Desenvolvimento Seguro

O avanço da inteligência artificial (IA) está permitindo que equipes de desenvolvimento produzam um volume de código significativamente maior, mas isso traz desafios para a segurança. Com a produção de software aumentando de 10 a 50 vezes, as equipes de segurança enfrentam a pressão de revisar vulnerabilidades, gerenciar dependências e priorizar correções em um ritmo humano, o que pode se tornar um gargalo. O webinar “O verdadeiro custo de construir em velocidade de máquina” discute como as equipes de segurança podem manter a agilidade da IA sem aumentar os riscos. A discussão vai além da segurança do código gerado por IA, abordando o impacto do aumento da produção de software na capacidade de revisão e remediação. A IA não só facilita o desenvolvimento, mas também potencializa as capacidades dos atacantes, exigindo que as organizações reavaliem seus processos de gerenciamento de vulnerabilidades e implementem controles mais robustos antes que o código chegue à produção. A segurança deve evoluir para acompanhar a velocidade da IA, garantindo que as práticas de desenvolvimento sejam seguras desde o início.

Em 4 de agosto de 2026, um worm malicioso que rouba credenciais foi identificado na biblioteca npm, começando com a versão keyv@6.0.0. O ataque se espalhou rapidamente, afetando centenas de pacotes em várias organizações. A SafeDep verificou 353 versões comprometidas em 79 nomes de pacotes, enquanto a Aikido reportou pelo menos 868 pacotes afetados. O worm utiliza um script de pré-instalação para executar um pacote que coleta informações sensíveis, como credenciais de repositórios e chaves privadas, em ambientes de desenvolvimento e integração contínua. O ataque é particularmente preocupante, pois pode se propagar automaticamente entre pacotes, comprometendo ainda mais sistemas. A análise sugere que qualquer estação que executou uma versão afetada deve ser considerada como tendo suas credenciais expostas. As versões maliciosas foram removidas, mas a atualização de pacotes pode não ser suficiente para eliminar a exposição. As equipes de segurança devem comparar arquivos de bloqueio e versões resolvidas com a lista de pacotes afetados e desabilitar scripts de instalação desnecessários. O incidente destaca a vulnerabilidade de ambientes de desenvolvimento e a necessidade de vigilância contínua em relação a pacotes de código aberto.

Pesquisadores da Mozilla, através da plataforma 0DIN, revelaram uma nova técnica de ataque que pode comprometer desenvolvedores ao clonar repositórios aparentemente inofensivos no GitHub. O ataque ocorre sem a necessidade de código malicioso explícito, explorando um fluxo de execução que engana tanto ferramentas de segurança quanto usuários. A técnica envolve três componentes principais: um repositório limpo com instruções padrão, um pacote Python que gera um erro ao ser executado e um script que, quando chamado, busca uma configuração em um registro DNS controlado pelo atacante. Isso resulta na execução de um shell interativo com privilégios do desenvolvedor, permitindo acesso a variáveis de ambiente e chaves de API. Embora a técnica ainda seja conceitual, a 0DIN alerta que atores maliciosos podem disseminar esses repositórios por meio de postagens de emprego falsas e tutoriais. Para mitigar esses riscos, recomenda-se que agentes de IA revelem toda a cadeia de execução dos comandos de configuração, incluindo scripts dinâmicos.

Recentemente, três campanhas de ataque à cadeia de suprimentos atingiram plataformas populares como npm, PyPI e Docker Hub, focando no roubo de credenciais de ambientes de desenvolvedores e pipelines CI/CD. Os atacantes estão utilizando pacotes comprometidos, ferramentas de desenvolvimento vulneráveis e automação para coletar segredos como chaves de API, credenciais de nuvem e tokens. O artigo destaca que a segurança deve se concentrar não apenas em repositórios e ambientes de produção, mas também nas estações de trabalho dos desenvolvedores, que contêm informações sensíveis que podem ser exploradas. A velocidade dos ataques modernos, potencializada por ferramentas de automação e inteligência artificial, exige que as equipes de segurança reavaliem suas estratégias. Perguntas cruciais surgem, como a capacidade de identificar e limitar o uso de credenciais a partir das estações de trabalho dos desenvolvedores, bem como a detecção de materiais sensíveis antes que sejam expostos. O artigo conclui que a proteção das estações de trabalho deve ser vista como uma fronteira crítica na cadeia de suprimentos de software.

