Prompt Injection

Pesquisadores da Noma Security revelaram uma vulnerabilidade crítica no GitHub, que pode permitir que agentes de automação, conhecidos como GitHub Agentic Workflows, exponham conteúdos de repositórios privados. A técnica, chamada GitLost, permite que um atacante crie um problema aparentemente inofensivo em um repositório público, levando o agente a acessar e vazar informações privadas. Isso ocorre devido à ineficácia do agente em distinguir entre instruções legítimas e maliciosas, resultando em uma injeção de prompt indireta. A vulnerabilidade é particularmente preocupante porque não requer credenciais roubadas ou acesso direto à organização, apenas a criação de um problema público. Embora o GitHub tenha implementado medidas de segurança, como tokens de acesso somente leitura e detecção de ameaças, um simples ajuste na redação de um comando malicioso conseguiu contornar essas proteções. A Noma Security alerta que a combinação de acesso a dados privados, leitura de conteúdo não confiável e capacidade de postagem pública cria um caminho claro para vazamentos de dados. As organizações devem restringir o escopo dos tokens de acesso e revisar as saídas dos agentes antes da publicação para mitigar esses riscos.

Um pesquisador de segurança descobriu uma falha no Claude Code, uma ação do GitHub desenvolvida pela Anthropic, que permitia a um atacante assumir repositórios públicos vulneráveis apenas com a abertura de uma única issue no GitHub. A falha foi reportada em janeiro e corrigida em quatro dias, com a versão segura sendo a claude-code-action v1.0.94. A vulnerabilidade foi classificada com um score de 7.8 no CVSS v4.0 e resultou em um pagamento de recompensa por bugs. O problema estava na verificação de gatilho da ação, que permitia que qualquer ator cujo nome terminasse em [bot] acionasse a ação, assumindo que aplicativos do GitHub são confiáveis. Isso possibilitou que um atacante injetasse comandos maliciosos que poderiam expor variáveis de ambiente e credenciais sensíveis. Além disso, a configuração padrão da ação permitia que usuários sem acesso de escrita a acionassem, aumentando o risco. A situação é crítica, pois um ataque semelhante já resultou na exploração de um token de publicação npm em outro repositório. A recomendação é atualizar para a versão corrigida e auditar fluxos de trabalho que permitam entradas não confiáveis.

Pesquisadores da Miggo Security descobriram uma vulnerabilidade no assistente de IA Google Gemini, que permite a exfiltração de dados privados do Calendário através de um ataque de injeção de prompt. O ataque começa com o envio de um convite para um evento, contendo uma descrição maliciosa que atua como um payload. Quando a vítima pergunta ao assistente sobre sua agenda, o Gemini processa o evento malicioso e pode vazar informações sensíveis, como resumos de reuniões privadas. Essa técnica se aproveita da capacidade do Gemini de interpretar dados de eventos para ser útil, mas que pode ser manipulada por atacantes. Apesar de o Google ter implementado medidas de segurança após um ataque semelhante em 2025, a nova abordagem dos pesquisadores destaca a dificuldade em prever novas formas de exploração em sistemas de IA. A Miggo compartilhou suas descobertas com o Google, que já está trabalhando em novas mitigação para bloquear esses ataques, mas a complexidade da linguagem natural continua a representar um desafio significativo para a segurança.

Pesquisadores de cibersegurança revelaram um novo método de ataque chamado Reprompt, que pode permitir que criminosos exfiltratem dados sensíveis de chatbots de inteligência artificial, como o Microsoft Copilot, com apenas um clique. Segundo Dolev Taler, pesquisador da Varonis, o ataque não requer interação adicional do usuário após o primeiro clique em um link legítimo. O Reprompt utiliza três técnicas principais: a injeção de instruções via parâmetro de URL, a manipulação das salvaguardas de proteção de dados e a criação de uma cadeia contínua de solicitações que permite a exfiltração dinâmica de dados. Isso significa que, após um único clique, o atacante pode controlar a sessão do Copilot e solicitar informações sensíveis, como detalhes sobre arquivos acessados ou dados pessoais do usuário. Embora a Microsoft tenha corrigido a vulnerabilidade, o ataque destaca a fragilidade das defesas atuais contra injeções de prompt, que continuam a ser uma preocupação crescente na segurança de sistemas de IA. O Reprompt exemplifica como a falta de distinção entre instruções de usuários e solicitações externas pode ser explorada, tornando-se um ponto cego na segurança das empresas.