Uma issue no GitHub aberta por uma conta sem privilégios no repositório foi suficiente para executar código nos runners de CI por trás dos repositórios de agentes de programação da Anthropic e da Google. No caso da OpenAI, isso bastou para sequestrar a próxima execução do agente.
A Novee Security testou o ataque contra o agente de cada fornecedor na configuração padrão distribuída por eles e apresentou o trabalho na Black Hat USA em 5 de agosto. O resultado foi a descoberta de duas CVEs. Ambas já foram corrigidas.
O Gemini CLI concentra a falha mais grave. A
CVE-2026-12537
, com nota CVSS 4 de 10,0, é uma injeção de comando do sistema operacional no iniciador do container, acessada por meio de um arquivo .gemini/.env criado de forma maliciosa. Isso permite que um atacante sem privilégios execute código no host de uma plataforma de CI sem interface gráfica antes que o sandbox seja iniciado. A correção está no Gemini CLI 0.39.1 e no run-gemini-cli 0.1.22.
No Claude Code, a
CVE-2026-54316
transformou o contador público de downloads do Hugging Face em um canal de exfiltração que vazava uma chave de API caractere por caractere. A falha foi corrigida na versão 2.1.163. Todas as versões do Claude Code da 0.2.54 até a 2.1.163 estão afetadas. A Anthropic afirma que a exploração exigia inserir conteúdo não confiável em um contexto do Claude Code.
O achado no Codex não gerou nem patch por versão de produto nem CVE. Segundo a Novee, a posição da OpenAI é que o sandbox se comportou exatamente como documentado. A recomendação é atualizar o Gemini CLI para 0.39.1, o run-gemini-cli para 0.1.22 e o Claude Code para 2.1.163, além de auditar qualquer fluxo de trabalho que possa ser acionado por um usuário externo.
A falha de execução no host do Gemini não exigiu convencer o modelo a fazer nada específico. Nos três casos, o problema recorrente estava no harness, o código ao redor do modelo que decide o que realmente será executado. Uma parte marcava um valor como seguro e, mais adiante, outra parte agia sobre esse valor com mais autoridade.
“O harness é o código entre o modelo e o mundo real”, escreveu Elad Meged, engenheiro fundador da Novee.
A Novee descobriu que o validador de comandos do Claude Code remove o texto entre aspas simples antes de executar suas 23 verificações, o que é um comportamento correto para o bash. Com isso, um payload no valor de git push --receive-pack, uma flag executada pelo git, chegou ao runner sem alterações. Essa cadeia não tem CVE e não conta com uma versão corrigida divulgada publicamente.
No Gemini CLI, a lista de permissões de ferramentas era interpretada apenas no momento do registro da ferramenta. Em tempo de execução, nada a impedia e, com --yolo, todo comando solicitado pelo modelo era aprovado automaticamente. A Google tratou dessa falha e do problema no iniciador do container em um único comunicado, que afirma que a correção “afeta todas as GitHub Actions do Gemini CLI”.
Esse comunicado ainda não exibe uma CVE, mas a Google Cloud publicou o identificador separadamente como CNA, fazendo referência a ele. A Anthropic classifica a falha do Claude Code como Moderada, com CVSS v4 de 6,0, enquanto o NVD atribuiu nota CVSS v3.1 de 9,1. O NVD ainda não atribuiu pontuação pela v4, portanto os dois números não são diretamente comparáveis.
O achado no Codex é o único sem uma versão para instalar. A Novee identificou que o repositório openai/codex executava duas passagens do Codex dentro de uma única tarefa, compartilhando um único checkout. Assim, a primeira passagem podia gravar um AGENTS.md, arquivo que a segunda carregava como se fossem suas próprias instruções. A falha na validação JSON entre as duas passagens foi o gatilho que lançou a segunda execução.
O fluxo atual da OpenAI separa as passagens em tarefas diferentes e executa o Codex com drop-sudo e um sandbox somente leitura. A documentação da empresa agora inclui arquivos de instrução de repositório entre o conteúdo que “deve ser considerado parte da superfície de entrada não confiável” e recomenda rodar o Codex como a última etapa de uma tarefa, alertando que, caso contrário, ele pode deixar arquivos para etapas privilegiadas que venham depois.
Nenhuma dessas mudanças mostra que o Codex passou a tratar de forma diferente um arquivo de instruções gravável. O que as fontes confirmam é uma correção no fluxo de trabalho em nível de repositório e uma atualização na documentação.
O registro da CISA para as CVEs do Gemini e do Claude Code aponta exploração como inexistente, e confirmou-se em 7 de agosto que nenhuma delas aparece no catálogo de Known Exploited Vulnerabilities da agência. O veículo também encontrou um repositório público no GitHub que se descreve como um laboratório de reprodução da falha do Claude Code, ativo desde 18 de junho. Nada nas fontes analisadas indica que qualquer uma dessas cadeias tenha sido usada contra um alvo.
O avanço ocorre no momento em que a Pillar Security informou, em 4 de agosto, que os operadores do worm ChainDrop para npm inseriram um hook SessionStart do Claude Code e uma tarefa folderOpen do VS Code em repositórios comprometidos, disparando quando um desenvolvedor abria o workspace, em vez de esperar uma instalação.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...