de lei nº 3210), que cria um imposto sobre os fluxos de dados digitais enviados por provedores de conteúdo. O texto estabelece 0,055 euros por gigabyte, devido pelo remetente; os provedores de internet contam os dados que vão para seus clientes por remetente, anonimamente e sem olhar o conteúdo, e os relatam trimestralmente à administração fiscal, e o fluxo de saída de uma rede de entrega de conteúdo conta como do remetente. A votação foi de 11 a favor e 10 contra entre 21 votos contados, com 35 membros votando, contra as opiniões do relator do orçamento e do ministro. As traduções em inglês do texto francês neste vídeo são nossas.
• A emenda limita o imposto a 15% da receita do remetente na França ou 2% de sua receita total. Sua nota explicativa espera cerca de 10 bilhões de euros e cita uma estimativa da ARCEP de 200 bilhões de gigabytes por ano enviados a assinantes franceses; 200 bilhões vezes 0,055 é 11 bilhões, e a nota não explica a diferença. O mesmo texto foi rejeitado na comissão de finanças em 9 de outubro. A medida não é final: ainda pode ser alterada ou removida em votações posteriores da Assembleia e no Senado, e o texto lido para este vídeo não estabelece data de início.
• A Parameter Labs diz que assumiu o controle de contas do ChatGPT usando um link público de conversa compartilhada. De acordo com sua postagem de 28 de outubro de 2026, uma cadeia de recursos comuns, uma pré-visualização HTML em um quadro restrito, um gráfico que carregou uma biblioteca matemática com um ouvinte de mensagens na página principal e um ouvinte que aceitou uma mensagem sem verificar seu remetente, permitiu que seu código fosse executado como chatgpt.com na sessão da vítima, listasse conversas e lesse uma privada. Ela relatou o bug em 18 de outubro; a OpenAI o reproduziu, aumentou a gravidade de P2 para P1, confirmou em 26 de outubro que ambos os frontends da web rejeitaram as mensagens e concedeu uma recompensa de 5.000 dólares. A descrição da falha é da Parameter.
• A Parameter aconselha verificar tanto a origem do remetente quanto a janela exata nos manipuladores de mensagens, nunca aceitar HTML bruto em mensagens entre janelas e tratar a Política de Segurança de Conteúdo como um controle de backup. Ela relata que a sandbox de Pré-visualização em si se manteve; o problema foi um ouvinte na página principal.
• O aviso do centro de ajuda da Scribd, atualizado pela última vez em 1º de outubro de 2026, diz que uma parte não autorizada entrou em seus sistemas, alcançou outros sistemas internos e acessou informações do usuário: informações básicas da conta para a maioria das contas e informações mais sensíveis para um número menor. Ele diz que a vulnerabilidade foi fechada, especialistas externos foram contratados, autoridades policiais e de proteção de dados foram notificadas, e recomenda redefinir senhas para Scribd, Slideshare, Everand e Fable. Um aviso postado no Hacker News em 26 de outubro lista o endereço de e-mail, os últimos quatro dígitos do cartão, emissor do cartão, data de validade, país e histórico de pagamentos, e diz que não há evidências de uso indevido. A Scribd não publicou quantas contas foram afetadas.
• Tangled, uma forja de código construída no Protocolo AT, anunciou um grande lançamento em 30 de outubro de 2026 e se autodenomina a primeira forja de código verdadeiramente federada. Os repositórios podem ser hospedados em seu próprio servidor (um "knot") enquanto colaboram com outros "knots". Problemas, solicitações de pull e comentários agora são armazenados no "knot" como cadeias de objetos Git, e cada edição também grava um registro de atestado no próprio servidor de dados pessoal do autor. O aplicativo da web passou de um único programa Go em um único banco de dados SQLite na Suécia para um frontend Svelte na borda com um indexador Rust somente leitura em mais de 11 regiões. Os auto-hospedeiros devem atualizar os "knots" para a v1.20.0; repositórios privados, uma CLI e SDKs estão listados para as próximas semanas. Estas são as próprias afirmações da Tangled.

Transcrição traduzida

Traduzido da narração original em inglês. Áudio e legendas disponíveis são controlados pelo YouTube.

Abertura: quem paga por um gigabyte na França?

