Pesquisadores de cibersegurança divulgaram detalhes de uma vulnerabilidade no Amazon Kiro, um ambiente de desenvolvimento integrado com IA e capacidades agentic, que pode facilitar a exfiltração de dados por meio de prompt injection e do recurso Kiro Powers.
A falha de segurança, que ainda não recebeu um identificador CVE, afeta o Kiro IDE 0.7.45 no Windows, segundo a Mindguard. A versão mais recente do ambiente é a 1.0.337.
“O problema permitia que conteúdo de repositório controlado pelo atacante influenciasse o agente do Kiro e, em última instância, fizesse com que informações locais sensíveis fossem transmitidas a um endpoint externo”, afirmou o pesquisador de segurança Fergal Glynn em um relatório compartilhado com portais de segurança.
O Kiro Powers vai além de habilidades básicas ao reunir configurações de servidor do Model Context Protocol (MCP), arquivos de direcionamento chamados “POWER.md”, hooks e conhecimento contextual. O arquivo de direcionamento funciona como um “manual de integração”, fornecendo contexto persistente e indicando à IA quais ferramentas MCP estão disponíveis e quando elas devem ser usadas.
Segundo a Mindguard, a exploração bem-sucedida exige duas ações do usuário. Primeiro, ele precisa abrir o projeto malicioso por meio de um arquivo de workspace, usando File → Open Workspace From File, em vez de abrir a pasta diretamente. Depois, precisa enviar uma mensagem ao agente. A vulnerabilidade pode ser reproduzida tanto em workspaces confiáveis quanto não confiáveis.
Quando essas condições são atendidas, dados sensíveis do workspace podem ser exfiltrados para o atacante “sem que o usuário solicite explicitamente que o Kiro acesse ou transmita” essas informações. A dificuldade de exploração foi classificada como baixa.
O que torna a falha relevante é que o usuário não precisa enviar um prompt malicioso nem fazer referência ao conteúdo controlado pelo atacante. Assim que o arquivo de workspace preparado é aberto, qualquer mensagem enviada é suficiente para acionar o fluxo vulnerável.
“A vulnerabilidade aparece quando conteúdo de projeto controlado pelo atacante é interpretado como instrução, e essas instruções podem influenciar operações sensíveis de segurança em outra parte do IDE”, disse a Mindguard.
“A quebra da fronteira de confiança ocorre em toda a sequência. Conteúdo controlado pelo repositório influencia o agente, o agente lê informações locais sensíveis, o agente grava essas informações em uma configuração relevante para a segurança do IDE e, em seguida, um recurso do próprio IDE transforma a configuração modificada em atividade de rede.”
À medida que ambientes de desenvolvimento com IA passam a reunir interpretação e execução no mesmo fluxo de trabalho, arquivos de repositório podem ser usados para fornecer contexto ao modelo, enquanto o agente consegue ler arquivos, acionar ferramentas e ativar outras funções do aplicativo, o que aumenta o risco de falhas na fronteira de confiança.
Após uma divulgação responsável, a Amazon implementou uma correção para a falha na versão 0.8.140 do Kiro IDE. A vulnerabilidade também se apoia em um bug anterior apontado pela Mindguard, que permitia que instruções em arquivos de direcionamento fizessem com que informações locais fossem incorporadas a uma requisição de imagem em Markdown e enviadas a um servidor externo.
“Ao criar cuidadosamente um arquivo de direcionamento para ler um arquivo local e renderizar uma imagem em Markdown, um atacante pode coagir a IA a enviar dados sensíveis para um servidor externo”, observou a empresa na época.
Esta não é a primeira vez que vulnerabilidades são divulgadas no Kiro. Em junho de 2026, a Amazon corrigiu uma falha de controle de acesso insuficiente, identificada como
CVE-2026-10591
e com pontuação CVSS de 8,8, que poderia ter permitido a um agente remoto não autenticado executar comandos arbitrários por meio de instruções preparadas que provocavam gravações em caminhos sensíveis à execução, como “.vscode/tasks.json” ou “~/.kiro/settings/mcp.json”, além de facilitar a execução automática ao abrir a pasta.
“Ao inserir instruções ocultas em uma página da web que o Kiro lê, um atacante pode fazer com que o Kiro reescreva seu próprio arquivo de configuração do servidor MCP (Model Context Protocol) e obtenha execução arbitrária de código na máquina do desenvolvedor”, disse a Intezer. “Nenhum aviso suspeito de aprovação é exibido ao usuário. Tudo o que o desenvolvedor pediu ao Kiro foi uma ação legítima.”
