Agentes de codificação de IA vulneráveis a malware via repos do GitHub, pesquisadores da Mozilla demonstram exploit do Claude

O time de pesquisa de segurança 0din da Mozilla demonstrou que agentes de codificação de IA como Claude podem ser enganados para executar malware através de ataque de engenharia social enganosamente simples. Um atacante pode criar um repositório do GitHub que parece limpo—com apenas arquivos de scaffolding e arquivos de inicialização padrão—que engana Claude a instalar malware. O ataque explora o impulso do agente de ser útil: quando a IA encontra um erro durante configuração de projeto, tenta resolver o problema automaticamente, disparando scripts maliciosos escondidos no repo.

A cadeia de ataque é sutil e em três camadas. Primeiro, um fake script de startup Axiom erra, levando Claude a executar um comando de ajuda. Esse comando então baixa software de uma fonte maliciosa disfarçada como busca legítima de registro DNS TXT. O registro TXT contém um reverse shell codificado em base64—dando ao atacante acesso shell à máquina do desenvolvedor. De lá, atacantes podem exfiltrar segredos, chaves de API, código, documentos, sessões de navegador e senhas. A vulnerabilidade não requer nenhum arquivo obviamente suspeito; ferramentas de scanning de segurança existentes tipicamente não flagarão o repositório ou a atividade.

Para arquitetos: isso demonstra que agentes de codificação precisam de limites de segurança fundamentalmente diferentes de desenvolvedores humanos. Claude e agentes similares carecem do ceticismo para questionar passos de setup de terceiros pouco claros. O time 0din recomenda que desenvolvedores nunca confiem cegamente em projetos desconhecidos e nunca confiem em ferramentas de IA para análise de segurança. Vendedores de agentes devem implementar sandboxing de execução e exigir aprovação explícita do usuário antes de executar comandos shell ou baixar da internet.