Sistemas de agentes de IA em produção, como Codex e Claude Code, hoje protegem chamadas de ferramenta com uma mistura de regras estáticas e julgamento do próprio LLM sobre cada ação -- e o julgamento por LLM é inconsistente e vulnerável a prompt injection indireto. O MetaPermit propõe que um LLM só infira meta-atributos da situação (intenção do usuário, contexto de execução, natureza da chamada proposta), enquanto uma política determinística e fixa decide permitir ou negar, alcançando 31% mais consistência e zero chamadas maliciosas executadas nos benchmarks testados.
A firma Air Security descreveu o Plugin4Shell, uma falha de validação que permite a quem controla o repositório de um plugin substituir, na prática, o código que um agente de codificação de IA instala, mesmo quando esse agente registra o plugin como fixado em um commit específico já revisado. Claude Code e OpenAI Codex já corrigiram o problema, GitHub Copilot ainda não tem correção disponível e o Google recomenda migrar do Gemini CLI para o Antigravity em vez de corrigir a falha.
A Manifold Security divulgou oito falhas em sete agentes de codigo de linha de comando (Claude Code, Codex, Cursor, goose, Hermes Agent, Qwen Code e Grok Build) que permitem a um repositorio malicioso executar comandos arbitrarios assim que o agente roda operacoes Git de rotina como 'git status'. O vetor e a diretiva core.fsmonitor do .git/config, um parametro de performance legitimo do Git cujo valor e um comando executado automaticamente para detectar arquivos alterados. Quatro dos sete agentes seguiam sem correcao completa na data de publicacao.
Pesquisadores identificaram mais de 100 sites cuja documentacao em llms.txt e llms-full.txt -- a convencao emergente que resume conteudo de sites para agentes de IA, analoga ao robots.txt -- contem conteudo executavel malicioso instalado automaticamente quando agentes como Claude, Codex e Hermes visitam essas paginas. Dezenas de empresas, algumas Fortune 500, chegaram a executar codigo de prova de conceito, e pelo menos um site mal configurado direciona diretamente para malware ativo.
Pesquisadores da Noma Security identificaram uma falha máxima (CVSS 10.0) no Ruflo, plataforma open source de orquestração de múltiplos agentes de IA usada com Claude Code e OpenAI Codex, catalogada como CVE-2026-59726 e apelidada de RufRoot. A ponte MCP do projeto expunha dezenas de ferramentas sem qualquer autenticação, permitindo execução remota de comandos e adulteração persistente da memória dos agentes. A vulnerabilidade afeta todas as versões anteriores à 3.16.3, já corrigida.