Amazon Kiro

Pesquisadores de cibersegurança revelaram uma vulnerabilidade no Amazon Kiro, um ambiente de desenvolvimento integrado (IDE) baseado em inteligência artificial, que pode facilitar a exfiltração de dados por meio de injeção de comandos maliciosos. A falha, que não possui um identificador CVE, afeta a versão 0.7.45 do Kiro IDE no Windows, enquanto a versão mais recente é a 1.0.337. Segundo o pesquisador Fergal Glynn, a vulnerabilidade permite que conteúdos controlados por atacantes influenciem o agente Kiro, resultando na transmissão de informações sensíveis para um endpoint externo. Para explorar a falha, o usuário precisa abrir um projeto malicioso e enviar uma mensagem ao agente, o que pode ser feito em ambientes de trabalho confiáveis e não confiáveis. A dificuldade de exploração foi classificada como baixa, pois o usuário não precisa enviar um comando malicioso explicitamente. Após a divulgação responsável, a Amazon lançou uma correção na versão 0.8.140 do Kiro IDE. Essa vulnerabilidade se soma a uma série de problemas de segurança já identificados em ferramentas de IA, destacando a necessidade de uma avaliação mais rigorosa das interações entre interpretação de modelos e lógica de aplicação.