Guilherme Bandeira Rondon on Guilherme Rondon

Detecção de intrusão em containers: invariantes de uid e auditoria do kernel

Tue, 27 Oct 2026 18:00:00 -0300

No primeiro post eu tornei o cluster mais difícil de atacar, mas nada ali avisa se um ataque aconteceu. Se um processo escapasse de um container, eu não ficaria sabendo.

Este segundo post da série trata de detectar essa fuga, com duas ferramentas: uma checagem periódica que aproveita uma regra deixada pelos user namespaces, e a auditoria do kernel, que registra eventos no instante em que acontecem. O terceiro post trata do tráfego que chega da internet.

Do RBAC ao AppArmor: seis fases para blindar um k3s num Raspberry Pi

Sun, 25 Oct 2026 20:00:00 -0300

No post sobre a migração para o Gitea contei como fiz os builds dos meus projetos funcionarem dentro do cluster. Para isso, peguei um atalho: o runner do Gitea (o programa que executa os workflows de CI) ganhou muito mais privilégios do que precisava.

o socket do containerd, o arquivo por onde se dão ordens ao programa que roda os containers no nó. Quem escreve nele pode pedir um container rodando como root e com o disco inteiro do Pi montado;
a pasta onde ficam as imagens e os dados do cluster;
o kubeconfig de administrador, a credencial que deixa o kubectl fazer qualquer coisa: ler senhas, criar e apagar qualquer recurso.

Funcionava, mas qualquer workflow de qualquer repositório tinha acesso ao cluster inteiro. Basta um npm ci instalar uma dependência comprometida: o script dela roda dentro do job e só precisa ler o kubeconfig que está ali.

Meu site caiu, e a culpa foi dos meus vizinhos

Thu, 10 Sep 2026 15:00:00 -0300

Não era a primeira vez. Umas semanas atrás eu tinha notado o site fora do ar numa manhã, sem acesso via SSH — mas as luzes de TX/RX piscando normalmente. Reiniciei pela tomada, tudo voltou ao normal, e por precaução ativei a persistência de logs no homelab. Deixei como estava e segui a vida.

Daí, um dia antes de eu começar a escrever este post, o Raspberry Pi que hospeda este site caiu de novo do nada. O site devolveu um 502, o SSH travou, e eu fiz o que normalmente é minha primeira tentativa de solução rápida: tirei da tomada, esperando que ele voltasse. Voltou — mas a instabilidade continuava, e após alguns minutos resolvi acessar o Pi remotamente.

Por trás do pedido de doação do Intercept Brasil: hipóteses sobre cache, borda e origem

Mon, 27 Jul 2026 14:00:00 -0300

Me deparei com uma postagem patrocinada do Intercept Brasil pedindo doação para reforçar a segurança do site. De acordo com o próprio veículo, a matéria que envolvia o vazamento de áudios de Flávio Bolsonaro com o banqueiro Daniel Vorcaro saiu do ar logo em seguida de ser publicada, e agora eles estão pedindo dinheiro aos leitores para não passar por isso de novo.

Dividir para dobrar: o que aprendi levando duas soluções a um hackathon

Sun, 19 Jul 2026 20:00:00 -0300

Três semanas antes do haCARthon começar, eu devia estar com a cabeça enterrada em trechos do Código Florestal, validando queries contra bases geo de municípios brasileiros. Em vez disso, estava numa chamada de vídeo tentando convencer minha equipe de quatro pessoas a se dividir em duas.

Não foi uma decisão impulsiva. Foi a conclusão de um mês inteiro mergulhado num desafio que eu não esperava gostar tanto.

R$15 mil foi o gancho que faltava

Nunca fui muito entusiasta de hackathons. Mas dessa vez o gancho foi direto: minha companheira, UX/UI Designer, recebeu um e-mail da PanicLobster — organizadora do evento — avisando que em um mês aconteceria o haCARthon, com premiação de R$15.000 para cada uma das cinco equipes vencedoras. O incentivo despertou meu interesse o suficiente para eu ir atrás dos desafios propostos.

