No entanto, a ferramenta "Read" — que permite ao modelo visualizar o conteúdo de arquivos — não tinha esse isolamento. Ela operava como uma chamada de função dentro do processo, com acesso direto e sem isolamento a todo o sistema de arquivos, incluindo o sensível pseudo-arquivo Linux /proc/self/environ, que expõe o conjunto completo de variáveis de ambiente de um processo .

Um ataque poderia se desenrolar em poucos passos discretos:

1. Um invasor abre uma issue ou pull request aparentemente inofensiva em um repositório público que usa a GitHub Action do Claude Code.
2. O corpo da issue ou um comentário em HTML contém instruções para o agente de IA, invisíveis para um revisor humano que examina a página.
3. Quando o fluxo de trabalho é acionado, o modelo de IA processa o conteúdo como parte de seu contexto e segue as instruções embutidas para ler o arquivo /proc/self/environ .
4. O modelo pode então ser instruído a exfiltrar os dados, por exemplo, publicando-os de volta em um comentário. Os pesquisadores notaram um refinamento onde o ataque removia os primeiros sete caracteres (sk-ant-) da ANTHROPIC_API_KEY para evitar a detecção por scanners automáticos de segredos .

Essa superfície de ataque — onde instruções em linguagem natural injetadas em dados se tornam comandos executáveis — é o cerne da injeção de prompt, um vetor de ameaça que está definindo rapidamente o cenário de segurança para agentes de IA.

Um Patch Preventivo: A Linha do Tempo da Divulgação

Um detalhe crítico é que esta foi uma divulgação coordenada onde a correção veio primeiro.

• 5 de maio de 2026: A Anthropic lançou o Claude Code 2.1.128, que mitigou a vulnerabilidade ao alinhar o isolamento da ferramenta Read com a limpeza de ambiente já aplicada a outros caminhos de execução .
• 5 de junho de 2026: A Microsoft publicou sua análise detalhada da ameaça, usando o estudo de caso para fornecer recomendações de segurança urgentes para toda a indústria .

Além de um Bug: Sete Novas Formas de Sistemas de IA com Agentes Falharem

A divulgação do caso Claude Code veio no contexto de uma avaliação de segurança mais abrangente. Um dia antes, em 4 de junho de 2026, o AI Red Team da Microsoft publicou a versão 2.0 de sua Taxonomia de Modos de Falha em Sistemas de IA Agêntica . Esta grande atualização, baseada em doze meses de simulações de ataque reais contra agentes em produção, adicionou sete categorias de falha totalmente novas que vão muito além de uma única falha de execução de código.

Os novos modos de falha representam uma escalada significativa na forma como os pesquisadores de segurança pensam sobre sistemas de IA autônomos:

1. Comprometimento da Cadeia de Suprimentos Agêntica: Ao contrário dos ataques tradicionais à cadeia de suprimentos de software, que entregam código malicioso, este modo envolve plugins, servidores MCP ou modelos de prompt comprometidos que injetam instruções em linguagem natural para alterar o comportamento do agente sem acionar scanners de código .
2. Sequestro de Objetivos (Goal Hijacking): Um adversário cria instruções que parecem ajudar a completar uma tarefa legítima, mas que redirecionam silenciosamente o objetivo final do agente. O agente permanece intacto do ponto de vista do software, mas foi usado como arma para um objetivo malicioso .
3. Escalonamento de Confiança entre Agentes: Em sistemas multiagentes, um agente comprometido pode reivindicar falsamente uma identidade de maior confiança ou permissões infladas para um orquestrador central que não as verifica de forma independente. Isso funciona como uma versão em linguagem natural do clássico problema do "deputado confuso" .
4. Ataque Visual a Agente de Uso de Computador (CUA): Agentes que operam interfaces gráficas podem ser manipulados por informações visuais não óbvias para um humano, como texto oculto, elementos de IU fora da tela ou imagens que incorporam uma carga de injeção de prompt .
5. Contaminação de Contexto de Sessão: Um ataque sutil onde um adversário introduz informações tendenciosas ou maliciosas no início de uma sessão longa e de várias etapas. Esses dados podem não acionar um controle de segurança em nenhuma etapa única, mas corrompem o raciocínio do agente em uma ação subsequente, aparentemente desconexa .
6. Abuso de MCP / Plugins: Um foco atualizado nas superfícies de ataque específicas ao Model Context Protocol (MCP) e arquiteturas de plugins, que estão se tornando a forma padrão de estender as capacidades dos agentes .
7. Divulgação de Capacidade / Arquitetura: O próprio agente pode ser induzido a vazar detalhes sensíveis do design interno — como esquemas de ferramentas, interfaces de memória ou a lógica que aciona a aprovação humana — dando a um invasor um mapa para ataques futuros mais precisos .

Essa taxonomia expandida elevou o framework de seus 27 modos de falha originais para 34, refletindo a crescente complexidade e presença no mundo real dos sistemas de IA agêntica .

