Assistente de codificação com IA é sequestrado e usado para espalhar o worm Shai-Hulud por cerca de 100 repositórios
A Mandiant documentou um incidente em que um atacante conseguiu manipular um assistente de codificação com IA para recomendar um pacote PyPI malicioso, que instalou um infostealer e roubou tokens OAuth do GitHub do desenvolvedor. Com essas credenciais, o atacante implantou o worm autorreplicante Shai-Hulud em cerca de 100 repositórios internos, comprometendo segredos e código-fonte da organização. O caso mostra como assistentes de IA integrados ao fluxo de desenvolvimento podem virar um novo elo na cadeia de suprimento de software.
O incidente relatado pela Mandiant começa de um jeito cada vez mais comum: um desenvolvedor pede sugestões de bibliotecas a um assistente de codificação com IA (a reportagem cita integração com ferramentas como Claude Code e Visual Studio Code) e recebe, entre as recomendações, um pacote hospedado no PyPI que na verdade foi plantado pelo atacante. A reportagem não detalha exatamente como o atacante conseguiu influenciar as recomendações do assistente — se via envenenamento de um índice de pacotes, manipulação de contexto/RAG, ou outro mecanismo —, mas o efeito prático foi o mesmo de um ataque clássico de typosquatting ou dependência maliciosa, só que com o assistente de IA atuando como o canal de distribuição em que a vítima confia.
Uma vez instalado, o pacote continha um infostealer que capturou tokens OAuth do GitHub da sessão do desenvolvedor. Esses tokens deram ao atacante acesso equivalente ao do próprio desenvolvedor sobre os repositórios da organização, permitindo implantar o Shai-Hulud — um worm de auto-propagação já associado a campanhas anteriores de envenenamento de pacotes no ecossistema npm, ocorridas em agosto e setembro de 2026. A partir daí, o worm se espalhou lateralmente por cerca de 100 repositórios internos, e um segundo ciclo de comprometimento ocorreu quando um pacote infectado foi publicado no namespace oficial da organização, ampliando ainda mais o raio de propagação.
O resultado documentado inclui roubo de segredos de repositório e de código-fonte de produtos da empresa afetada — ou seja, não foi apenas um incidente de infraestrutura de CI, mas um comprometimento real de propriedade intelectual e credenciais que podem ser reutilizadas em ataques subsequentes. O uso do Shai-Hulud como carga final também sugere que o mesmo grupo (ou grupos que reaproveitam a mesma ferramenta) já opera com infraestrutura de propagação madura, o que reduz o tempo entre acesso inicial e comprometimento em massa.
O que torna esse caso especialmente relevante para times de segurança é a mudança no ponto de entrada: cadeias de suprimento de software historicamente eram atacadas via typosquatting, dependências abandonadas ou comprometimento direto de mantenedores. Aqui, o assistente de IA no ambiente de desenvolvimento passa a ser mais um intermediário que pode ser manipulado para recomendar código malicioso com a aparência de uma sugestão legítima e confiável, aproveitando o fato de que desenvolvedores tendem a instalar pacotes sugeridos por essas ferramentas sem a mesma cautela que teriam ao encontrá-los organicamente. Isso reforça a necessidade de tratar saídas de assistentes de codificação como entrada não confiável, sujeita a verificação (assinatura de pacotes, allowlists, revisão de dependências novas) antes de instalação automática.