Pesquisadores de segurança publicaram uma nova classe de ataque batizada de sequestro de agente, em que o atacante assume o controle de assistentes de programação por meio de dados de monitoramento comprometidos. A instrução maliciosa é injetada no registro de erro que a ferramenta consulta, e o agente a executa com os privilégios de quem está programando. Dos agentes testados, 85% se mostraram vulneráveis.
O caminho do ataque é o que o torna difícil de fechar. Registro de erro é justamente o material que um assistente precisa ler para ajudar a corrigir um defeito. Tratar essa leitura como conteúdo perigoso significa reduzir a utilidade da ferramenta; tratá-la como confiável significa aceitar instrução escrita por quem controlar o sistema de monitoramento.
Não existe correção universal disponível. A mitigação recomendada pelos pesquisadores é tratar toda saída de rastreador de erro como entrada não confiável, com etapa de revisão humana antes de qualquer ação.
O número de 85% descreve a maturidade da categoria. Ferramentas de programação assistida foram desenhadas para produtividade, e a suposição implícita era de que o conteúdo lido no ambiente de desenvolvimento é seguro por vir de dentro.
A recomendação prática vale para qualquer agente, não só de programação: o que entra no contexto de trabalho de um modelo precisa ser tratado como entrada de usuário, com a mesma desconfiança que se aplica a formulário de site.