AI Security Newsletter - Um resumo mensal de pesquisas em segurança de IA, insights, relatórios, próximos eventos e ferramentas e recursos
Uma coletânea de pesquisas, insights, relatórios, próximos eventos e ferramentas e recursos de segurança de IA. Siga a comunidade AISecHub e nosso grupo no LinkedIn para atualizações adicionais. Confira também nosso projeto, Awesome AI Security.
Patrocinado por InnovGuard.com - Consultoria em Risco Tecnológico e Cibersegurança - Inove e Invista com Confiança, Lidere com Garantia.
📌 Atualizando nossa taxonomia: Modos de falha em sistemas de IA agentivos A Microsoft expande sua taxonomia de modos de falha de IA agentiva a partir do trabalho de red team, dando às equipes de segurança uma maneira mais clara de raciocinar sobre uso indevido de ferramentas, agência excessiva, contaminação de memória, limites de identidade e lacunas de override humano em sistemas de agentes implantados.
📌 Miasma Worm atinge a Microsoft novamente: Azure Functions Action e 72 outros repositórios desativados após ataque à cadeia de suprimentos visando agentes de codificação de IA A StepSecurity documenta uma campanha de cadeia de suprimentos visando workflows de agentes de codificação de IA e repositórios GitHub, com foco defensivo em confiança de dependências, proveniência de ações, caminhos de escrita em repositórios e credenciais visíveis a agentes em ambientes CI/CD.
📌 O estado lamentável da distribuição de habilidades Pesquisadores da Trail of Bits contornaram verificações do ClawHub, Cisco skill-scanner e skills.sh com pacotes de habilidades que usavam truncamento, indireção de arquivo, envenenamento de bytecode e framing de injeção de prompt, mostrando por que mercados públicos de habilidades de agentes precisam de curadoria e controles de proveniência em vez de confiança apenas em scanners.
📌 Codex CLI RCE: Mitigações de injeção de prompt A Cymulate aborda o risco de injeção de prompt em agentes de codificação de linha de comando, onde texto não confiável pode direcionar escritas de arquivo ou execução de ferramentas, a menos que sandboxing, limites de aprovação e restrições de comando sejam aplicados fora do modelo.
📌 Agentjacking: Injeção MCP sequestra agentes de codificação de IA A Cloud Security Alliance resume o padrão de "agentjacking" do Sentry para MCP, onde telemetria ou conteúdo de problemas controlados externamente se tornam contexto confiável para agentes de codificação. O quadro defensivo útil é tratar observabilidade, dados de relatórios de bugs e integrações como entrada de agente não confiável, e não como metadados de desenvolvimento neutros.
📌 SearchLeak: Como Transformamos o M365 Copilot em uma Arma de Exfiltração de Dados em Um Clique A Varonis descreve uma cadeia de ataque do Microsoft 365 Copilot Enterprise que combina injeção de parâmetro em prompt, comportamento de renderização HTML e abuso de caminho de busca para vazar dados sensíveis do M365 através de um workflow de um único clique.
📌 AutoJack: Como uma única página pode causar RCE no host que executa seu agente de IA A Microsoft mostra como uma página web maliciosa visualizada por um agente de navegação de IA pode alcançar um serviço local do AutoGen Studio e desencadear execução de processo no host através de confiança insegura em localhost e manipulação de ações do agente.
📌 Ataque à cadeia de suprimentos do Mastra npm: Mais de 140 pacotes backdoorados via typosquat do easy-day-js A StepSecurity relata um comprometimento do ecossistema npm do Mastra através de uma dependência typosquatted com um dropper pós-instalação ofuscado, afetando pacotes de agente, RAG, MCP e workflow usados em pilhas de aplicações de IA.
📌 Quebrando o LiteLLM: De Usuário com Poucos Privilégios a Admin e RCE A Obsidian documenta um caminho encadeado de escalada de privilégios e RCE no LiteLLM, mostrando como o acesso com poucos privilégios a um gateway de IA pode se tornar controle administrativo sobre segredos de provedores, políticas de proxy e funções de agentes em tempo de execução.
📌 Vulnerabilidade no Amazon Q: Comprometimento via Execução Automática de MCP A Wiz analisa um problema na extensão Amazon Q para VS Code onde a configuração MCP confiável no espaço de trabalho em um repositório clonado podia carregar automaticamente comportamento controlado por atacantes e expor caminhos de execução do desenvolvedor e credenciais na nuvem.
