🌟 Atualização imperdível para quem gosta de estar bem informado!
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética divulgaram detalhes de uma vulnerabilidade no Amazon Kiro, um ambiente de desenvolvimento integrado (IDE) baseado em inteligência artificial (IA), que pode facilitar a exfiltração de dados por meio de injeção imediata e Kiro Powers.
A falha de segurança, que não possui identificador CVE, funciona contra o Kiro IDE 0.7.45 no Windows, segundo Mindguard. A versão mais recente do IDE é 1.0.337.
“O problema permitiu que o conteúdo do repositório controlado pelo invasor influenciasse o agente Kiro e, em última análise, fizesse com que informações locais confidenciais fossem transmitidas para um endpoint externo”, disse o pesquisador de segurança Fergal Glynn em um relatório compartilhado com o The Hacker News.
Kiro Powers vai além das habilidades ao agrupar configurações de servidor Model Context Protocol (MCP), arquivos de direção ("POWER.md"), ganchos e conhecimento contextual. O arquivo de orientação é como um “manual de integração” que fornece contexto persistente e informa ao agente de IA quais ferramentas MCP estão disponíveis e quando usá-las.
De acordo com Mindguard, a exploração bem-sucedida requer duas ações do usuário: o usuário deve abrir o projeto malicioso por meio de um arquivo de espaço de trabalho usando Arquivo → Abrir espaço de trabalho do arquivo, em vez de abrir a pasta diretamente e depois enviar uma mensagem ao agente. A vulnerabilidade pode ser reproduzida em espaços de trabalho confiáveis e não confiáveis.
Uma vez satisfeitas essas condições, os dados confidenciais do espaço de trabalho podem ser exfiltrados para o invasor “sem que o usuário solicite explicitamente que Kiro os acesse ou transmita”. A dificuldade de exploração foi avaliada como baixa.
O que torna essa falha notável é que o usuário não precisa enviar uma solicitação maliciosa ou fazer referência ao conteúdo controlado pelo invasor. Depois que o arquivo do espaço de trabalho criado for aberto, o envio de qualquer mensagem é suficiente para acionar o fluxo vulnerável.
“A vulnerabilidade aparece quando o conteúdo do projeto controlado pelo invasor é interpretado como instruções, e essas instruções podem influenciar operações sensíveis à segurança em outras partes do IDE”, disse Mindguard.
"A falha no limite de confiança ocorre em toda a sequência. O conteúdo controlado pelo repositório influencia o agente, o agente lê informações locais confidenciais, o agente grava essas informações na configuração IDE relevante para a segurança e um recurso IDE subsequente transforma a configuração modificada em atividade de rede."
À medida que os ambientes de desenvolvimento de IA reúnem cada vez mais a interpretação e a execução no mesmo fluxo de trabalho, os arquivos do repositório podem ser usados para fornecer contexto a um modelo, enquanto o agente pode ler arquivos, invocar ferramentas e ativar outras funcionalidades no aplicativo, potencialmente levando a falhas nos limites de confiança.
Após divulgação responsável, uma correção para a falha foi implementada pela Amazon no Kiro IDE versão 0.8.140. A vulnerabilidade também se baseia em um bug anterior destacado pelo Mindguard que permitia que diretivas de arquivo de direção fizessem com que informações locais fossem incorporadas em uma solicitação de imagem Markdown e transmitidas a um servidor externo.
“Ao criar cuidadosamente um arquivo de direção para ler um arquivo local e renderizar uma imagem Markdown, um invasor pode coagir a IA a enviar dados confidenciais para um servidor externo”, observou Mindguard na época.
Esta não é a primeira vez que vulnerabilidades são divulgadas no Kiro. Em junho de 2026, a Amazon corrigiu uma falha de controle de acesso insuficiente (CVE-2026-10591, pontuação CVSS: 8,8) que poderia ter permitido que um ator remoto não autenticado executasse comandos arbitrários por meio de instruções elaboradas que causam gravações em caminhos sensíveis à execução, como ".vscode/tasks.json" ou "~/.kiro/settings/mcp.json", e facilitam a execução automática na pasta aberta.
“Ao plantar instruções ocultas em uma página da web que Kiro lê, um invasor pode fazer com que Kiro reescreva seu próprio arquivo de configuração do servidor MCP (Model Context Protocol) e obtenha execução arbitrária de código na máquina do desenvolvedor”, disse Intezer. "Nenhum aviso de aprovação suspeito é mostrado ao usuário. Tudo o que o desenvolvedor pediu a Kiro foi realizar uma ação legítima."
As descobertas também têm como pano de fundo uma série de problemas de segurança descobertos em ferramentas de IA -
Uma cadeia de vulnerabilidade no OpenAI Codex CLI para Windows que abusa da injeção de prompt por meio de web.run para transformar uma pesquisa de rotina na web em execução secreta de comando em nível de host fora do recurso de sandbox integrado
Uma vulnerabilidade de execução remota de código sem clique no Cursor CLI que usa injeção indireta de prompt para gravar um executável malicioso no espaço de trabalho e executá-lo
Uma vulnerabilidade de execução de código arbitrário no Cursor, no GitHub Copilot CLI, no Google Gemini CLI e no aplicativo Codex para Windows decorrente do sequestro de ordem de pesquisa que permite que um invasor coloque um binário malicioso com o mesmo nome de uma dependência externa (por exemplo, "git.exe" e "what.exe") no diretório de trabalho atual antes do sistema confiável
A falha de segurança, que não possui identificador CVE, funciona contra o Kiro IDE 0.7.45 no Windows, segundo Mindguard. A versão mais recente do IDE é 1.0.337.
