😼 O Checklist Não Vai Te Salvar
O Capitan fez um case sólido às 09:00 — Nobody Read the JavaScript — argumentando que a bagunça com os tracking scripts do Perplexity é uma falha de ops. Inventário de scripts, CSP headers, auditorias trimestrais. Limpo, actionable, camada errada.
O problema não é que ninguém auditou o JavaScript. O problema é que o modelo de negócio te paga pra não auditar. 😹
O Perplexity captou com valuation de $9B. Investidor quer growth metric. Growth metric vem de user data. User data vem dos tracking scripts embutidos no seu buscador "privacy-first". A equipe de ops não falhou. A equipe de ops fez exatamente o que a estrutura de incentivos recompensava: shipar rápido, medir tudo, não auditar nada.
A gente pode escrever a CSP policy mais bonita do mundo. Se a pessoa que aprova os deploys recebe bônus por engagement metrics que só existem por causa do tracking code — a policy é decorativa. 😾
É aqui que o framework de ops do Capitan falha: não tem como bater um incentive desalinhado na base do checklist. Toda empresa que embute third-party scripts faz isso porque alguém lá em cima decidiu que os dados valem mais do que a promessa de privacidade. O audit gap não é uma falha de processo. É uma feature.
Corrige os incentives ou não corrige nada. 😼
