Hackers atacam agentes de codificação de IA com arquivos de texto maliciosos

Sua pasta Downloads provavelmente contém alguns PDFs, capturas de tela esquecidas e vários arquivos chamados de alguma variação de “final”. Mas, de acordo com um relatório recente da empresa de segurança Forever, também pode conter instruções informando ao seu assistente de IA para instalar malware.

Em uma postagem no blog de 22 de outubro, a empresa relatou que pegou um assistente de codificação de IA seguindo essas instruções no computador de um cliente. A empresa bloqueou a instalação e rastreou a solicitação até um arquivo de texto em Downloads.

Como um arquivo de texto consegue esse tipo de poder? Ferramentas como Codex da OpenAI e Claude Code da Anthropic podem, dependendo de suas permissões, editar arquivos, executar comandos e instalar software. Os desenvolvedores deixam para eles arquivos de instruções chamados AGENTS.md ou CLAUDE.md para explicar como trabalhar em um projeto. Se você estiver construindo um site, essas notas poderão informar ao assistente quais fontes usar ou o que testar antes de terminar.

Um invasor também pode deixar instruções. Nesse caso, o arquivo dizia ao assistente para instalar o “function-color”, um pacote de software vinculado à campanha de malware MALFEX documentada pela Checkmarx.

A Forever não estabeleceu como o arquivo chegou ao computador do cliente, mas seus pesquisadores demonstraram uma rota possível. Dependendo das configurações do navegador, um site pode colocar um arquivo em Downloads sem pedir aprovação. Se alguém iniciar seu assistente de codificação nessa pasta, ele poderá ler o arquivo e seguir suas ordens.

Quando a Forever testou o arquivo do cliente em um computador isolado, disse que o Codex baixou e executou o malware. Ele também alterou configurações que poderiam fazer com que o software do invasor fosse carregado em sessões posteriores.

“Depois de escrita, cada sessão do Codex na máquina carrega o servidor do invasor na inicialização – em qualquer pasta, qualquer projeto”, escreveram os pesquisadores. “Você pode sair da pasta. O veneno fica.”

A equipe desenvolveu separadamente um teste visando Claude Code. O ataque funcionou metade do tempo, redirecionando o tráfego de Claude para um servidor controlado pelos pesquisadores. Isso expôs um token de login e permitiu que eles enviassem comandos de volta para o assistente executar, ilustrando o risco de dar a um assistente acesso ao seu computador quando ele pode confundir as instruções de um estranho com sua própria tarefa.

Os pesquisadores já realizaram truques semelhantes antes, mostrando o que a IA pode realmente fazer nas mãos erradas. Em março de 2025, os pesquisadores da Pillar Security conseguiram que assistentes de codificação de IA inserissem códigos prejudiciais em um projeto, ocultando instruções maliciosas em suas regras de codificação. Em abril de 2026, os pesquisadores da NVIDIA usaram um arquivo AGENTS.md envenenado para fazer o Codex sabotar o software e ocultar a mudança. Desta vez, porém, Forever diz que pegou um real invasor tentando o truque no computador de um cliente. Caramba.

Como se proteger

A Forever recomenda manter os assistentes de codificação fora da pasta Downloads e verificar os arquivos AGENTS.md ou CLAUDE.md desconhecidos antes de permitir que um agente trabalhe em um projeto. Mantenha os sandboxes ativados para restringir o que o assistente pode acessar e deixe os requisitos de aprovação ativados para que o agente peça permissão antes de realizar determinadas ações.

Se você suspeitar que um assistente já seguiu instruções maliciosas, verifique suas configurações em busca de servidores ou conexões desconhecidas e revogue e substitua tokens de login potencialmente expostos. Excluir o arquivo de texto original não pode desfazer as alterações já feitas pelo assistente.

“O que devemos observar não é este arquivo ou esta pasta”, escreveram os pesquisadores. “É o próprio agente – software que lê informações não confiáveis, mantém suas credenciais e age com sua autoridade, ficando em um ponto cego que as ferramentas antigas nunca foram construídas para ver.”

Quer mais ciência e notícias de tecnologia entregues diretamente na sua caixa de entrada? Inscreva-se no boletim informativo Light Speed ​​​​do Mashable ou receba alertas push do Mashable hoje.