Skip to content
RubyInsights
Ruby 3.4.10, ProxyLogger no Rails e a semana em que a IA sentou à mesa dos governos

Ruby 3.4.10, ProxyLogger no Rails e a semana em que a IA sentou à mesa dos governos

Ruby 3.4.10, ProxyLogger no Rails, npm bloqueando postinstall e a semana em que a IA entrou de vez na pauta de governos e mercados.

weekly-roundupactive-supportsegurancanoticias-da-semanarailsnpmrubyReactaiJavaScriptsecurityruby-3-4-10
Compartilhar

RubyInsights — resumo da semana de 29 de junho a 5 de julho de 2026

Semana encurtada pelo feriado de 4 de julho nos EUA, mas densa para quem vive de Ruby e acompanha o ecossistema: patch de segurança no Ruby, um This Week in Rails recheado de melhorias de API, o npm se preparando para bloquear postinstall scripts por padrão e a IA cada vez mais enroscada em governos, bancos e mercados. Vamos por partes.

Ruby: 3.4.10 sai com correções de segurança no net-imap

Em 30 de junho, nagachika publicou o Ruby 3.4.10, um release estável da série 3.4 cuja principal mudança é a atualização do gem embutido net-imap para a versão 0.5.15, que traz correções de segurança. Se você roda apps na linha 3.4, é um bump de patch sem fricção — faça.

Contexto para quem já migrou para a linha 4.0: a versão corrente é a 4.0.5, que corrigiu o CVE-2026-46727, um use-after-free no handler de timeout do getaddrinfo baseado em pthreads. Vale conferir o .ruby-version dos seus projetos nesta segunda-feira.

Rails: ProxyLogger, deprecações de MIME e correções cirúrgicas

O This Week in Rails de 3 de julho, editado por Emmanuel Hayford, registrou 26 contribuidores e um conjunto de mudanças que interessam a qualquer app em produção.

ActiveSupport::ProxyLogger

Um logger que encaminha tudo para outro logger, mas com nível de severidade próprio. Resolve um problema clássico: aquela lib verbosa que você quer dentro do mesmo pipeline de logs do app, só que calada:

SomeLibrary.logger = ActiveSupport::ProxyLogger.new(Rails.logger, :error)

Quase toda a interface padrão de Logger é suportada. Menos monkey patch, menos logger paralelo esquecido apontando para STDOUT.

Deprecação de Mime::SET, Mime::LOOKUP e Mime::EXTENSION_LOOKUP

Essas constantes expunham diretamente os registries de MIME types — estado interno mutável vazando para o mundo. A migração é direta:

Mime::SET              # => Mime.symbols / Mime[...] / Mime::Type.lookup
Mime::LOOKUP           # => Mime::Type.lookup
Mime::EXTENSION_LOOKUP # => Mime.extensions / Mime::Type.lookup_by_extension

Mime.extensions foi adicionado como contraparte pública de Mime.symbols para enumerar extensões registradas (incluindo sinônimos). Um grep no codebase agora evita deprecation warnings depois.

Outras mudanças que valem atenção

  • add_foreign_key(..., if_not_exists: true) agora é reversível de verdade: o rollback passa a gerar remove_foreign_key ..., if_exists: true, seguindo o padrão que check constraints já usavam. Migrations idempotentes ficam idempotentes nos dois sentidos.
  • retry_on do Active Job aceita Float em :wait — 1.5.seconds deixou de ser truncado para inteiro. E tipos não suportados passam a estourar no load da classe do job, em vez de falhar silenciosamente em runtime.
  • O payload de instrumentação de cache_exist?.active_support agora inclui as options da chamada (:namespace, :version, :expires_in), consistente com read, write e delete. Quem monta dashboards de cache em cima de ActiveSupport::Notifications agradece.
  • Colunas timestamp/time do PostgreSQL sem precisão explícita passam a reportar precisão 6 nos metadados do Active Record, lendo o typmod diretamente e alinhando o type casting ao comportamento real do banco.

Rails Foundation fecha a série oficial de tutoriais

Saiu o capítulo final da trilha construída em parceria com Chris Oliver: Product Reviews, cobrindo avaliações de 1 a 5 estrelas com upload de imagens, média automática por produto, filtro por nota, gráfico de distribuição e administração de reviews. Com isso, a trilha de e-commerce mantida oficialmente pela Foundation está completa — excelente material de onboarding para devs novos no time.