📌 macOS.Gaslight: Backdoor em Rust transforma injeção de prompt contra o analista, não contra o sandbox A SentinelOne documenta um backdoor em Rust que planta conteúdo de injeção de prompt para analistas e ferramentas assistidas por IA, deslocando o ataque da fuga do sandbox para a manipulação do humano e do modelo que revisa o malware.
📌 Uso de Computador e TOCTOU: O que você clica não é o que você obtém! Johann Rehberger demonstra uma condição de corrida em um agente de uso de computador onde a tela muda após o modelo observá-la, mas antes do clique acontecer, transformando uma interação aparentemente benigna em uma ação de envio no Outlook e tornando a revalidação de pixel ou estado pré-ação um controle central.
📌 A abordagem do espectro de codificação vibe para desenvolvimento de software assistido por IA O NCSC do Reino Unido enquadra a codificação assistida por IA como um espectro de risco, separando protótipos de baixo risco de código gerado que toca em autenticação, autorização, dados sensíveis, comportamento crítico de segurança ou infraestrutura crítica.
📌 Injeção de Prompt e Segurança de Runtime de Agentes: Um Modelo de Ameaça Prático A TMLS enquadra a injeção de prompt como um problema de segurança de runtime, mapeando ataques através de mediação de ferramentas, armazenamentos de memória, canais de saída e lacunas de aprovação humana. A conclusão prática é mover controles para corretores de capacidade, execução em sandbox, listas de permissões e caminhos de auditoria, em vez de tratar o texto do prompt como limite de segurança.
📌 O que aconteceu depois que 2.000 pessoas tentaram hackear meu assistente de IA Fernando Irarrázaval relata um desafio de injeção de prompt em um agente de e-mail OpenClaw com mais de 6.000 tentativas e nenhum vazamento de segredo bem-sucedido, enquanto expõe problemas práticos de implantação relacionados à contaminação de memória do agente, contexto em lote, custo de API, suspensão de conta e escolha de modelo.
🧰 AgentStalker - Benchmark de vulnerabilidades de agentes e kit de ferramentas de análise com rastreamento de taint, análise de AST, auditoria de código e reprodução em sandbox para caminhos de ataque agentivos. ⭐️115
🧰 darknet-mcp-server - Servidor MCP que expõe ferramentas de brechas, ransomware, malware, exploits, logs de stealer e inteligência de ameaças a agentes de IA para workflows controlados de pesquisa em segurança. ⭐️67
🧰 mcp-trust-plane - Plano componível de segurança de dados e guardrail para provedores de Model Context Protocol, focado em controles de política em torno de ferramentas e dados conectados via MCP. ⭐️60
🧰 prompt-gate - Controle local de DLP e camada de DNS para bloquear ferramentas de IA não autorizadas e inspecionar prompts de saída em busca de segredos ou dados sensíveis antes que deixem o endpoint. ⭐️28
🧰 claude-ai-cyber-security-skills - Coleção de habilidades Claude Code para workflows de segurança, incluindo testes ofensivos, análise defensiva e padrões de investigação assistidos por ferramentas. ⭐️17
🧰 talos - Serviço de chave de API e token de capacidade para humanos, serviços e agentes de IA que precisam de autorização máquina-a-máquina com escopo. ⭐️14
🧰 SkillsGuard - Scanner estático para pacotes de habilidades de agentes de IA maliciosos ou inseguros, arquivos SKILL.md e scripts agrupados. ⭐️13
🧰 tamga - Proxy de segurança auto-hospedado para LLM, para redação de PII, defesa contra injeção de prompt e controles de conformidade em torno do tráfego de modelos. ⭐️11
🧰 llm-sec-range - Campo de ataque e defesa para LLM abrangendo CTFs de injeção de prompt, OWASP LLM Top 10, agentes vulneráveis e alvos de modelos locais. ⭐️9
🧰 aka-claude-tools - Utilitários de hardening para Claude Code: contexto limpo, perfis isolados, credenciais bloqueadas, egresso vigiado e padrões locais mais seguros. ⭐️9
🧰 agent-jackstop - Camada de hardening para Cursor e Claude Code contra injeção de prompt através de saída de ferramentas não confiável, também descrito como agentjacking. ⭐️8
🧰 LLM-Safety-platform - Plataforma de red teaming de IA para avaliação de vulnerabilidades em LLM, injeção de prompt, ataques de ofuscação e análise de estabilidade de amostragem. ⭐️6
A atualização de junho da OWASP transforma a segurança de IA agentiva em um mapa de governança e engenharia, cobrindo workflows autônomos, categorias de risco de agentes, controles e a lacuna prática entre modelos de ameaça iniciais e incidentes de produção.
A Cloud Security Alliance publica 247 objetivos de controle de IA em 18 domínios de segurança, com mapeamentos para estruturas de garantia e conformidade como ISO 42001, ISO 27001, BSI AIC4 e governança orientada à EU AI Act.
A CSA transforma a AI Controls Matrix em orientação de implementação para provedores de nuvem, abrangendo planejamento de auditoria, remediação, gerenciamento de vulnerabilidades, supervisão de parceiros, detecção de ameaças e práticas de garantia específicas de IA.
O NCSC do Reino Unido e parceiros Five Eyes alertam que a IA está reduzindo barreiras para atacantes e comprimindo a janela de vulnerabilidade para exploração, enquanto mapeiam a mudança de risco para padrões seguros por design, redução de exposição, velocidade de patches, autenticação forte, prontidão para incidentes e uso defensivo de IA.
A NSA e parceiros internacionais publicam orientações de design de segurança para MCP em automação orientada por IA, cobrindo autenticação, autorização, confiança no servidor, controles de transporte, exposição de ferramentas e monitoramento para ecossistemas de agentes que saem de experimentos para produção.
🛡️ CVE-2026-49257: mcp-pinot expõe invocação de ferramenta MCP não autenticada Crítico 10,0. O mcp-pinot pode vincular um servidor MCP HTTP a 0.0.0.0 com OAuth desabilitado por padrão, expondo ferramentas de SQL, esquema e mutação de tabelas através de credenciais Apache Pinot do lado do servidor.
🛡️ CVE-2026-54309: Transporte MCP Browser do n8n aceita chamadas de ferramenta não autenticadas Crítico 10,0. O transporte HTTP MCP Browser do n8n pode aceitar inicialização de sessão e chamadas de ferramenta sem autenticação, expondo a automação de controle do navegador a clientes alcançáveis.
🛡️ CVE-2026-56274: Injeção de comando no Flowise Custom MCP Server Crítico 9,9. O tratamento de flags de comando e as restrições de acesso a arquivos do Flowise Custom MCP Server podem ser contornados para injeção de comando no sistema operacional dentro de uma plataforma de workflow LLM.
🛡️ CVE-2026-55255: IDOR na execução de fluxo do Langflow Crítico 9,9. A API de respostas do Langflow pode permitir que um atacante autenticado execute o fluxo de outro usuário fornecendo um ID de fluxo da vítima, quebrando o isolamento de inquilinos para execução de workflow de IA.
🛡️ CVE-2026-50548: Fuga do sandbox de terminal do agente Cursor Crítico 9,8. O sandbox de terminal do agente Cursor pode ser contornado modificando parâmetros de diretório de trabalho, permitindo ações de terminal orientadas por agente fora do limite pretendido do espaço de trabalho.
🛡️ CVE-2026-50549: Fuga do sandbox de escrita de arquivo do agente Cursor Crítico 9,8. O sandbox de escrita de arquivo do Cursor pode cair incorretamente após falha de canonicalização, criando um caminho para escritas de arquivo por agente fora do limite pretendido do projeto.
🛡️ CVE-2026-49468: Bypass de autorização por cabeçalho de host no proxy LiteLLM Crítico 9,8. O parsing de cabeçalho de host no proxy LiteLLM pode permitir acesso não autenticado a rotas de gerenciamento protegidas sob condições específicas de implantação, arriscando controles de gateway e segredos de provedores.
🛡️ CVE-2026-7664: Bypass de autorização no IBM Langflow Streamable MCP Crítico 9,8. O transporte Streamable MCP do IBM Langflow pode expor recursos e operações MCP protegidos a atacantes não autenticados em versões de código aberto afetadas.
🛡️ CVE-2026-55743: Bypass da lista de permissões de shell do agente desktop OpenHuman Crítico 9,6. A lista de permissões de shell do agente desktop OpenHuman pode ser contornada através de flags de execução find e truques de ambiente, transformando caminhos indiretos de injeção de prompt em execução de comandos no host.
