Falhas em Claude Code e Gemini CLI deixavam uma issue anônima no GitHub sequestrar segredos de CI
Pesquisadores da Novee Security mostraram na Black Hat USA que os agentes de codificação de IA da Anthropic, Google e OpenAI podiam ser atacados por qualquer conta sem privilégios no repositório, bastando abrir uma issue no GitHub. No Gemini CLI e no Claude Code as falhas já receberam CVE com notas altas de severidade e foram corrigidas; no Codex da OpenAI o problema foi mitigado por mudança de arquitetura do workflow.
Na Black Hat USA de 5 de agosto de 2026, a Novee Security apresentou uma pesquisa em que uma issue aberta por uma conta sem qualquer privilégio no repositório era suficiente para alcançar execução de código nos runners de CI por trás dos próprios repositórios dos agentes de codificação da Anthropic e do Google, e para sequestrar a próxima execução do agente no caso da OpenAI. É um cenário particularmente incômodo porque issues públicas são, por definição, um canal aberto a qualquer pessoa na internet.
No Gemini CLI, a falha (CVE-2026-12537, CVSS 10.0) era uma injeção de comando de sistema operacional através de um arquivo `.gemini/.env` malicioso processado antes da inicialização do sandbox, permitindo execução de código no host do CI sem qualquer isolamento, em versões até a 0.39.0 (corrigida na 0.39.1). No Claude Code, a falha (CVE-2026-54316, CVSS 9.1) permitia vazar chaves de API caractere por caractere usando o contador público de downloads do Hugging Face como canal lateral de exfiltração, afetando as versões 0.2.54 a 2.1.163 (corrigida nesta última). No Codex da OpenAI, sem CVE atribuído, a primeira passada do agente podia escrever instruções em um arquivo `AGENTS.md` que a segunda passada lia no mesmo job, contornando validações — corrigido separando os jobs e tornando o sandbox somente leitura.
O padrão comum às três falhas é estrutural, não algorítmico: em algum ponto do pipeline um valor era marcado como "seguro" cedo demais e depois reutilizado com autoridade maior sem revalidação — uma variante do problema clássico de confused deputy, agora aplicada a pipelines de agentes de IA que combinam uso de ferramentas, execução de código e credenciais de CI.
O caso importa porque essas ferramentas passaram a rodar rotineiramente com credenciais de CI/CD e permissões elevadas, e uma issue pública sem privilégios é uma das superfícies de ataque mais baratas que existem — qualquer repositório aberto aceita issues de qualquer conta. As três vulnerabilidades já estão corrigidas e a CISA não registrava exploração conhecida até 7 de agosto de 2026, mas o achado antecipa uma classe de ataque específica de agentes de codificação de IA, que exige da indústria o mesmo rigor de fronteira de confiança já consolidado em segurança de CI/CD tradicional — desta vez aplicado a conteúdo gerado por atacantes e processado por um agente com privilégios de execução.