Histórias de terror de coding agents: o bot de code review que inventou um CVE e rejeitou uma atualização banal

O caso do BuaJi expõe uma lacuna que modelo de permissão nenhum cobre: o que o agente diz. O bot rodava com Ollama local, como job de CI, só com leitura e comentário, sem terraform apply, kubectl apply ou commit. A regra funcionou: ele não executou nada e o incidente custou cerca de dois minutos de leitura de log. Mas o relatório de aproximadamente 1.500 palavras citava uma empresa inexistente, recursos Kubernetes que nunca existiram, scripts em Go para "isolar nós infectados" e a recomendação de revogar todo o acesso IAM. Tudo preso a um CVE que nunca foi emitido.

A resposta do Docker é dupla. Com Docker Sandboxes, o agente roda em microVM com kernel e filesystem próprios e rede em deny-all. O repositório entra com :ro, sem token do GitLab, kubeconfig ou credencial de nuvem, e só a porta 11434 do Ollama é liberada. A regra de somente leitura deixa de ser convenção do pipeline e vira propriedade do ambiente. O log de políticas ainda prova que o bot nunca alcançou o cluster. O próprio texto admite que sandbox não checa fatos. Para isso, sugere um passo no runner que consulta cada CVE no NVD e falha o job se algum não existir, com allow_failure: true, o que gera um aviso e não um bloqueio.

A cobertura anterior do CEVIU já vinha tratando o risco de agentes por ângulos diferentes. Em 13 de outubro de 2026, o CEVIU noticiou "Ameaça Silenciosa: Agentes de IA podem vazar dados apesar de PRs limpos", sobre agentes que parecem inofensivos mas podem ser manipulados para ler segredos. Em 11 de julho de 2026, "Ataque 'Fogo Amigo' Explora Agentes de IA em Cibersegurança para RCE Silencioso" mostrou agentes virando vetor de RCE. Nesses casos o problema era alcance e execução. O caso do BuaJi inverte: o agente não alcançou nada, e o dano potencial vem do conteúdo falso que um humano pode executar.

Para quem opera pipelines com revisores de IA, a leitura é que "somente leitura" não basta como modelo de ameaça. A saída do agente é entrada para quem vem depois, e muitas vezes é uma pessoa de plantão com acesso amplo. Na prática, isso sugere tratar relatório de agente como não confiável, validar identificadores verificáveis (como CVEs) em etapa automatizada fora do alcance do agente e nunca rodar remediação escrita por ele sem revisão humana. Isolar o ambiente reduz o que o agente alcança, mas não substitui essa checagem.