Vulnerabilidade de symlink afeta seis agentes de IA para código, incluindo Amazon Q e Cursor

Especialistas da Wiz descobriram uma antiga técnica Unix que usa links simbólicos (symlink) que permite contornar mecanismos de segurança integrados em seis agentes de IA populares para programação, desde Amazon Q até Cursor.

Como o ataque funciona

A ideia do exploit é simples porém insidiosa: um atacante prepara antecipadamente um repositório com um link simbólico malicioso e o torna publicamente disponível. Quando um agente de IA abre tal repositório e começa a trabalhar com arquivos, o symlink disfarça um caminho perigoso como um arquivo de projeto comum. Como resultado, o agente literalmente "passa por" seu próprio prompt de segurança — o mecanismo projetado para interromper a execução de comandos suspeitos ou potencialmente perigosos.

O resultado do ataque é que o atacante ganha a capacidade de colocar uma chave de acesso no repositório que abre ao atacante a máquina de trabalho do desenvolvedor. A ferramenta que o desenvolvedor confiou para trabalho autônomo com código se torna um ponto de entrada para comprometimento.

Quais ferramentas estão em risco

Os pesquisadores da Wiz indicam que as vulnerabilidades afetam pelo menos seis agentes populares de IA para escrever código. Amazon Q da Amazon e Cursor são nomeados no material — ambos são amplamente usados ​​por desenvolvedores para escrita, revisão e edição autônoma de código. É notável que a brecha explora não uma técnica de ataque nova, mas um mecanismo de links simbólicos conhecido há décadas em sistemas Unix — apenas agora ele ataca uma classe completamente nova de ferramentas às quais os desenvolvedores delegam direitos reais de execução de comandos.

O mecanismo de symlink em si tem sido considerado uma fonte conhecida de problemas de segurança em sistemas semelhantes a Unix por décadas, mas é a adoção generalizada de agentes de IA autônomos que leem e executam independentemente o conteúdo de repositórios que deu a esta técnica antiga um novo perigo prático.

• Vulnerabilidade descoberta pela empresa Wiz, especializada em segurança cibernética em nuvem
• Técnica clássica de Unix com links simbólicos (symlink) foi usada
• Vulnerabilidade confirmada em pelo menos seis agentes de IA para código, incluindo Amazon Q e Cursor
• Resultado do ataque — uma chave de acesso que abre ao atacante a máquina do desenvolvedor

O que isso significa

A história do symlink mostra que a autonomia dos agentes de IA confiados com trabalho de código e sistema de arquivos cria uma nova superfície de ataque: bugs antigos em mecanismos do sistema básico de repente se tornam realmente perigosos porque agora são manipulados não por um humano cauteloso, mas por um agente com amplos direitos de execução de comandos e contexto mínimo para suspeitar de um truque. Para equipes que já conectaram agentes de IA a repositórios reais e máquinas de produção, isso é uma razão para reconsiderar quais direitos o agente tem por padrão e como os arquivos são verificados antes do agente começar a trabalhar com eles. A descoberta da Wiz também nos lembra que os prompts de segurança do agente de IA e as restrições integradas não são uma barreira absoluta, mas apenas um nível de proteção que pode ser contornado por técnicas técnicas bastante clássicas que não têm relação direta com o modelo em si.

Perguntas frequentes

Quais agentes de IA para código se mostraram vulneráveis?

Wiz nomeia pelo menos seis ferramentas populares para escrever código com IA; Amazon Q e Cursor são mencionados pelo nome no material — ambos são usados ​​por desenvolvedores para trabalho autônomo com repositórios.

O que um atacante obtém como resultado do ataque?

Uma chave de acesso que abre ao atacante a máquina de trabalho do desenvolvedor: um repositório infectado se torna uma forma de comprometer o ambiente de quem o abriu através do agente de IA vulnerável.

Por que este ataque é considerado particularmente perigoso?

Porque explora não uma vulnerabilidade em um modelo específico, mas uma técnica clássica e bem conhecida de Unix com links simbólicos — o que significa que potencialmente poderia ser aplicada a qualquer agente de IA que leia e execute autonomamente o conteúdo do repositório sem verificação rigorosa de tais caminhos.