Dos arquivos eleitorais brutos a um modelo dimensional: construindo um pipeline de dados para as eleições de 2026 no Brasil

Fri, 10 Jul 2026 14:00:00 -0300

Em 2024, a cobertura eleitoral em que eu trabalhava dependia de um sistema terceirizado bem caro, que caiu justamente na noite da apuração e quase transformou a cobertura em prejuízo total. Em 2026 a decisão foi outra: em vez de comprar uma solução pronta, eu e outro desenvolvedor construímos o pipeline internamente em cerca de três meses, com seis serviços pequenos e um único agendamento diário.

O primeiro post desta série contou a história: três encontros com os dados eleitorais do Brasil, e na terceira vez coube a mim liderar a construção. Este post é sobre essa construção: o que o TSE (a autoridade eleitoral do Brasil, que conduz toda eleição e publica os dados por trás dela) realmente publica, como esses dados chegam, e como viraram um modelo estruturado que uma API consegue servir.

Dei ao Claude 12.732 memórias. Eis o que ele percebeu.

Mon, 06 Jul 2026 14:00:00 -0300

Montei o sistema de memória, usei por alguns meses, e depois parei para olhar o que ele realmente tinha acumulado.

O post anterior descreve como as três camadas funcionam: CLAUDE.md para contexto estático, MemPalace para memória dinâmica de sessão, um grafo de conhecimento para fatos estruturados. O MemPalace não é o recurso de memória embutido do Claude — é uma infraestrutura que eu mesmo rodo, com memórias armazenadas em ChromaDB e SQLite na minha máquina e integração via MCP (Model Context Protocol), um padrão aberto que qualquer cliente compatível pode falar. Se eu trocasse de modelo amanhã, tudo o que ele acumulou continuaria no lugar.

A stack de memória por trás do workflow de IA: CLAUDE.md, MemPalace e um grafo de conhecimento

Sat, 04 Jul 2026 16:00:00 -0300

O primeiro post desta série foi sobre a prática — como estruturo prompts, itero em ciclos curtos, e delego trabalho mecânico mantendo o julgamento do meu lado. Este é sobre a infraestrutura por trás dessa prática: o sistema de memória em três camadas que faz isso funcionar entre sessões, projetos, e semanas.

Nenhuma dessas camadas é tecnicamente complexa. O valor vem de como elas se encaixam.

O problema da memória de IA (brevemente)

Modelos de linguagem não têm memória persistente. Toda sessão começa em branco. Isso é normal para uma pergunta pontual, mas se você usa IA como uma ferramenta séria de desenvolvimento, isso cria atrito: reexplicar a estrutura do projeto, reestabelecer convenções, corrigir o mesmo comportamento que você já corrigiu semana passada.

Três eleições, três encontros com os dados eleitorais do Brasil — e na terceira, era eu quem liderava

Fri, 03 Jul 2026 10:00:00 -0300

Noite de eleição, 2024. A tela que passamos meses construindo para cobrir a apuração em todo o Brasil apaga — não nossos servidores, não nosso código. Um sistema terceirizado em .NET, rodando numa máquina que entregamos mas nunca tivemos acesso, cede exatamente sob a carga para a qual foi comprado.

Usando IA e dados de partidas de futebol para construir meu próprio narrador

Mon, 29 Jun 2026 16:00:00 -0300

No meio dessas sessões de código, tive um pensamento mais simples: se eu, como desenvolvedor de software, conseguia dar sentido àquele mesmo fluxo — eventos tipados, com timestamp, nomes de jogadores, estatísticas anexadas — por que um LLM não conseguiria?

Construindo para a Copa do Mundo: narração de torcedor em tempo real e editorial automatizado

Wed, 24 Jun 2026 21:30:00 -0300

Um gol é marcado numa partida da Copa do Mundo. Sessenta segundos depois, uma push notification chega no celular de um torcedor — com o nome do jogador, o minuto, e uma linha de narração. Nenhum jornalista escreveu. Ninguém apertou enviar. O sistema simplesmente soube.