0:00 Impostos sobre a internet geralmente contam receita ou lucro. A Assembleia Nacional Francesa acaba de aprovar um que conta gigabytes, cinco centavos e meio de euro cada, por onze votos a dez. Neste vídeo, quatro histórias. Quem paga o imposto de gigabyte da França, e já é lei? Como um link compartilhado do ChatGPT acessou chats privados? O que a Scribd disse que foi levado? E o que é uma forja de código federada?

0:24 Um número no texto francês não bate bem. Vou verificar no final. É sábado, trinta e um de outubro, e este é o The Daily Diff. Um imposto sobre gigabytes cobra de uma empresa por cada gigabyte que ela envia para pessoas, independentemente do que a empresa ganha. Pense em uma portagem na internet que conta bytes em vez de carros, e a maioria dos carros são vídeos de gatos.

Primeira história: quem paga o imposto de gigabyte da França, e já é lei?

0:44 Primeira história. Na sexta-feira, a Assembleia Nacional aprovou a emenda treze cinquenta e oito ao projeto de lei do orçamento de dois mil e vinte e sete. Ela estabelece cinco centavos e meio de euro por gigabyte, devido pela empresa que envia os dados para assinantes franceses. O texto tem três partes móveis. Provedores de internet contam os dados que fluem para seus clientes e relatam quem os enviou, a cada trimestre, sem olhar o conteúdo. O remetente deve o imposto; os assinantes não devem nada.

1:09 Se o remetente usa uma rede de entrega de conteúdo, o que sai dessa rede conta como do remetente. Aqui está a taxa, do texto francês. O remetente deve o volume em gigabytes vezes cinco centavos e meio. Cem gigabytes custam cinco euros e cinquenta. Um limite restringe a conta a quinze por cento da receita francesa do remetente, ou dois por cento de sua receita total. O inglês é a nossa tradução.

1:34 A comissão rejeitou o mesmo texto em nove de outubro. Na sexta-feira, o relator do orçamento alertou que grandes plataformas poderiam passar o custo para os anunciantes. O ministro disse que seriam necessários sensores de fluxo, e que metade do imposto recairia sobre provedores menores, notadamente franceses. O autor, do grupo Socialista, respondeu que os serviços são gratuitos, então não há nada a repassar. Trinta e cinco membros votaram. Dos vinte e um votos contados, onze disseram sim e dez disseram não.

2:01 Ainda é apenas uma emenda na primeira leitura do projeto de lei do orçamento, então votações posteriores da Assembleia e o Senado podem alterá-la ou removê-la. O texto que li não estabelece data de início. Em vinte e três de outubro, eu disse que a Quad9 está deixando a França após uma decisão judicial. Desta vez, o alvo é o próprio tráfego. Se você envia muitos dados para usuários franceses, observe o Senado, e pergunte ao seu CDN o que ele relata por país. Segunda história. A empresa de segurança Parameter publicou como assumiu o controle de contas do ChatGPT

Segunda história: como um link compartilhado do ChatGPT acessou chats privados?

2:29 usando apenas um link de conversa compartilhada. Ela relatou o bug à OpenAI em dezoito de outubro. A OpenAI o classificou como P um, e em vinte e seis de outubro confirmou a correção. A Parameter descreve a cadeia. A pré-visualização executa HTML em um quadro restrito em outro endereço. Um gráfico na mesma página carregou uma biblioteca matemática que ouve mensagens na página principal. Esse ouvinte aceitou uma mensagem sem verificar quem a enviou, e a mensagem podia conter HTML.

2:57 O HTML criou um novo quadro, que foi executado como chatgpt.com. Na versão automática, abrir o link era o único clique. A Parameter diz que seu código de teste listou as conversas da vítima e leu uma privada. Ela enviou apenas um pequeno pedaço para seu próprio servidor para provar isso, e a OpenAI pagou uma recompensa de cinco mil dólares. A sandbox de pré-visualização em si se manteve. O buraco era o ouvinte na página principal. A Parameter aconselha verificar tanto o endereço do remetente quanto a janela exata,

3:26 e nunca aceitar HTML bruto em uma mensagem entre janelas. É um bom dia para fazer grep em seus próprios manipuladores de mensagens. Terceira história, uma curta.

Terceira história: o que a Scribd disse que foi levado?

