Google remove workflows do Agent Development Kit após pesquisadores sequestrarem agente privilegiado via issue pública no GitHub
A Pillar Security demonstrou que uma issue pública maliciosa no repositório Python do Agent Development Kit (ADK) do Google conseguia manipular um agente de triagem via prompt injection para postar, em nome do bot oficial do projeto, o comando que aciona um segundo agente com privilégios de escrita no repositório. Como o bot já era um colaborador reconhecido, a checagem de autorização do workflow privilegiado era satisfeita automaticamente, abrindo caminho para execução de código com credenciais sensíveis. O Google confirmou a correção em 21 de julho e removeu os três workflows afetados em 9 de junho de 2026.
O ataque explorava a interação entre dois workflows do GitHub Actions no repositório do ADK. O primeiro, público e sem restrições (`issue-analyze.yml`), era disparado automaticamente sempre que alguém abria uma issue, e usava um "triage agent" de IA para gerar uma análise automática do problema relatado. O segundo, privilegiado (`issue-fix.yml`), era acionado por um comentário contendo o comando `/adk-issue-fix`, mas restringia sua execução a donos do repositório, membros da organização ou colaboradores registrados — em teoria, uma barreira de autorização razoável.
O problema é que o próprio bot do triage agent, `adk-bot`, era um colaborador registrado. Os pesquisadores da Pillar Security conseguiram, via prompt injection na issue pública, induzir o agente de triagem a publicar um comentário contendo `/adk-issue-fix` assinado como `adk-bot`. Como a verificação de autorização olha apenas a identidade do autor do comentário e não distingue "bot manipulado por um terceiro" de "bot agindo por vontade própria", a condição de disparo do workflow privilegiado era satisfeita mesmo tendo se originado de um input totalmente não confiável.
Uma vez acionado, o job privilegiado repassava ao agente Antigravity credenciais reais — um personal access token do triage agent, uma chave de API do Google e credenciais de service account — com um conjunto amplo de ferramentas habilitadas. Os pesquisadores mostraram ainda que filtros de metacaracteres no pipeline podiam ser contornados fazendo o agente escrever um payload e utilizar um hook customizado do Git para executá-lo, obtendo execução de código com aquelas credenciais.
Esse caso ilustra um padrão que tende a se repetir em pipelines de CI/CD orientados por agentes: a fronteira de confiança tradicional ("só colaboradores podem disparar ações privilegiadas") não é suficiente quando um dos "colaboradores" é, na verdade, um agente de IA que processa conteúdo público e não confiável antes de agir. O Google respondeu removendo os três workflows (`issue-analyze.yml`, `issue-fix.yml` e `pr-analyze.yml`) do repositório, e a Pillar Security confirmou em 4 de agosto que eles permanecem fora do ar — mas o desenho do problema (bot confiável + input não confiável + ação privilegiada automática) é genérico e provavelmente existe em outras integrações de agentes com sistemas de desenvolvimento.