Vulnerabilidade Crítica em Agentes de IA: Arquivos .git Maliciosos Permitem Execução de Código

A revelação da Manifold Security sobre as vulnerabilidades em agentes de codificação de IA, apelidada de GitSpawn, reacende um alerta que o CEVIU News tem acompanhado de perto: a segurança do ambiente de desenvolvimento quando IA e código se misturam. A falha não está no modelo de IA em si, mas na interação do agente com o sistema de arquivos via Git. Especificamente, o problema reside no uso do arquivo .git/config, que, se malicioso, pode usar a configuração core.fsmonitor para executar comandos arbitrários. Isso acontece sem o conhecimento do usuário e fora das sandboxes de segurança, explorando uma funcionalidade legítima do Git que monitora mudanças de arquivos.

Esta não é a primeira vez que ferramentas de desenvolvimento com IA são expostas a falhas de escape de sandbox e execução remota de código. O CEVIU News já detalhou em julho de 2026, no artigo “Falhas Críticas em Ferramentas de Desenvolvimento com IA: Ataques de Sandbox Exigem Novas Defesas”, como plataformas como Cursor e Codex CLI enfrentavam problemas semelhantes. A natureza da exploração atual, que se vale de repositórios comprometidos para infiltrar o ambiente de desenvolvimento, sublinha a fragilidade das defesas quando a IA opera com privilégios de sistema.

Esta nova onda de vulnerabilidades representa uma reincidência de problemas para o Claude Code. Em 26 de fevereiro de 2026, o CEVIU News publicou a matéria “Falhas no Claude Code Permitem Execução Remota de Código e Exfiltração de Chaves API”, alertando para vulnerabilidades que permitiam RCE e exfiltração de chaves API via repositórios maliciosos e hooks. Naquela época, o problema foi parcialmente mitigado pela Anthropic na versão 2.0.34 do Claude Code, lançada em 5 de novembro de 2025.

No entanto, a Manifold Security descobriu que o comportamento problemático reapareceu na versão 2.1.193 do Claude Code, lançada em 25 de junho de 2026. Embora a vulnerabilidade específica do core.fsmonitor tenha sido corrigida na versão 2.1.196, uma segunda variante do problema no Claude Code, envolvendo o caminho claude ultrareview, permanece ativa. Isso demonstra que a batalha pela segurança em agentes de IA é contínua, com correções pontuais sendo burladas ou ignoradas por novas implementações.

A detecção dessas oito vulnerabilidades, com quatro ainda sem correção, é um sinal de alerta para a segurança da cadeia de suprimentos de software. Desenvolvedores e empresas dependem cada vez mais de agentes de IA para otimizar processos, desde a revisão de código até a geração automática. Quando esses agentes se tornam vetores para execução de código arbitrário e exfiltração de dados, a confiança em todo o ciclo de desenvolvimento é comprometida. A possibilidade de um simples .git/config malicioso comprometer sistemas inteiros realça a urgência de políticas de segurança mais robustas e auditorias contínuas.

Para as empresas, a gestão de vulnerabilidades e a proteção de dados sensíveis tornam-se desafios exponenciais. A exploração dessas falhas pode levar a incidentes de segurança devastadores, vazamento de propriedade intelectual e danos à reputação. É fundamental que as organizações implementem práticas de defesa corporativa que incluam verificação rigorosa de repositórios, segregação de ambientes de desenvolvimento e treinamento contínuo para desenvolvedores sobre as crescentes ameaças cibernéticas ligadas à IA.