Protegendo o CI/CD em um Mundo com Agentes de IA

Em resposta ao caso Claude Code e à atualização mais ampla da taxonomia, a Microsoft delineou um conjunto de recomendações de segurança para qualquer equipe que integre agentes de IA em seus pipelines de build. A orientação enfatiza que o isolamento parcial é uma falsa sensação de segurança.

• Trate Todo Conteúdo Não Confiável como um Vetor de Injeção: Nunca execute automaticamente um fluxo de trabalho de agente de IA em issues, PRs ou comentários de colaboradores externos. Esse conteúdo deve ser tratado como entrada potencialmente hostil .
• Isole as Ferramentas de Forma Consistente: A lacuna entre a ferramenta Bash (isolada) e a ferramenta Read (sem isolamento) demonstrou que a limpeza de ambiente deve ser aplicada uniformemente. Uma única ferramenta sem isolamento pode comprometer todo um fluxo de trabalho .
• Aplique o Princípio do Menor Privilégio: As chaves de API e tokens de acesso do próprio agente devem ter o escopo mais restrito possível, limitando o dano em caso de exposição. Use OIDC para credenciais de curta duração e com finalidade específica sempre que possível .
• Audite a Experiência do 'Humano no Ciclo': Controles de segurança que dependem de uma revisão humana podem falhar se a carga do ataque estiver escondida em comentários HTML ou Markdown bruto que o revisor nunca vê. A etapa de aprovação humana é tão forte quanto aquilo que é tornado visível para aprovação .
• Faça um Inventário da Cadeia de Suprimentos do Agente: As equipes devem gerar uma lista de materiais de software (SBOM) para cada agente implantado, espelhando a visibilidade da cadeia de suprimentos que agora é padrão para o software tradicional .

Em meio a essa orientação, está um princípio arquitetural fundamental que a comunidade de segurança chama de "Regra dos Dois" (Rule of Two). Originado do framework de outubro de 2025 da Meta para segurança prática de agentes, a regra afirma que um agente deve satisfazer no máximo dois das três condições a seguir: processar entradas não confiáveis, ter acesso a dados sensíveis, e possuir a capacidade de executar ações que alteram o estado externo . A vulnerabilidade do Claude Code foi uma violação clássica desse princípio, já que o agente estava simultaneamente processando a entrada de um PR não confiável e portando credenciais poderosas.

No entanto, a ferramenta "Read" — que permite ao modelo visualizar o conteúdo de arquivos — não tinha esse isolamento. Ela operava como uma chamada de função dentro do processo, com acesso direto e sem isolamento a todo o sistema de arquivos, incluindo o sensível pseudo-arquivo Linux /proc/self/environ, que expõe o conjunto completo de variáveis de ambiente de um processo .

Um ataque poderia se desenrolar em poucos passos discretos:

1. Um invasor abre uma issue ou pull request aparentemente inofensiva em um repositório público que usa a GitHub Action do Claude Code.
2. O corpo da issue ou um comentário em HTML contém instruções para o agente de IA, invisíveis para um revisor humano que examina a página.
3. Quando o fluxo de trabalho é acionado, o modelo de IA processa o conteúdo como parte de seu contexto e segue as instruções embutidas para ler o arquivo /proc/self/environ .
4. O modelo pode então ser instruído a exfiltrar os dados, por exemplo, publicando-os de volta em um comentário. Os pesquisadores notaram um refinamento onde o ataque removia os primeiros sete caracteres (sk-ant-) da ANTHROPIC_API_KEY para evitar a detecção por scanners automáticos de segredos .

Essa superfície de ataque — onde instruções em linguagem natural injetadas em dados se tornam comandos executáveis — é o cerne da injeção de prompt, um vetor de ameaça que está definindo rapidamente o cenário de segurança para agentes de IA.

Um Patch Preventivo: A Linha do Tempo da Divulgação

Um detalhe crítico é que esta foi uma divulgação coordenada onde a correção veio primeiro.

• 5 de maio de 2026: A Anthropic lançou o Claude Code 2.1.128, que mitigou a vulnerabilidade ao alinhar o isolamento da ferramenta Read com a limpeza de ambiente já aplicada a outros caminhos de execução .
• 5 de junho de 2026: A Microsoft publicou sua análise detalhada da ameaça, usando o estudo de caso para fornecer recomendações de segurança urgentes para toda a indústria .

Além de um Bug: Sete Novas Formas de Sistemas de IA com Agentes Falharem

A divulgação do caso Claude Code veio no contexto de uma avaliação de segurança mais abrangente. Um dia antes, em 4 de junho de 2026, o AI Red Team da Microsoft publicou a versão 2.0 de sua Taxonomia de Modos de Falha em Sistemas de IA Agêntica . Esta grande atualização, baseada em doze meses de simulações de ataque reais contra agentes em produção, adicionou sete categorias de falha totalmente novas que vão muito além de uma única falha de execução de código.

