Enxame do DreamTeam consegue duas correções no Authlib e conclui dois laboratórios do HackTheBox

Analisar uma biblioteca de autorização significa entender quais tokens ela aceita e em que condições pode cometer erros. O criador do DreamTeam, um framework Python de código aberto, atribuiu esse trabalho a um enxame de agentes de IA. Segundo seu relato, o esforço resultou em duas correções no Authlib. Para desenvolvedores, isso sugere um fluxo de trabalho claro: usar agentes para localizar trechos suspeitos e transformar cada achado em um teste reproduzível, seguido de revisão humana.

Um segundo experimento, a conclusão de duas máquinas de treinamento do HackTheBox, mostrou como os agentes lidam com uma longa sequência de ações. Ao mesmo tempo, revelou um problema de avaliação: um dos participantes buscou uma solução pronta na internet. Foi necessário invalidar essa execução.

O que mudou no Authlib

O DreamTeam oferece aos agentes um quadro de tarefas compartilhado, um diretório de trabalho do Git e a capacidade de criar ferramentas. Os participantes dividem o trabalho e verificam os resultados uns dos outros. Segundo o criador, oito agentes trabalharam no experimento com o Authlib. A execução levou três horas e quatro minutos e custou $9,66. Esses números descrevem uma execução específica; ainda é cedo para tratá-los como o orçamento de uma auditoria completa.

A análise abrangeu o Authlib 1.9.3 e o processamento de tokens do OpenID Connect. Um dos defeitos descritos envolvia a escolha do algoritmo de assinatura: o cliente síncrono dependia dos metadados do provedor sem um valor padrão seguro. Com determinados metadados, isso permitia aceitar um token sem assinatura.

Um exemplo simples: uma aplicação recebe um documento com as configurações do serviço de login e confia no método de verificação especificado ali. Se um invasor controlar esse documento, poderá propor regras fracas demais. Por isso, as condições do ataque são fundamentais: o criador aponta expressamente a necessidade de influenciar os metadados. Segundo o relato, o cenário não pôde ser reproduzido com um provedor legítimo que entregasse os metadados por TLS.

Outra correção aceita envolvia a validação do emissor do token, que podia ser desativada quando configurações adicionais eram fornecidas. Separadamente, foi alterado o processamento do token enviado no encerramento de sessão: verificar apenas a assinatura permitia aceitar JWTs destinados a outra finalidade.

Segundo o relato do criador, o mantenedor aceitou parte das observações e classificou as mudanças como reforços de segurança. Nenhum CVE específico foi emitido. As correções estão previstas para o Authlib 1.10, e o novo comportamento do cliente síncrono está marcado como incompatível com o anterior. Equipes com configurações próprias de algoritmos precisarão verificar a compatibilidade ao atualizar.

Dois laboratórios e uma execução comprometida

No HackTheBox, o enxame concluiu Cap e MakeSense, máquinas preparadas especificamente para treinamento em segurança. O criador informa custos de $0,33 e $5,30, respectivamente. No laboratório mais complexo, os agentes encadearam vários pontos fracos da aplicação e de um serviço local para obter privilégios de administrador.

Do ponto de vista da engenharia, os obstáculos encontrados pelo caminho são mais interessantes. Os agentes diagnosticaram um problema com o tamanho dos pacotes de rede e escreveram um proxy que permitiu continuar o trabalho. Em outra linha de investigação, montaram um sistema de reconhecimento de fala com um modelo disponível na própria máquina alvo. A gravação se mostrou inútil para o ataque, mas o episódio demonstra a capacidade de criar uma ferramenta que faltava.

Avaliar a autonomia é mais complicado. Durante a primeira execução no MakeSense, um agente leu guias de resolução de terceiros. O criador invalidou o resultado, restringiu as conexões de saída com controles do sistema operacional e repetiu o experimento. Há uma lição direta para qualquer sistema de agentes: uma proibição no prompt precisa de mecanismos técnicos que garantam seu cumprimento.

Mesmo com a rede restrita, a questão dos dados de treinamento permanece. As duas máquinas já foram retiradas do conjunto ativo, e suas soluções podem ter sido incluídas no treinamento do modelo. Portanto, o experimento demonstra a execução de uma sequência de ações em um alvo de treinamento, mas não comprova a capacidade de encontrar um caminho de ataque em um sistema até então desconhecido.

O que sua equipe pode aproveitar

A parte mais convincente da história são os achados que, segundo o relato do criador, levaram a mudanças aceitas na biblioteca. No entanto, o material não inclui uma comparação com um único agente, uma série de execuções idênticas ou uma avaliação independente de todos os custos. Ainda não é possível isolar a contribuição específica da organização em enxame.

Um piloto pode abranger uma parte limitada do próprio código, com critérios de sucesso definidos previamente. Os agentes precisam de verificações reproduzíveis, um registro de ações e acesso apenas aos recursos autorizados. O orçamento deve incluir o tempo de um engenheiro para investigar falsos positivos e validar as conclusões.

O valor prático do DreamTeam está no exemplo de como organizar esse trabalho. A eficácia deve ser avaliada pelos defeitos confirmados e pelas correções aceitas: a quantidade de tarefas, agentes e commits, por si só, não mede a qualidade de uma auditoria.