Community Survey 2026 encerrada — com IA no centro

A pesquisa da comunidade Rails fechou em 3 de julho: anônima, 10 a 12 minutos, resultados publicados gratuitamente. A edição deste ano foi mais fundo em ferramentas, deploy, formato dos times e — principalmente — em como (ou se) a IA entrou no fluxo de trabalho de quem escreve Rails. Deve ser o retrato mais honesto que teremos do tema na comunidade; fique de olho na publicação dos resultados.

No radar: o Rails World 2026 acontece em Austin, TX, com a lista de speakers anunciada no fim de junho e os últimos lotes de ingressos circulando.

IA: governos na mesa, IDEs agênticas na mira

A grande história da semana em IA não foi um modelo novo — foi a relação entre laboratórios e Estado ficando estrutural. Segundo o balanço da AI Weekly, está na mesa uma proposta de Sam Altman para o governo americano ficar com cerca de 5% da OpenAI, com a lógica se estendendo aos concorrentes; o mesmo resumo aponta que o retorno do Claude Fable 5 veio acompanhado de concessões de supervisão. A leitura do trimestre, na visão da publicação: o governo deixou de observar a fronteira da IA de longe e ganhou uma cadeira dentro dela.

No Japão, movimento na mesma direção: segundo noticiado, o Ministério das Finanças anunciou que megabancos como MUFG, SMBC e Mizuho terão acesso ao Claude Mythos, acompanhado de um grupo de trabalho público-privado com 36 entidades dedicado aos riscos de cibersegurança que um modelo dessa classe traz ao sistema financeiro.

Duas notas para quem constrói software:

  • Segurança de IDEs agênticas virou pauta central. Se o seu time dá a agentes de código acesso a shell, secrets e repositórios, trate isso como superfície de ataque de primeira classe: sandboxing, allowlist de comandos e revisão de diffs continuam sendo trabalho seu, não do modelo.
  • Mercados nervosos. Na semana de abertura do segundo semestre, Wall Street passou a caçar os próximos vencedores da IA depois de um primeiro semestre excepcional, segundo a CNBC — enquanto a bolsa sul-coreana despencou quase 10% em dois pregões e devolveu 5% de alta em seguida, num retrato do escrutínio sobre a sustentabilidade do boom, reportou a Bloomberg.

Para nós, o recado prático: IA em produção agora significa também compliance, supervisão e segurança — não só prompt e integração.

Web em geral: npm v12 fecha o cerco ao supply chain

Boletim da semana no ecossistema frontend, via This Week In React:

  • npm v12 vai bloquear postinstall scripts por padrão a partir de julho. Depois de uma sequência de pacotes comprometidos, é a mudança de postura mais dura do registry em anos. Se o seu build depende de postinstall (binários nativos, sharp, toolchains de assets), audite as dependências e configure exceções explícitas antes que o CI quebre.
  • Cloudflare adquiriu a VoidZero, a empresa de Evan You por trás de Vite, Rolldown e Oxc — mais um capítulo da consolidação do toolchain JavaScript sob grandes plataformas.
  • React em transição de governança e de compiler. Os repositórios do core migraram para a recém-criada React Foundation, que estreou site próprio; e o React Compiler reescrito em Rust começou a chegar aos early adopters, com ganhos relevantes de velocidade reportados. No mobile, o React Native 0.86 saiu com correções de edge-to-edge no core.
  • React Router e Remix publicaram patches de segurança. Se você mantém frontends nesses frameworks, atualize imediatamente.

Para rubistas com frontends em React ou Hotwire, o recado da semana é menos sobre features e mais sobre higiene: supply chain, patches e permissões.

Checklist da semana

  1. Bump para Ruby 3.4.10 (linha 3.4) ou confirme 4.0.5 (linha 4.0).
  2. Atualize React Router/Remix onde aplicável — são patches de segurança.
  3. Audite os postinstall scripts das dependências npm antes que o v12 chegue ao seu pipeline.
  4. Rode grep -R "Mime::SET\|Mime::LOOKUP\|Mime::EXTENSION_LOOKUP" app/ lib/ e migre para a API pública.
  5. Se o time usa agentes de código, revise sandboxing e escopo de credenciais esta semana, não depois do incidente.

Até o próximo resumo.

Fontes

Comentários

Faça login com Google ou GitHub para comentar.