Os novos modos de falha representam uma escalada significativa na forma como os pesquisadores de segurança pensam sobre sistemas de IA autônomos:

1. Comprometimento da Cadeia de Suprimentos Agêntica: Ao contrário dos ataques tradicionais à cadeia de suprimentos de software, que entregam código malicioso, este modo envolve plugins, servidores MCP ou modelos de prompt comprometidos que injetam instruções em linguagem natural para alterar o comportamento do agente sem acionar scanners de código .
2. Sequestro de Objetivos (Goal Hijacking): Um adversário cria instruções que parecem ajudar a completar uma tarefa legítima, mas que redirecionam silenciosamente o objetivo final do agente. O agente permanece intacto do ponto de vista do software, mas foi usado como arma para um objetivo malicioso .
3. Escalonamento de Confiança entre Agentes: Em sistemas multiagentes, um agente comprometido pode reivindicar falsamente uma identidade de maior confiança ou permissões infladas para um orquestrador central que não as verifica de forma independente. Isso funciona como uma versão em linguagem natural do clássico problema do "deputado confuso" .
4. Ataque Visual a Agente de Uso de Computador (CUA): Agentes que operam interfaces gráficas podem ser manipulados por informações visuais não óbvias para um humano, como texto oculto, elementos de IU fora da tela ou imagens que incorporam uma carga de injeção de prompt .
5. Contaminação de Contexto de Sessão: Um ataque sutil onde um adversário introduz informações tendenciosas ou maliciosas no início de uma sessão longa e de várias etapas. Esses dados podem não acionar um controle de segurança em nenhuma etapa única, mas corrompem o raciocínio do agente em uma ação subsequente, aparentemente desconexa .
6. Abuso de MCP / Plugins: Um foco atualizado nas superfícies de ataque específicas ao Model Context Protocol (MCP) e arquiteturas de plugins, que estão se tornando a forma padrão de estender as capacidades dos agentes .
7. Divulgação de Capacidade / Arquitetura: O próprio agente pode ser induzido a vazar detalhes sensíveis do design interno — como esquemas de ferramentas, interfaces de memória ou a lógica que aciona a aprovação humana — dando a um invasor um mapa para ataques futuros mais precisos .

Essa taxonomia expandida elevou o framework de seus 27 modos de falha originais para 34, refletindo a crescente complexidade e presença no mundo real dos sistemas de IA agêntica .

Protegendo o CI/CD em um Mundo com Agentes de IA

Em resposta ao caso Claude Code e à atualização mais ampla da taxonomia, a Microsoft delineou um conjunto de recomendações de segurança para qualquer equipe que integre agentes de IA em seus pipelines de build. A orientação enfatiza que o isolamento parcial é uma falsa sensação de segurança.

• Trate Todo Conteúdo Não Confiável como um Vetor de Injeção: Nunca execute automaticamente um fluxo de trabalho de agente de IA em issues, PRs ou comentários de colaboradores externos. Esse conteúdo deve ser tratado como entrada potencialmente hostil .
• Isole as Ferramentas de Forma Consistente: A lacuna entre a ferramenta Bash (isolada) e a ferramenta Read (sem isolamento) demonstrou que a limpeza de ambiente deve ser aplicada uniformemente. Uma única ferramenta sem isolamento pode comprometer todo um fluxo de trabalho .
• Aplique o Princípio do Menor Privilégio: As chaves de API e tokens de acesso do próprio agente devem ter o escopo mais restrito possível, limitando o dano em caso de exposição. Use OIDC para credenciais de curta duração e com finalidade específica sempre que possível .
• Audite a Experiência do 'Humano no Ciclo': Controles de segurança que dependem de uma revisão humana podem falhar se a carga do ataque estiver escondida em comentários HTML ou Markdown bruto que o revisor nunca vê. A etapa de aprovação humana é tão forte quanto aquilo que é tornado visível para aprovação .
• Faça um Inventário da Cadeia de Suprimentos do Agente: As equipes devem gerar uma lista de materiais de software (SBOM) para cada agente implantado, espelhando a visibilidade da cadeia de suprimentos que agora é padrão para o software tradicional .

Em meio a essa orientação, está um princípio arquitetural fundamental que a comunidade de segurança chama de "Regra dos Dois" (Rule of Two). Originado do framework de outubro de 2025 da Meta para segurança prática de agentes, a regra afirma que um agente deve satisfazer no máximo dois das três condições a seguir: processar entradas não confiáveis, ter acesso a dados sensíveis, e possuir a capacidade de executar ações que alteram o estado externo . A vulnerabilidade do Claude Code foi uma violação clássica desse princípio, já que o agente estava simultaneamente processando a entrada de um PR não confiável e portando credenciais poderosas.