Desenvolvimento Seguro

Uma pesquisa realizada por acadêmicos da Universidade de Stanford, UC Davis e TU Delft revelou que cerca de 1.748 credenciais de API sensíveis estão expostas em aproximadamente 10.000 páginas da web, após a análise de 10 milhões de sites. Essas credenciais, que incluem chaves de acesso a plataformas de nuvem e serviços de pagamento, foram encontradas em códigos de sites públicos, destacando uma falha significativa na segurança. A maioria das chaves expostas estava em arquivos JavaScript, com 84% das credenciais identificadas nesse formato. O estudo sugere que a falta de controles rigorosos durante o desenvolvimento de software é uma das principais causas dessa exposição. Além disso, as credenciais podem permitir acesso direto a bancos de dados e sistemas críticos, aumentando o risco de manipulação de software e acesso não autorizado a dados sensíveis. Os pesquisadores alertam que a quantidade de credenciais expostas pode ser ainda maior do que a identificada, uma vez que a verificação foi limitada a um conjunto específico de provedores de serviços. Após a divulgação do problema, a quantidade de chaves expostas caiu pela metade em duas semanas, indicando a necessidade urgente de monitoramento e revisão de processos de segurança por parte dos desenvolvedores.

O GitHub está implementando uma nova funcionalidade de escaneamento baseada em inteligência artificial (IA) para sua ferramenta de Segurança de Código, visando ampliar a detecção de vulnerabilidades além da análise estática tradicional do CodeQL. Essa mudança busca identificar problemas de segurança em áreas que são desafiadoras para a análise estática convencional, abrangendo mais linguagens e frameworks, como Shell/Bash, Dockerfiles, Terraform e PHP. O modelo híbrido, que combina a análise semântica profunda do CodeQL com as detecções de IA, deve entrar em pré-visualização pública no início do segundo trimestre de 2026.

Uma vulnerabilidade de segurança foi identificada no editor de código Cursor, que utiliza inteligência artificial. O problema ocorre porque a configuração de segurança chamada ‘Workspace Trust’ está desativada por padrão, permitindo que atacantes executem código arbitrário nos computadores dos usuários ao abrir repositórios maliciosos. A análise da Oasis Security destaca que, com essa configuração desativada, um arquivo malicioso ‘.vscode/tasks.json’ pode transformar a simples ação de abrir uma pasta em uma execução silenciosa de código malicioso. Isso pode resultar em vazamento de credenciais sensíveis ou comprometer todo o sistema do usuário. Para mitigar esse risco, os usuários devem ativar o ‘Workspace Trust’, abrir repositórios não confiáveis em editores de código alternativos e realizar auditorias antes de usar o Cursor. Além disso, a pesquisa aponta que a segurança em ferramentas de desenvolvimento baseadas em IA enfrenta desafios adicionais, como injeções de prompt e vulnerabilidades clássicas, que ampliam a superfície de ataque. A situação é preocupante, pois a segurança deve ser uma prioridade em um ambiente de desenvolvimento cada vez mais dependente de IA.