Os achados também surgem em meio a uma série de problemas de segurança descobertos em ferramentas de IA:
• Uma cadeia de vulnerabilidades no OpenAI Codex CLI para Windows que abusa de prompt injection por meio do web.run para transformar uma busca rotineira na web em execução furtiva de comandos no nível do host, fora do recurso sandbox integrado
• Uma vulnerabilidade de execução remota de código sem clique no Cursor CLI que usa prompt injection indireto para gravar um executável malicioso no workspace e executá-lo
• Uma vulnerabilidade de execução arbitrária de código no Cursor, GitHub Copilot CLI, Google Gemini CLI e no aplicativo Codex para Windows, decorrente de sequestro da ordem de busca, que permite ao atacante colocar um binário malicioso com o mesmo nome de uma dependência externa, como “git.exe” e “which.exe”, no diretório de trabalho atual antes dos caminhos confiáveis do sistema
• Uma vulnerabilidade que afeta o Anthropic Claude Code (
CVE-2026-35603
), o Cursor, o Codex CLI e o Google Gemini CLI e explora uma pasta do Windows considerada confiável por essas ferramentas, “C:\ProgramData\<application>”, para gravar um arquivo de configuração, como “managed-settings.json”, “hooks.json”, “system-defaults.json” e “config.toml”, e permitir que um atacante com poucos privilégios tenha seus comandos executados dentro da sessão de qualquer outro usuário na máquina sem aviso, alerta ou acesso elevado
• Uma vulnerabilidade de escape de sandbox no Claude Code (
CVE-2026-25725
, CVSS 7,7) que permite a um atacante com execução de código dentro da sandbox criar um arquivo malicioso “.claude/settings.json” contendo um hook com comandos arbitrários, executados no host subjacente na próxima execução do Claude Code
• Um conjunto de vulnerabilidades no Gemini CLI que permite a um atacante confinado na sandbox escapar do limite do container e executar código arbitrário no sistema hospedeiro, além de possibilitar o roubo do token OAuth do Google do usuário
• Uma vulnerabilidade na sandbox do Codex CLI que faz a fronteira de confiança colapsar por meio de uma chamada de ferramenta do LLM para “apply_patch”, que pode criar e modificar arquivos no diretório .codex da pasta de trabalho, via prompt injection direta ou indireta, e alcançar execução de comandos no host
• Uma vulnerabilidade no NVIDIA NemoClaw (
CVE-2026-65105
, CVSS 8,1) que pode permitir a um atacante assumir o controle do servidor local do modelo Ollama com uma única visita a uma página controlada pelo atacante na máquina da vítima, além de inserir instruções ocultas no modelo de chat para que elas sejam aplicadas a todas as conversas subsequentes
• Uma vulnerabilidade no OpenClaw que permite a qualquer site assumir o controle total do agente de IA de um desenvolvedor, sem plugins, extensões ou interação do usuário, ao abusar da capacidade do gateway de aceitar conexões de localhost via WebSocket, já que qualquer site pode abrir uma conexão WebSocket com localhost
• Uma vulnerabilidade no diálogo de instalação MCP do Microsoft Visual Studio Code (
CVE-2026-41613
, CVSS 8,8, também chamada Envade) que, com um único clique em um deeplink preparado, permite execução completa de código no sistema do desenvolvedor ou redireciona chamadas de ferramentas MCP por meio da conta de um atacante
• Uma vulnerabilidade no Claude Desktop chamada PromptFiction que, com um único clique em um link preparado, podia induzir o agente de IA a realizar ações não intencionais, incluindo coleta de dados sensíveis ou execução de código arbitrário
“As descobertas sobre o Kiro expõem um problema que vai muito além de um único IDE ou de um único programa de divulgação”, disse a Mindguard. “Vulnerabilidades em IA podem surgir da interação entre interpretação do modelo, lógica do aplicativo, ferramentas, configuração e recursos externos, o que as torna difíceis de avaliar com processos de divulgação pensados para defeitos de software mais claramente definidos.”
“À medida que os sistemas de IA ganham mais ferramentas e interagem com mais estados do aplicativo, os programas de divulgação de vulnerabilidades precisam avaliar os caminhos de execução com o mesmo nível de detalhamento usado pelos pesquisadores que os descobrem.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...