📅 IEEE CSR GenXSec 2026 - 3 a 5 de agosto de 2026 · Lisboa, Portugal · Organizador: IEEE CSR
📅 Black Hat USA 2026 - AI Summit - 4 de agosto de 2026 · Las Vegas, NV, EUA · Organizador: Black Hat
📅 CAMLIS 2026 - 21 a 23 de outubro de 2026 · Arlington, VA, EUA · Organizador: CAMLIS
📅 GAISS 2026 - 28 a 30 de outubro de 2026 · Austin, TX, EUA · Organizador: IEEE
📅 ACM AISec 2026 - 15 a 19 de novembro de 2026 · Haia, Países Baixos · Organizador: ACM AISec
📖 AgentRedBench: Redteaming Dinâmico e Defesa Consciente de Integração para Agentes LLM sobre Integrações SaaS
Avalia injeção indireta de prompt contra agentes de uso de ferramentas conectados a integrações SaaS como Gmail, Salesforce e Jira, tornando a superfície de ataque mais próxima de workflows de agente em produção do que testes de injeção de prompt apenas em chat. arXiv
📖 SkillGuard: Uma Estrutura de Permissões para Habilidades de Agentes
Trata habilidades de agentes de terceiros como artefatos de software com permissões, mapeando o que uma habilidade pode injetar no contexto do agente para o que ela pode fazer o agente executar em tempo real. arXiv
📖 Inconsistência entre Descrição e Código em Servidores MCP Reais: Medição, Detecção e Implicações de Segurança
Mede 19.200 pares descrição-código de 2.214 servidores MCP e descobre que descrições de ferramentas frequentemente divergem do comportamento real de implementação, criando um ponto cego para agentes que escolhem ferramentas com base em descrições em linguagem natural. arXiv
📖 GitInject: Ataques Reais de Injeção de Prompt em Pipelines CI/CD Alimentados por IA
Mostra como agentes de IA incorporados em pipelines CI/CD e workflows de pull request podem ingerir conteúdo de repositório controlado por atacantes enquanto mantêm permissões elevadas, transformando injeção de prompt em um risco de cadeia de suprimentos de software. arXiv
📖 Rumo a Agentes LLM Seguros: Superfícies de Ameaça, Ataques, Defesas e Avaliação
Sintetiza 247 artigos em um mapa orientado a sistemas da segurança de agentes, centralizando fluxo de informação, autoridade delegada, estado persistente, sequestro de fluxo de controle mediado por ferramentas e a fraqueza de defesas não composicionais. arXiv
📖 Política de Mesma Origem para Navegadores Agentivos
Mostra que navegadores agentivos podem se tornar canais automatizados de fluxo de dados entre origens e, em seguida, propõe o SOPGuard para impor limites de origem do navegador enquanto preserva a utilidade da tarefa. arXiv
📖 Benigno Isolado, Nocivo em Composição: Riscos de Segurança em Ecossistemas de Habilidades de Agentes
Apresenta o Risco de Composição de Habilidades, onde habilidades individualmente benignas se tornam prejudiciais quando suas saídas, sinais de confiança, dicas de autorização ou efeitos colaterais influenciam chamadas posteriores de ferramentas em um contexto de agente compartilhado. arXiv
📖 SafeClawBench: Separando Dano Semântico, de Evidência de Auditoria e de Sandbox em Agentes LLM que Usam Ferramentas
Introduz um benchmark em estágios para segurança de agentes que usam ferramentas, abrangendo injeção direta e indireta de prompt, injeção de retorno de ferramenta, envenenamento de memória, extração de memória e inferência insegura, separando concordância de modelo de dano visível à auditoria e observado pelo sandbox. arXiv
📖 "O que Acontece Localmente, Vaza Globalmente": Detectando Riscos de Vazamento de Privacidade em Servidores MCP
Enquadra o vazamento MCP como um problema de privacidade induzido por protocolo, onde credenciais, chaves de API ou PII cruzam o limite local-LLM através de valores retornados, logs ou erros de manipulação de ferramentas. arXiv
📖 ShareLock: Um Ataque de Envenenamento por Limiar Multi-ferramenta Furtivo contra MCP
Apresenta um ataque de envenenamento MCP multi-ferramenta onde instruções maliciosas são divididas entre descrições de ferramentas aparentemente benignas e reconstruídas somente após um gatilho, reduzindo a detectabilidade em comparação com envenenamento de ferramenta única. arXiv
💬 Repositório GitHub limpo engana agentes de codificação de IA para executar malware r/cybersecurity · Pontuação no Reddit 183 · 19 comentários Os profissionais trataram o tópico como um caso de limite de confiança de agente de codificação: prompts de repositório, arquivos de configuração, scripts de instalação e contexto de saída de ferramentas podem se tornar influência de execução antes que um revisor veja uma carga maliciosa convencional.
💬 Backdoor macOS Gaslight Armazena Injeção de Prompt Contra Analistas de Segurança r/cybersecurity · Pontuação no Reddit 202 · 11 comentários A discussão enquadrou a injeção de prompt como abuso de workflow de análise de malware: amostras maliciosas podem plantar instruções para analistas e suas ferramentas de IA, então o ambiente de revisão, as anotações do analista e o contexto do modelo se tornam parte da superfície de ataque.
