Vulnerabilidade GuardFall: Truques de Bash dos anos 80 burlam filtros de IA

A GuardFall afetou 10 de 11 agentes populares de código aberto testados .

Ferramentas afetadas

Os relatórios disponíveis nomeiam as seguintes ferramentas de código aberto como afetadas pela GuardFall :

Mitigações recomendadas

Como o problema não é apenas uma lista de palavras-chave mal feita, mas uma incompatibilidade entre o que o verificador de segurança analisa e o que o shell executa , uma abordagem em camadas é a mais adequada:

1. Não confie apenas em filtros de segurança baseados em padrões de string. Eles podem ser facilmente enganados quando o Bash interpreta a sintaxe ofuscada de forma diferente do verificador .
2. Trate o shell como um limite de alto risco. Comandos montados a partir da saída do modelo ou de conteúdo de repositórios devem ser revisados, escapados ou evitados antes de chegarem ao Bash .
3. Reduza o raio de explosão. Execute agentes de IA com o menor privilégio possível, especialmente ao trabalhar com repositórios clonados ou conteúdo externo.
4. Aplique patches dos fornecedores quando disponíveis. Algumas vulnerabilidades relacionadas já foram corrigidas, como a falha de gravidade máxima no Gemini CLI da Google (GHSA-wpqr-6v78-jr5g) .
5. Revise manualmente os comandos sugeridos pelo agente antes de executá-los em ambientes sensíveis.
6. Trate conteúdo externo (como READMEs e arquivos de código) como não confiável, pois os ataques do tipo GuardFall dependem de conteúdo malicioso ingerido pelo agente .

Preocupações mais amplas do setor — Junho de 2026

Em junho de 2026, diversos relatórios coordenados de vulnerabilidades indicaram que muitos agentes de codificação de IA compartilham fraquezas estruturais semelhantes em relação à confiança, execução de comandos e conteúdo do espaço de trabalho .

• TrustFall — Abrir um repositório malicioso em ferramentas como Claude Code, Cursor, Gemini CLI ou GitHub Copilot e aceitar o prompt de confiança era suficiente para executar código do atacante, que podia acessar dados locais sensíveis, como chaves SSH, credenciais de nuvem e histórico do shell .
• SymJack — Uma classe de RCE por sequestro de link simbólico, descrita como um padrão de ataque mais silencioso, afetando múltiplos agentes, incluindo Claude Code, Cursor, Antigravity, Copilot CLI e Grok Build .
• GuardFall — A pesquisa da Adversa AI mostrou que o comportamento de análise do Bash poderia ser usado para burlar as verificações de segurança de comandos de agentes de IA .
• Gemini CLI CVSS 10.0 — A Google corrigiu uma vulnerabilidade de gravidade máxima no Gemini CLI (GHSA-wpqr-6v78-jr5g), onde a execução headless em CI/CD confiava automaticamente em arquivos controlados por atacantes, permitindo execução arbitrária de comandos .

Principais preocupações estruturais levantadas pelos pesquisadores:

• Injeção de prompt continua sendo um risco central para ferramentas de codificação baseadas em agentes. O NIST já classificou a injeção de prompt como "a maior falha de segurança da IA generativa", enquanto o OWASP a considera a vulnerabilidade número 1 no Top 10 de Aplicações LLM .
• Prompts de confiança não são suficientes por si só, pois ataques do tipo TrustFall demonstraram execução de código malicioso mesmo após o usuário aceitar o prompt de confiança do repositório .
• Verificações de segurança baseadas em texto não são uma barreira completa, pois ataques GuardFall dependem da interpretação diferente de strings ofuscadas entre o verificador e o shell .
• A resposta dos fornecedores foi desigual, com relatos de que Google e Cursor se recusaram a corrigir problemas do tipo TrustFall/SymJack, enquanto xAI e GitHub Copilot CLI não responderam aos pesquisadores .