3:34 A Scribd, a empresa por trás de Slideshare e Everand, tem um aviso no centro de ajuda sobre um incidente de segurança, atualizado pela última vez em primeiro de outubro. Ele diz que uma parte não autorizada entrou em seus sistemas, depois alcançou outros sistemas internos e informações do usuário. Para a maioria das contas, diz a Scribd, isso significava informações básicas da conta. Para um número menor, informações mais sensíveis foram envolvidas. Um aviso que um usuário postou no Hacker News na segunda-feira lista o endereço de e-mail e os últimos quatro dígitos do cartão.

4:02 Ele também lista o emissor do cartão e a data de validade, além do país e histórico de pagamentos. A Scribd diz que não há evidências de uso indevido. Os avisos diferem por pessoa. Um meio de comunicação romeno, Business 24, relata que os avisos lá também listam os títulos que as pessoas leram ou pesquisaram. A Scribd não disse quantas contas foram afetadas, e diz que os avisos são enviados em fases, então nenhum e-mail não significa que você foi poupado. O que fazer.

4:29 A Scribd pede para você redefinir sua senha em todos os quatro sites, então faça isso, e mude-a em qualquer outro lugar onde você a reutilizou. Cuidado com qualquer ligação ou e-mail que saiba os últimos quatro dígitos do seu cartão, porque um golpista pode conhecê-los também.

Quarta história: o que é uma forja de código federada?

4:42 Quarta história. Tangled, uma forja de código construída no Protocolo AT, o protocolo aberto em que o Bluesky é executado, lançou uma grande atualização na sexta-feira. Ela se autodenomina a primeira forja de código verdadeiramente federada. Você pode hospedar seus repositórios em seu próprio servidor, que Tangled chama de "knot", e ainda colaborar com pessoas em outros "knots". A mudança que importa é onde a discussão mora. Problemas, solicitações de pull e comentários agora são armazenados no "knot", bem ao lado do código, como cadeias de objetos Git.

5:09 Um "knot" poderia tentar colocar palavras em sua boca, então cada edição também escreve um registro para seu próprio servidor de dados pessoal. Tangled chama isso de verificação bidirecional. Até este lançamento, todo o aplicativo da web era um programa Go em um único banco de dados SQLite em um servidor na Suécia. Agora é um frontend Svelte na borda, mais um indexador somente leitura em Rust que é executado em onze ou mais regiões. Se você auto-hospeda, o lançamento pede para você atualizar seus "knots" para a versão um

5:38 ponto vinte. Repositórios privados e uma ferramenta de linha de comando estão listados para as próximas semanas. Este é o próprio anúncio da Tangled, e ainda não encontrei nenhuma revisão independente.

De volta à França: a soma dos gigabytes faz sentido?

5:47 Agora a soma que prometi. A própria nota da emenda francesa cita duzentos bilhões de gigabytes por ano enviados a assinantes franceses. A cinco centavos e meio cada, isso dá onze bilhões de euros. A nota promete dez bilhões. Ela não explica a lacuna. Se você preferir ler isso a me ouvir dizer, o diff chega à sua caixa de entrada todas as manhãs, gratuitamente em the daily diff dot dev, link abaixo.

6:10 Então o veredicto de hoje é NECESSITA REVISÃO.

Veredito: NECESSITA REVISÃO

6:13 Eu o revisaria porque o imposto francês foi aprovado por um voto e ainda não é lei, a correção do ChatGPT é descrita apenas pelos pesquisadores, a Scribd não disse quantas contas foram atingidas, e a reivindicação de federação da Tangled é dela mesma. Assine, ative o sino e diga-me nos comentários se você o teria carimbado de forma diferente. E essa é a diferença de hoje. Sou Niko da Axrisi. Faça merge com responsabilidade.

Fontes

1. Amendement n°I-1358, Projet de loi de finances pour 2027 (adopted October 30, 2026)Assemblée nationale
2. Compte rendu de la première séance du vendredi 30 octobre 2026Assemblée nationale
3. Amendement I-CF365 (rejected in the finance committee)Assemblée nationale
4. Budget 2027 : les députés votent une taxe au gigaoctetEurope 1
5. Do the Math: How We Took Over ChatGPT AccountsParameter Labs
6. Information about the recent security incidentScribd Help Center
7. Tell HN: Scribd Breached (notice text as posted by a user)Hacker News
8. Scribd notifică utilizatorii din România privind un incident de securitateBusiness24
9. The federated code forgeTangled