💬 Implantando o Copilot - Quão preocupado devo estar com Injeção Indireta de Prompt? r/cybersecurity · Pontuação no Reddit 48 · 31 comentários As equipes de segurança compararam controles de implantação do Copilot para injeção indireta de prompt, focando em documentos e e-mails não confiáveis, permissões de usuário herdadas, dados excessivamente compartilhados, escopo de conectores e se o princípio do menor privilégio sozinho é suficiente para assistentes de recuperação aumentada.💬 How are teams handling MCP tool surface exposure? r/cybersecurity · Reddit score 13 · 19 comments O tópico focou no MCP como um limite de exposição de ferramentas: as equipas debateram a acessibilidade do servidor, confiança na descrição das ferramentas, portas de aprovação, autorização por ferramenta, e se o acesso a ferramentas de agente deveria ser modelado mais próximo do acesso a API ou da execução de código local.
💬 Is anyone's security policy actually ready for AI agents, or are we all just pretending? r/cybersecurity · Reddit score 47 · 73 comments Os profissionais mapearam agentes de IA para lacunas de governança nas políticas existentes: quem é responsável por ações automatizadas, o que requer aprovação humana, como as permissões delegadas são registadas, e como a resposta a incidentes muda quando um operador de fluxo de trabalho é parcialmente automatizado.
1️⃣ RCE em Agentes de Codificação LLM: Lições de Vulnerabilidades Recentemente Divulgadas do Claude Code Sessão do Cloud Native São Francisco sobre lições de RCE em agentes de codificação, útil para equipas que revêem como injeção de prompt, ferramentas locais e ambientes de desenvolvimento podem combinar-se em risco de execução no lado do anfitrião.
2️⃣ O Futuro da IA Empresarial Segura: Construindo Agentes Fiáveis com MCP Palestra na Xpand Conference sobre design de agentes empresariais baseados em MCP, com ênfase prática em infraestrutura de agentes fiável, exposição de dados e controlos de segurança em torno de ferramentas conectadas.
3️⃣ Conferência de Segurança Nacional CNAS 2026: Definindo as Regras para a Guerra de IA Sessão da CNAS sobre normas de guerra de IA e política de segurança nacional, relevante para equipas de segurança que acompanham como operações cibernéticas habilitadas por IA estão a mover-se para doutrina e governança do setor público.
4️⃣ Guia do HitchHacker para Construir Agentes Seguros Palestra nas Conferências NDC sobre construção segura de agentes, cobrindo os riscos de engenharia que surgem quando os agentes recebem ferramentas, credenciais, estado e autonomia dentro de sistemas de software reais.
5️⃣ Atacando Sistemas de IA Sessão da CodeValue sobre ataque a sistemas de IA, útil como um guia orientado para profissionais sobre como as funcionalidades de IA expandem os modelos de ameaça de aplicações para além do tratamento comum de prompts e APIs.
6️⃣ BlueHat 2026: De agentes confiáveis a adversários: Protegendo a IA agentiva na era da injeção de prompt Palestra BlueHat 2026 sobre como fluxos de trabalho de agentes confiáveis se tornam adversários quando saídas de ferramentas, conteúdo recuperado e ações delegadas cruzam limites de confiança.
7️⃣ Invadindo Aplicações Alimentadas por LLM: Superando Desafios de Segurança e Privacidade Sessão do Spring I/O por Brian Vermeer cobrindo caminhos de ataque práticos contra aplicações alimentadas por LLM, incluindo injeção de prompt, fuga de privacidade, risco de integração de aplicações e mitigações arquitetónicas.
8️⃣ ContinuumCon 2026 - Caçando Injeção de Prompt Palestra ContinuumCon por Mackenzie Jackson sobre encontrar, testar e raciocinar sobre comportamento de injeção de prompt em sistemas de IA como um problema de segurança operacional.
9️⃣ Protegendo Agentes de IA com MCP e Identidade Zero Trust Sessão DZone Events sobre proteção de agentes conectados com MCP usando conceitos de identidade zero trust, acesso delimitado, autorização de ferramentas e fluxos de trabalho delegados mais seguros.
🔟 Segurança Prática do MCP em Ação Sessão técnica do Bulgarian Java User Group por Willem Jan Glerum sobre trade-offs de segurança do MCP, exposição de servidor e ferramentas, risco de configuração e controlos para integrações de agentes.
Se és um fundador a construir algo novo ou um investidor a avaliar oportunidades em fase inicial - vamos conectar.
💬 Leste algo interessante? Partilha os teus pensamentos nos comentários.
