O CLI Cline Foi Comprometido: Entenda Como Ocorreu a Invasão

O ataque ao Cline não foi um caso isolado de má configuração, mas um exemplo estrutural de como agentes de IA operando com permissões excessivas se tornaram alvos críticos na cadeia de suprimentos. A vulnerabilidade 'Clinejection' explorou um workflow do GitHub Actions que usava Claude via anthropic/claude-code-action@v1 com escopos de Bash, Read e Write, o suficiente para manipular o cache compartilhado entre triagem de issues e publicação noturna. Isso permitiu envenenar o cache com comandos que extraíram o token npm, sem tocar no código-fonte do CLI nem nas extensões para VS Code ou JetBrains. O pacote malicioso [email protected] alterou apenas o postinstall no package.json, evitando detecção por scanners tradicionais de binários.

A instalação silenciosa do OpenClaw revela outro problema: frameworks de IA autônomos com acesso irrestrito ao terminal e disco são, por design, vetores de execução privilegiada. Apesar de ser legítimo, o OpenClaw já tinha CVE-2026-25253 (CVSS 8.8), uma RCE de um clique que permite escalonamento para root. Mais de 40 mil instâncias expostas e 2.200 'skills' maliciosas no ClawHub mostram que ele virou alvo de exploração em larga escala, não por falha no Cline, mas pela sua própria superfície de ataque ampliada quando implantado sem consentimento explícito.

Desenvolvedores que usam CLIs com workflows automatizados de IA precisam rever permissões de escopo em GitHub Actions: Read e Write não devem coexistir com Bash em agentes que processam entradas não confiáveis. O incidente também mostra que a migração para OIDC com proveniência, adotada pelo Cline após o ataque, não é opcional, mas requisito mínimo para publicação de pacotes. Tokens estáticos de npm com longa duração são agora considerados anti-padrão por equipes de segurança de grandes empresas, como Microsoft e Google. Para quem mantém ferramentas de desenvolvimento, o alerta é claro: cada agente de IA integrado ao pipeline é um novo ponto de entrada, e deve ser tratado como tal, com sandboxing, auditoria de logs e rotação automática de credenciais.