Investigadores de segurança conseguiram quebrar as barreiras de proteção e escapar do isolamento de quatro dos assistentes de programação baseados em inteligência artificial mais populares do mercado. Segundo avançou o BleepingComputer, a falha afeta ferramentas como o Cursor, o Codex da OpenAI, o Gemini CLI da Google e o Antigravity, permitindo a execução de comandos maliciosos nas máquinas dos utilizadores.
A equipa da Pillar Security, constituída por Eilon Cohen, Dan Lisichkin e Ariel Fogel, passou vários meses a replicar estas falhas estruturais. O método utilizado não envolveu um ataque frontal aos mecanismos de isolamento das ferramentas, mas sim uma estratégia indireta. O agente de inteligência artificial permanece dentro do seu espaço de trabalho, limitando-se a escrever ficheiros aparentemente legítimos que são lidos por componentes externos.
Como funcionam as evasões de segurança
Estes ambientes partem do princípio de que o assistente é confiável dentro do projeto, enquanto o sistema operativo do utilizador permanece protegido. Contudo, os ficheiros guardados na área de trabalho não são inertes. Os IDE e os agentes em linha de comandos executam constantemente as suas próprias extensões fora da sandbox, tais como ferramentas de Git ou ambientes virtuais de Python.
Ao manipular o conteúdo desses ficheiros através de instruções maliciosas ocultas em ficheiros README ou dependências, um atacante consegue fazer com que o sistema corra comandos arbitrários. A Pillar Security dividiu os problemas em quatro categorias, englobando desde falhas em listas de comandos autorizados até daemons locais com privilégios elevados que correm fora do isolamento.
Correções já disponíveis e a resposta da Google
A maioria das vulnerabilidades identificadas já foi resolvida pelos respetivos fabricantes. No caso do Cursor, uma falha na configuração foi corrigida na versão 3.0.0 e está registada como CVE-2026-48124. Por sua vez, a OpenAI retificou a falha no Codex CLI na versão v0.95.0, atribuindo uma recompensa de alta gravidade aos investigadores envolvidos.
Uma outra vulnerabilidade ligada aos sockets do Docker afetou simultaneamente o Cursor, o Codex e o Gemini CLI da Google, tendo sido igualmente solucionada. No entanto, a reação da Google face às duas falhas detetadas no Antigravity foi mais contida, desvalorizando o impacto por considerar que a exploração exige engenharia social ou que o utilizador confie num repositório malicioso.
Este cenário demonstra que a segurança destas ferramentas vai além da robustez da própria sandbox, prendendo-se diretamente com o comportamento dos ficheiros que deixam para trás no sistema. Para as empresas que avaliam a adoption de assistentes de código autónomos, o verdadeiro sinal de alerta reside na forma como as ferramentas locais lidam com os dados gerados pela inteligência artificial.
Nenhum comentário
Seja o primeiro!