A estrutura de diretórios do seu repositório também é uma superfície de ataque contra assistentes de código
O estudo mostra que a forma como um repositório está organizado — profundidade de diretórios, modularidade do código, onde uma instrução maliciosa é inserida em um arquivo e como o contexto é formulado — afeta diretamente a taxa de sucesso de ataques de prompt injection indireta contra assistentes de codificação agênticos. Repositórios altamente modulares reduzem significativamente essa taxa de sucesso, segundo os testes em dez linguagens e seis domínios de engenharia.
Assistentes de código agênticos (Claude Code, Copilot Workspace, Cursor e similares) recebem acesso amplo ao sistema de arquivos para poder ler, entender e editar um repositório inteiro — inclusive código de terceiros trazido por dependências ou PRs externos. Esse mesmo acesso é o que permite prompt injection indireta: uma instrução maliciosa escondida em um comentário, string ou arquivo de configuração pode ser lida pelo agente durante sua exploração normal do código e interpretada como um comando a ser seguido, sem que o desenvolvedor tenha pedido nada disso.
O que este trabalho acrescenta é mostrar que o sucesso desse ataque não depende só do conteúdo da instrução maliciosa, mas de onde e como ela está inserida na estrutura do projeto — o que os autores chamam de 'topologia do workspace': profundidade de diretório, modularidade da base de código, posição exata da injeção dentro de um arquivo e o enquadramento de contexto ao redor dela. Testando três pontos de entrada de injeção indireta contra modelos open-weight rodando em harnesses de código abertos, em dez linguagens e seis domínios de engenharia, os autores encontraram que repositórios altamente modulares — código bem separado em módulos coesos — apresentam taxa de sucesso de ataque significativamente menor do que bases de código monolíticas ou pouco organizadas.
Isso tem uma leitura dupla e um pouco contraintuitiva: por um lado, boas práticas de engenharia de software (modularidade, organização clara) parecem ter um efeito colateral positivo de segurança contra agentes de IA; por outro, isso também significa que a superfície de ataque de um projeto legado, mal organizado ou muito acoplado é maior do que a de um projeto bem estruturado — um incentivo a mais, ainda que indireto, para dívida técnica ruim.
Na prática, times de segurança de aplicação que avaliam o uso de assistentes de codificação agênticos ganham aqui uma variável concreta de risco a considerar: a topologia do próprio repositório, não só a política de permissões do agente. Isso é particularmente relevante para quem ingere código de terceiros automaticamente via esses assistentes, um cenário que os autores citam explicitamente como motivação do estudo.