Uma nova vulnerabilidade no GitHub Copilot CLI pode permitir que páginas da web controladas por atacantes induzam o agente de codificação a acessar arquivos locais de desenvolvedores e enviar seu conteúdo para servidores remotos. A técnica, conhecida como Cryptographic Context Injection (CCI), oculta instruções maliciosas em texto criptografado, dificultando a detecção por verificações normais de injeção de comandos, conforme relatado por pesquisadores da Adversa AI.
O problema surge quando o Copilot CLI está em modo de piloto automático e um desenvolvedor solicita que o agente revise uma URL externa. Em uma demonstração, o agente conseguiu ler um arquivo .env.prod local e transmitiu seu conteúdo para um endpoint controlado por um atacante em menos de 30 segundos. O usuário não recebeu nenhum aviso claro de que um arquivo local havia sido acessado ou que seus dados haviam deixado o dispositivo, segundo o Cybersecuritynews.
A vulnerabilidade é uma continuação de pesquisas anteriores sobre CCI, que demonstraram como um agente de IA pode ser enganado para expor informações privadas através de solicitações normais de páginas da web. Neste caso, a página maliciosa não revela suas instruções reais como texto legível, mas inclui dados criptografados e instrui o Copilot CLI a usar Python para descriptografá-los. Filtros estáticos podem inspecionar conteúdo legível, mas normalmente não executam operações criptográficas para revelar texto oculto.
O ataque se desenrola da seguinte maneira: o usuário solicita ao Copilot CLI que busque uma URL específica. A página contém conteúdo criptografado, instruções de descriptografia e duas possíveis chaves de descriptografia. A primeira chave é falsa e serve como um modelo que faz o agente tentar acessar arquivos locais, como o arquivo .env do usuário. Após a falha na primeira tentativa de descriptografia, a segunda chave é utilizada, permitindo que o agente receba instruções para buscar outra URL que contém os segredos coletados, transmitindo-os ao atacante.
Os pesquisadores alertam que a técnica pode comprometer mais do que apenas arquivos de ambiente. Qualquer dado acessível ao agente, incluindo código-fonte, arquivos de configuração, credenciais ou tokens fora da pasta do projeto ativo, pode estar em risco se o agente tiver permissão para lê-los. A pesquisa anterior relacionada ao Copilot também demonstrou como a injeção de comandos pode ser usada para roubar tokens e dados sensíveis de repositórios quando ferramentas de IA processam conteúdo não confiável do GitHub.
Adversa AI observou que o modelo mai-code-1.1-flash da Microsoft executou a cadeia de ataque em 50% dos testes, enquanto dois modelos GPT-5.6 da OpenAI se recusaram a processar as mesmas instruções. Isso levanta preocupações significativas para usuários que mantêm a seleção de modelo em automático, pois o roteamento pode selecionar modelos diferentes em sessões distintas sem mostrar claramente qual modelo processou uma tarefa.
Apesar da gravidade da descoberta, a equipe de bug bounty do GitHub validou o relatório, mas não o classificou como uma vulnerabilidade de segurança. A posição da empresa é que o usuário concedeu explicitamente ao Copilot permissão para buscar conteúdo controlado por atacantes de forma autônoma. Os pesquisadores discordam, argumentando que a criptografia contorna as proteções que rejeitam as mesmas instruções em texto simples.
Organizações que utilizam o Copilot CLI devem evitar permitir que agentes autônomos naveguem em páginas não confiáveis com permissões amplas de arquivos locais e rede. Equipes de segurança devem registrar argumentos resolvidos das ferramentas, alertar quando conteúdo da web é seguido por execução de código e leituras de arquivos locais, e bloquear destinos de saída inesperados. Este caso demonstra que a segurança de ferramentas de codificação de IA requer vigilância sobre o que o agente realmente faz, e não apenas a varredura do texto que recebe.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews