Falha com symlink afeta seis agentes de IA para código, incluindo Amazon Q e Cursor

Especialistas da Wiz descobriram um velho truque Unix com links simbólicos (symlinks) que permite burlar os mecanismos de proteção nativos de seis agentes de IA populares para programação, do Amazon Q ao Cursor.

Como funciona o ataque

A ideia do exploit é simples e, ao mesmo tempo, traiçoeira: o invasor prepara com antecedência um repositório com um link simbólico malicioso e o publica abertamente. Quando o agente de IA abre esse repositório e começa a trabalhar com os arquivos, o symlink disfarça um caminho perigoso como se fosse um arquivo comum do projeto. Com isso, o agente literalmente "passa direto" pelo próprio prompt de proteção, justamente o mecanismo que deveria barrar a execução de comandos suspeitos ou potencialmente perigosos.

No fim, o invasor consegue colocar no repositório uma chave de acesso que lhe abre a máquina de trabalho do desenvolvedor. A ferramenta a quem o desenvolvedor confiou o trabalho autônomo com o código se transforma, ela mesma, em porta de entrada para o comprometimento.

Quais ferramentas estão em risco

Os pesquisadores da Wiz apontam que pelo menos seis agentes de IA populares para escrever código são vulneráveis. O material cita nominalmente o Amazon Q, da Amazon, e o Cursor, ambos amplamente usados por desenvolvedores para escrever, revisar e editar código de forma autônoma. Chama atenção que a brecha não explora uma técnica de ataque nova, e sim o mecanismo de links simbólicos, conhecido há décadas em sistemas Unix.

A diferença é que agora ele atinge uma classe totalmente nova de ferramentas, às quais os desenvolvedores delegam permissões reais de execução de comandos. O symlink é considerado há décadas uma fonte conhecida de problemas de segurança em sistemas do tipo Unix, mas foi a ampla adoção de agentes de IA autônomos, que leem e executam sozinhos o conteúdo de repositórios, que deu a esse velho truque um novo perigo prático.

• A vulnerabilidade foi descoberta pela Wiz, empresa especializada em cibersegurança na nuvem
• O ataque usa um truque Unix clássico com links simbólicos (symlinks)
• Foi confirmada a vulnerabilidade de pelo menos seis agentes de IA para código, incluindo Amazon Q e Cursor
• O resultado do ataque é uma chave de acesso que abre a máquina do desenvolvedor para o invasor

O que isso significa

O caso do symlink mostra que a autonomia de agentes de IA com acesso ao código e ao sistema de arquivos cria uma nova superfície de ataque. Bugs antigos em mecanismos básicos do sistema de repente se tornam realmente perigosos, porque agora quem lida com eles não é um humano cauteloso, mas um agente com amplas permissões de execução de comandos e contexto mínimo para desconfiar de uma armadilha. Para equipes que já conectaram agentes de IA a repositórios reais e máquinas de produção, é um motivo para revisar quais permissões o agente tem por padrão e como os arquivos são verificados antes que o agente comece a trabalhar com eles.

A descoberta da Wiz também lembra que prompts de proteção e restrições nativas dos agentes de IA não são uma barreira absoluta, e sim apenas uma das camadas de defesa, que pode ser contornada por técnicas bastante clássicas, sem relação direta com o próprio modelo.

Perguntas frequentes

Quais agentes de IA para código se mostraram vulneráveis?

A Wiz aponta pelo menos seis ferramentas populares de programação com IA; o material cita nominalmente o Amazon Q e o Cursor, ambos usados por desenvolvedores para trabalhar de forma autônoma com repositórios.

O que o invasor obtém com o ataque?

Uma chave de acesso que lhe abre a máquina de trabalho do desenvolvedor: o repositório infectado vira um meio de comprometer o ambiente de quem o abriu por meio de um agente de IA vulnerável.

Por que esse ataque é considerado especialmente perigoso?

Porque ele não explora uma vulnerabilidade de um modelo específico, e sim um truque clássico e conhecido há muito tempo em sistemas Unix, com links simbólicos. Ou seja, ele pode, em tese, ser aplicado a qualquer agente de IA que leia e execute de forma autônoma o conteúdo de repositórios sem verificar rigorosamente esse tipo de caminho.