Pesquisadores mostram como agentes de codificação de IA podem ser induzidos a executar malware a partir de repositórios GitHub limpos
Agentes de codificação de IA enfrentam um novo risco na cadeia de suprimentos
Um novo relatório do Zero Day Investigative Network da Mozilla, ou 0DIN, afirma que ferramentas de codificação baseadas em agentes podem ser enganadas para executar payloads maliciosos a partir de repositórios GitHub que parecem inofensivos tanto para scanners quanto para revisores humanos.
A preocupação não é uma árvore de código fonte envenenada no sentido habitual. Na demonstração do 0DIN, o próprio repositório não continha código malicioso evidente. Em vez disso, a cadeia de ataque se desenrolou durante a configuração, quando o Claude Code foi solicitado a clonar e executar o projeto. Esse processo, dizem os pesquisadores, poderia resultar em um shell interativo na máquina do desenvolvedor sem que nenhum comando abertamente suspeito tivesse que ser aprovado.
O 0DIN descreveu o comprometimento como ocorrendo “sem código de exploit, sem aviso, sem comando suspeito que alguém precisasse aprovar.”
O método depende de três partes distintas que, isoladamente, parecem inofensivas. Juntas, elas podem imitar um erro comum do usuário, disparar um erro em que o agente confia e buscar um valor que, em última instância, aponta para um destino malicioso. O resultado é um shell reverso que está “a três passos de indireção” de qualquer coisa que a IA realmente avaliou, segundo os pesquisadores.
“Claude Code nunca decidiu abrir um shell. Ele decidiu corrigir um erro. O shell reverso está a três passos de indireção de qualquer coisa que o Claude Code realmente avaliou: uma mensagem de erro em que confiou, um script que buscou um valor e um registro DNS que ele nunca viu,” disseram os pesquisadores do 0DIN.
Se o ataque for bem-sucedido, o intruso obtém um shell em execução com os privilégios do desenvolvedor, abrindo acesso a variáveis de ambiente, chaves de API, arquivos de configuração locais e à possibilidade de persistência.
O 0DIN diz que a técnica atualmente é apenas um conceito, mas alerta que ela pode ser facilmente distribuída por meio de ofertas de emprego falsas, tutoriais, publicações em blogs ou mensagens diretas.
Para reduzir o risco, o grupo recomenda que agentes de IA divulguem toda a cadeia de execução para comandos de configuração, incluindo scripts e qualquer código buscado dinamicamente em tempo de execução. Essa visibilidade, argumentam os pesquisadores, é essencial se as organizações quiserem impedir ataques à cadeia de suprimentos que escapam tanto das defesas automatizadas quanto da revisão humana.
Fontes: