Uma vulnerabilidade identificada no Agent Development Kit (ADK) da Google poderá ter permitido que um agente de IA com permissões limitadas explorasse outro agente com privilégios mais elevados, conseguindo executar código num sistema de integração contínua (CI).
Investigadores da Pillar Security classificaram o caso como uma demonstração prática de um agente de IA a explorar outro num ambiente de produção. A falha afetava fluxos de trabalho automatizados no repositório Python do ADK, que poderiam ser manipulados através de conteúdo malicioso colocado numa issue pública do GitHub.
O repositório do ADK para Python, uma ferramenta open source com mais de 90 milhões de downloads, utilizava duas categorias de agentes automatizados, cada uma com diferentes níveis de acesso. Por um lado, existia um agente público, ativado sempre que alguém criava uma issue ou um pull request. Por outro, havia fluxos de trabalho privilegiados, reservados a proprietários, membros e colaboradores do repositório.
Como funcionava o ataque
O agente público respondia através da conta “adk-bot”, que tinha permissões de colaborador. Assim, os investigadores descobriram que um atacante poderia inserir uma injeção de prompt numa issue pública e induzir esse agente a publicar um comando destinado aos fluxos de trabalho com privilégios superiores.
Consequentemente, o sistema tratava o comando como se tivesse sido emitido por um colaborador autorizado, ultrapassando a barreira de permissões sem intervenção humana. Embora os fluxos privilegiados apenas aceitassem comandos iniciados por gh ou git, essa limitação não impedia a exploração: a combinação de escrita de ficheiros com caminhos configuráveis para hooks do Git permitia, na prática, a execução arbitrária de código.
Durante a demonstração, os investigadores conseguiram extrair o token de acesso pessoal do bot. Além disso, confirmaram que uma chave de uma conta de serviço do Google Cloud estava disponível no ambiente do fluxo de trabalho, embora não tenham conseguido determinar o alcance total das permissões associadas a essas credenciais.
Resposta da Google e implicações
A Google removeu os três fluxos de trabalho afetados (issue-analyze.yml, issue-fix.yml e pr-analyze.yml) e confirmou posteriormente que a correção tinha sido aplicada. A empresa considerou, no entanto, que a vulnerabilidade não cumpria os critérios para recompensa no programa de bug bounty, uma vez que o cenário exigia engenharia social e a aprovação de um pull request malicioso por parte de um responsável pelo projeto.
Ainda assim, o caso reforça uma preocupação crescente na segurança de sistemas baseados em agentes: a linguagem natural passou a integrar o caminho de autorização. Isto significa que conteúdo não confiável, como comentários, issues, mensagens ou documentação externa, pode influenciar ações automatizadas com impacto real se não existir uma separação rigorosa de privilégios.
Para mitigar este risco, as organizações devem identificar quais os agentes que processam conteúdo não confiável, verificar se as respetivas respostas conseguem acionar fluxos mais privilegiados e limitar ao mínimo indispensável as credenciais disponíveis em cada etapa. A recomendação da Pillar Security é clara: cada agente deve ter uma identidade própria e permissões estritamente limitadas, sem possibilidade de atravessar fronteiras de privilégio através de instruções que uma injeção de prompt possa forjar.
Fica ainda mais conectado:
- Cibersegurança – Claude Opus 5 apaga acidentalmente uma base de dados
- Google Chrome – IA está a acelerar a encontro de bugs e torna as correções mais rápidas
- Microsoft – Satya Nadella confirma lançamento da super app Copilot este ano