O workflow de IA que ninguém mostra: estrutura, memória e trade-offs reais

Mon, 22 Jun 2026 14:00:00 -0300

Existe uma diferença entre usar IA e usar IA bem. A segunda exige pensar sobre o que você está fazendo — não só no prompt que você escreve, mas na estrutura que você constrói ao redor da ferramenta.

Venho desenvolvendo essa prática nos últimos meses, tanto no trabalho quanto em projetos pessoais. O que aprendi não é sobre qual modelo é melhor ou qual ferramenta tem mais funcionalidades. É sobre como organizar contexto para que a IA seja consistentemente útil — não só na primeira sessão, mas na décima.

Do GitLab ao Gitea: como o CI/CD do meu homelab foi de 3,4 GB para 100 MB

Sun, 21 Jun 2026 17:00:00 -0300

Um dos meus repositórios tem um histórico de commits que lê como uma história em três atos. O primeiro é sobre ambição pessoal. O segundo é sobre um Raspberry Pi que ficou mudo no meio da noite . O terceiro é sobre encontrar a ferramenta certa para a carga certa.

Ato I: GitHub Actions com um runner self-hosted

O ponto de partida era simples: eu queria CI/CD rodando no Pi, builds acontecendo localmente, deploys automatizados. A escolha natural era continuar usando GitHub Actions — mas com um runner self-hosted no cluster.

Traefik como ingress no k3s: do roteamento local ao acesso público sem cert-manager

Sun, 21 Jun 2026 09:00:00 -0300

Quando comecei a montar meu homelab num Raspberry Pi 4B, uma das primeiras perguntas foi: como faço para que múltiplos serviços rodando no cluster respondam cada um no seu próprio domínio, sem abrir uma porta diferente para cada um?

Eu já sabia a resposta — lembrava de ter trabalhado com EKS na AWS no passado, onde o ingress era um componente separado que precisava ser instalado e configurado. No k3s, ele já vem incluso, nome e tudo: Traefik.

Gitea no Raspberry Pi: a história de como o GitLab derrubou meu homelab

Sat, 20 Jun 2026 09:00:00 -0300

Era uma sexta à noite e eu estava orgulhoso do que tinha acabado de construir. Tinha acabado de subir o GitLab Community Edition no meu Raspberry Pi 4B — um sonho antigo de ter um ambiente de desenvolvimento completo inteiramente sob meu próprio controle. Git, CI/CD, registry, tudo numa caixinha na prateleira.

Fui dormir.

Sábado de manhã, abri o terminal para dar push em algo e encontrei… silêncio. O Raspberry Pi não respondia. SSH em timeout. Nenhum ping. Fui até a prateleira, olhei o LED verde piscando devagar, e entendi: o consumo de memória do GitLab — provavelmente um vazamento lento agravado por jobs em background competindo por CPU — tinha sufocado todos os outros serviços do nó até o kernel não ter escolha a não ser intervir. O Pi tinha reiniciado, e sem espaço suficiente para trazer tudo de volta, simplesmente ficou parado ali.

Quem sou eu?

Fri, 19 Jun 2026 09:00:00 -0300

Existe uma lembrança que carrego com muito carinho: sentado num banco da minha escola técnica, papel milimetrado na mesa, caneta na mão — nenhum computador à vista. O professor tinha escrito um trecho de código C no quadro e a tarefa era simples: rastrear a execução. Variável por variável, pilha de chamadas por pilha de chamadas, na mão.

Isso me fisgou instantaneamente — e mudou a forma como penso sobre tudo.

Sobre mim

Mon, 01 Jan 0001 00:00:00 +0000

Engenheiro de software que resolve problemas e descomplica processos. Há quase 10 anos desenho e construo sistemas em backend, dados e sistemas distribuídos, com base em análise e fundamentos, para entregar resiliência, qualidade e eficiência. Hoje também levo IA para o trabalho em produção.

Vamos conversar

Mon, 01 Jan 0001 00:00:00 +0000

Oportunidades, projetos, uma dúvida sobre algum post ou só trocar ideia sobre backend, dados e IA.