Pesquisadores de cibersegurança identificaram um novo conjunto de pacotes npm que foram comprometidos para disseminar um worm auto-replicante, utilizando tokens de desenvolvedor roubados. Denominado CanisterSprawl, o malware foi detectado pelas empresas Socket e StepSecurity, que observaram que ele exfiltra dados através de um canister ICP. Os pacotes afetados incluem versões de @automagik/genie, @fairwords/loopback-connector-es, entre outros. O malware é ativado durante a instalação, utilizando um hook postinstall para roubar credenciais e segredos de ambientes de desenvolvimento, que são então usados para enviar versões contaminadas dos pacotes para o registro. Informações capturadas incluem chaves SSH, credenciais de nuvem e arquivos de configuração do Docker, além de tentativas de acessar dados de navegadores e carteiras de criptomoedas. Além disso, a campanha também inclui lógica de propagação para pacotes Python, ampliando ainda mais seu alcance. Este incidente destaca a crescente ameaça aos ecossistemas de código aberto, com ataques direcionados a plataformas como npm e PyPI, e requer atenção imediata dos profissionais de segurança.

Uma pesquisa realizada por acadêmicos da Universidade de Stanford, UC Davis e TU Delft revelou que cerca de 1.748 credenciais de API sensíveis estão expostas em aproximadamente 10.000 páginas da web, após a análise de 10 milhões de sites. Essas credenciais, que incluem chaves de acesso a plataformas de nuvem e serviços de pagamento, foram encontradas em códigos de sites públicos, destacando uma falha significativa na segurança. A maioria das chaves expostas estava em arquivos JavaScript, com 84% das credenciais identificadas nesse formato. O estudo sugere que a falta de controles rigorosos durante o desenvolvimento de software é uma das principais causas dessa exposição. Além disso, as credenciais podem permitir acesso direto a bancos de dados e sistemas críticos, aumentando o risco de manipulação de software e acesso não autorizado a dados sensíveis. Os pesquisadores alertam que a quantidade de credenciais expostas pode ser ainda maior do que a identificada, uma vez que a verificação foi limitada a um conjunto específico de provedores de serviços. Após a divulgação do problema, a quantidade de chaves expostas caiu pela metade em duas semanas, indicando a necessidade urgente de monitoramento e revisão de processos de segurança por parte dos desenvolvedores.

O GitHub está implementando uma nova funcionalidade de escaneamento baseada em inteligência artificial (IA) para sua ferramenta de Segurança de Código, visando ampliar a detecção de vulnerabilidades além da análise estática tradicional do CodeQL. Essa mudança busca identificar problemas de segurança em áreas que são desafiadoras para a análise estática convencional, abrangendo mais linguagens e frameworks, como Shell/Bash, Dockerfiles, Terraform e PHP. O modelo híbrido, que combina a análise semântica profunda do CodeQL com as detecções de IA, deve entrar em pré-visualização pública no início do segundo trimestre de 2026.

Uma vulnerabilidade de segurança foi identificada no editor de código Cursor, que utiliza inteligência artificial. O problema ocorre porque a configuração de segurança chamada ‘Workspace Trust’ está desativada por padrão, permitindo que atacantes executem código arbitrário nos computadores dos usuários ao abrir repositórios maliciosos. A análise da Oasis Security destaca que, com essa configuração desativada, um arquivo malicioso ‘.vscode/tasks.json’ pode transformar a simples ação de abrir uma pasta em uma execução silenciosa de código malicioso. Isso pode resultar em vazamento de credenciais sensíveis ou comprometer todo o sistema do usuário. Para mitigar esse risco, os usuários devem ativar o ‘Workspace Trust’, abrir repositórios não confiáveis em editores de código alternativos e realizar auditorias antes de usar o Cursor. Além disso, a pesquisa aponta que a segurança em ferramentas de desenvolvimento baseadas em IA enfrenta desafios adicionais, como injeções de prompt e vulnerabilidades clássicas, que ampliam a superfície de ataque. A situação é preocupante, pois a segurança deve ser uma prioridade em um ambiente de desenvolvimento cada vez mais dependente de IA.