“O problema permitiu que o conteúdo do repositório controlado pelo invasor influenciasse o agente Kiro e, em última análise, fizesse com que informações locais confidenciais fossem transmitidas para um endpoint externo”, disse o pesquisador de segurança Fergal Glynn em um relatório compartilhado com o The Hacker News.
Kiro Powers vai além das habilidades ao agrupar configurações de servidor Model Context Protocol (MCP), arquivos de direção ("POWER.md"), ganchos e conhecimento contextual. O arquivo de orientação é como um “manual de integração” que fornece contexto persistente e informa ao agente de IA quais ferramentas MCP estão disponíveis e quando usá-las.
De acordo com Mindguard, a exploração bem-sucedida requer duas ações do usuário: o usuário deve abrir o projeto malicioso por meio de um arquivo de espaço de trabalho usando Arquivo → Abrir espaço de trabalho do arquivo, em vez de abrir a pasta diretamente e depois enviar uma mensagem ao agente. A vulnerabilidade pode ser reproduzida em espaços de trabalho confiáveis e não confiáveis.
Uma vez satisfeitas essas condições, os dados confidenciais do espaço de trabalho podem ser exfiltrados para o invasor “sem que o usuário solicite explicitamente que Kiro os acesse ou transmita”. A dificuldade de exploração foi avaliada como baixa.
O que torna essa falha notável é que o usuário não precisa enviar uma solicitação maliciosa ou fazer referência ao conteúdo controlado pelo invasor. Depois que o arquivo do espaço de trabalho criado for aberto, o envio de qualquer mensagem é suficiente para acionar o fluxo vulnerável.
“A vulnerabilidade aparece quando o conteúdo do projeto controlado pelo invasor é interpretado como instruções, e essas instruções podem influenciar operações sensíveis à segurança em outras partes do IDE”, disse Mindguard.
"A falha no limite de confiança ocorre em toda a sequência. O conteúdo controlado pelo repositório influencia o agente, o agente lê informações locais confidenciais, o agente grava essas informações na configuração IDE relevante para a segurança e um recurso IDE subsequente transforma a configuração modificada em atividade de rede."
À medida que os ambientes de desenvolvimento de IA reúnem cada vez mais a interpretação e a execução no mesmo fluxo de trabalho, os arquivos do repositório podem ser usados para fornecer contexto a um modelo, enquanto o agente pode ler arquivos, invocar ferramentas e ativar outras funcionalidades no aplicativo, potencialmente levando a falhas nos limites de confiança.
Após divulgação responsável, uma correção para a falha foi implementada pela Amazon no Kiro IDE versão 0.8.140. A vulnerabilidade também se baseia em um bug anterior destacado pelo Mindguard que permitia que diretivas de arquivo de direção fizessem com que informações locais fossem incorporadas em uma solicitação de imagem Markdown e transmitidas a um servidor externo.
“Ao criar cuidadosamente um arquivo de direção para ler um arquivo local e renderizar uma imagem Markdown, um invasor pode coagir a IA a enviar dados confidenciais para um servidor externo”, observou Mindguard na época.
Esta não é a primeira vez que vulnerabilidades são divulgadas no Kiro. Em junho de 2026, a Amazon corrigiu uma falha de controle de acesso insuficiente (CVE-2026-10591, pontuação CVSS: 8,8) que poderia ter permitido que um ator remoto não autenticado executasse comandos arbitrários por meio de instruções elaboradas que causam gravações em caminhos sensíveis à execução, como ".vscode/tasks.json" ou "~/.kiro/settings/mcp.json", e facilitam a execução automática na pasta aberta.
“Ao plantar instruções ocultas em uma página da web que Kiro lê, um invasor pode fazer com que Kiro reescreva seu próprio arquivo de configuração do servidor MCP (Model Context Protocol) e obtenha execução arbitrária de código na máquina do desenvolvedor”, disse Intezer. "Nenhum aviso de aprovação suspeito é mostrado ao usuário. Tudo o que o desenvolvedor pediu a Kiro foi realizar uma ação legítima."
As descobertas também têm como pano de fundo uma série de problemas de segurança descobertos em ferramentas de IA -
Uma cadeia de vulnerabilidade no OpenAI Codex CLI para Windows que abusa da injeção de prompt por meio de web.run para transformar uma pesquisa de rotina na web em execução secreta de comando em nível de host fora do recurso de sandbox integrado
Uma vulnerabilidade de execução remota de código sem clique no Cursor CLI que usa injeção indireta de prompt para gravar um executável malicioso no espaço de trabalho e executá-lo
Uma vulnerabilidade de execução de código arbitrário no Cursor, no GitHub Copilot CLI, no Google Gemini CLI e no aplicativo Codex para Windows decorrente do sequestro de ordem de pesquisa que permite que um invasor coloque um binário malicioso com o mesmo nome de uma dependência externa (por exemplo, "git.exe" e "what.exe") no diretório de trabalho atual antes do sistema confiável
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #a #injeção #de #prompt #do #amazon #kiro #pode #exfiltrar #dados #confidenciais #por #meio #do #kiro #powers
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário