Anthropic, Google e Microsoft corrigiram bugs em agentes de IA em silêncio, sem CVE nem alertas

O problema dos agentes de IA no desenvolvimento de software não era teórico. O pesquisador de segurança Aonan Guan mostrou que ferramentas da Anthropic, Google e Microsoft integradas ao GitHub Actions podem ser sequestradas por prompt injection e transformadas em um canal de vazamento de segredos. Nos três casos, bastou o agente ler um texto preparado pelo atacante em seu contexto normal de trabalho, e ele mesmo passou a publicar chaves de API, tokens do GitHub e outros dados do ambiente de CI.

O ataque recebeu o nome de Comment and Control. As instruções maliciosas não ficam escondidas em um exploit separado nem em um servidor externo, mas diretamente nos dados do GitHub que o agente já precisa ler para trabalhar: o título de um pull request, a descrição de uma issue, comentários e, em um dos cenários, até um comentário HTML oculto. Depois disso, o agente trata o texto não como dado, mas como comando.

O esquema é simples. O bot lê a instrução injetada, executa a ação pedida, extrai segredos do ambiente de execução do GitHub Actions e ele mesmo devolve o resultado ao GitHub, por exemplo em um comentário do PR, em um comentário da issue, em um commit ou no log do pipeline.

No caso da Anthropic, o componente vulnerável foi o Claude Code Security Review, uma GitHub Action que verifica pull requests em busca de problemas de segurança. Guan mostrou que bastava inserir um payload no título do PR para o agente executar comandos e incluir o resultado em sua resposta JSON, que depois era publicada em um comentário. Segundo o pesquisador, o relatório foi enviado à Anthropic em 17 de outubro de 2025.

A empresa atribuiu ao problema severidade CVSS 9.4 e pagou US$ 100 de bug bounty em 25 de novembro. A correção se resumiu a uma restrição parcial de chamadas perigosas e à atualização da seção de security considerations na documentação.

A empresa não emitiu nem um security advisory público nem um CVE próprio.

Um cenário parecido funcionou contra o Gemini CLI Action, do Google. Nele, o atacante adicionava a uma issue e aos comentários um texto que se passava por trecho confiável de contexto e anulava as instruções de proteção do modelo. Com isso, o agente publicava a própria GEMINI_API_KEY como um comentário comum. De acordo com a linha do tempo de Guan, o Google recebeu o relatório em 29 de outubro de 2025 e pagou US$ 1.337 em 20 de janeiro de 2026.

No GitHub Copilot Agent, que faz parte da linha de produtos da Microsoft, o esquema era ainda mais interessante: a instrução maliciosa ficava em um comentário HTML invisível para humanos na renderização do Markdown, mas legível para o agente. Depois de receber a tarefa, o Copilot seguia essas orientações apesar de camadas extras de proteção, como filtragem do ambiente, secret scanning e restrições de rede. O GitHub primeiro fechou o relatório como informative e, após uma nova análise, o reabriu e pagou US$ 500 em 9 de março.

O mais incômodo não é o valor dos bounties, mas o modelo de divulgação. Nem a Anthropic, nem o Google, nem o GitHub publicaram alertas no formato habitual da segurança da informação, e nunca surgiram CVEs para esses casos. Isso significa que equipes que fixaram versões antigas das actions ou integrações podem nem ter ficado sabendo do risco. Para os scanners de vulnerabilidades, o problema praticamente não existe, porque não tem um identificador padrão. Para as equipes de segurança, é mais difícil colocá-lo sob controle, rastreá-lo em registros e ligá-lo aos procedimentos internos de aplicação de patches.

Formalmente, as empresas podem ter considerado a prompt injection não um bug clássico de código, mas um efeito colateral da arquitetura do agente. Na prática, porém, as consequências são as mesmas de uma vulnerabilidade crítica comum: vazamento de chaves de acesso e tokens do ambiente em que a automação roda.

A história também importa porque atinge a premissa básica de toda a onda de automação com IA no desenvolvimento. O agente recebe ao mesmo tempo acesso a entradas de usuário não confiáveis, a ferramentas de execução de comandos e a segredos sensíveis, porque senão não conseguiria fazer um trabalho útil. É essa combinação que cria o risco sistêmico. Se o setor continuar embutindo esses agentes em code review, triagem, deploy e CI/CD sem um modelo adequado de isolamento e de divulgação de incidentes, ataques assim deixarão de ser exceção e passarão a fazer parte do threat model.