Repositório limpo no GitHub engana agentes de desenvolvimento de IA para executar malware

A técnica demonstrada pela Mozilla 0DIN não é uma falha em um único agente, mas uma falha de projeto sistêmica em como agentes de desenvolvimento de IA, como Claude Code, GitHub Copilot Agents ou o OpenClaw AI, interpretam e resolvem erros. O ataque funciona porque o agente não avalia intenção, só sintaxe: ao ver 'pip3 install -r requirements.txt' seguido de um erro que sugere 'python3 -m axiom init', ele executa a segunda instrução como rotina de recuperação, mesmo que essa linha invoque um módulo Python que, por sua vez, chame um shell script externo que consulte um registro DNS TXT controlado pelo invasor. Nenhum arquivo do repositório contém código malicioso executável direto; o payload está totalmente fora da árvore do código-fonte, no DNS. Isso evita detecção por scanners estáticos (como Semgrep), SAST e até por ferramentas de análise de dependência como Dependabot.

O ataque foi validado com Claude Code, mas os pesquisadores destacam que qualquer agente que implemente 'auto-recovery' baseado em mensagens de erro textuais está vulnerável, incluindo versões experimentais de GitHub Copilot Workspace e agentes baseados em Llama 3.2-Agent. Não há evidência de exploração em larga escala até hoje, mas o Miasma worm (5 de junho de 2026) já usou lógica semelhante de inicialização indireta via configuração para comprometer 73 repositórios do GitHub Microsoft, confirmando a viabilidade operacional do vetor.

Esse tipo de ataque representa um deslocamento crítico na cadeia de suprimentos de software: o ponto de infecção deixou de ser o código-fonte ou o pacote publicado (PyPI, npm) e passou para o *comportamento de automação* dos próprios agentes. Diferentemente de ataques clássicos de dependência comprometida (ex.: typosquatting), aqui não há 'malware no pip install'. O risco está na forma como o agente *reage* a um erro, e isso não é detectável por ferramentas tradicionais de segurança de código. Para equipes de DevSecOps, significa que políticas de 'aprovador humano obrigatório para comandos de rede' ou 'sandboxing de todas as etapas de setup' deixaram de ser boas práticas e viraram requisitos de segurança mínimos.

Desenvolvedores que usam agentes para clonar, configurar e rodar projetos de terceiros, especialmente em onboarding, testes de integração ou POCs rápidos, devem tratar cada 'python3 -m ' como potencialmente perigoso, mesmo se o repositório parecer limpo e o comando parecer padrão. A recomendação prática da 0DIN é executar qualquer setup em container isolado com DNS outbound bloqueado (ex.: docker run --dns 127.0.0.1), desabilitar execução de shell em tempo de execução (via seccomp ou BPF) e exigir aprovação explícita antes de comandos que envolvam 'init', 'setup', 'bootstrap' ou 'configure'. Ferramentas como 'pip install --no-deps' ou 'pip install --dry-run' também ajudam a inspecionar o que será carregado antes da execução real.