Em 06/10/2026, a empresa de segurança Adversa publicou um teste com o GitHub Copilot rodando no terminal. Os pesquisadores pediram ao agente que lesse uma página da internet. Essa página trazia um texto cifrado, ou seja, embaralhado, e a instrução para decifrá-lo.
Decifrado, o texto mandava o agente ler um arquivo de senhas do projeto (o exemplo do estudo é o .env.prod) e depois abrir um endereço de "contexto adicional" com esses dados dentro do pedido. Do link até o vazamento, foram cerca de 28 segundos, e a transcrição que o usuário vê não mostrava para onde os dados foram.
Foi um teste de pesquisadores, sem vítima real relatada. Mesmo assim ele mostra um caminho concreto: o gatilho foi só pedir ao agente que lesse um link.
Por que o filtro não barrou
O mesmo conteúdo escrito em texto puro foi bloqueado como tentativa de injeção de instruções (prompt injection, quando uma página tenta dar ordens ao agente). Cifrado, o pedido passou pelo filtro, porque o filtro olha o texto como ele chega, e o agente só descobre a ordem depois de decifrar.
Em que condições funcionou
- O agente estava em modo automático (autopilot), sem pedir aprovação a cada passo.
- O modelo usado era permissivo: o
mai-code-1.1-flashexecutou o pedido em 50% das vezes, enquanto dois modelos GPT-5.6 recusaram. - No modo Auto, o roteador pode escolher o modelo vulnerável sem que você veja qual foi.
A Adversa reportou o problema em 17/09. Em 01/10, o GitHub validou o relato, mas não o considerou uma vulnerabilidade, e nenhuma correção foi anunciada até a data da fonte.
Checklist de proteção
- Não deixe o agente abrir link desconhecido sozinho. Configure a aprovação manual para novos destinos de rede e para escrita fora da pasta do projeto.
- Cuidado com o modo automático. Em modo automático, a regra deve ser negar por padrão e liberar só o que você conhece.
- Senha fora da pasta do projeto. Se o arquivo de senhas não está onde o agente trabalha, uma instrução escondida não o encontra por esse caminho. Guarde as credenciais fora da árvore do projeto.
- Projeto sem rede não precisa de
curl. O blog claudefolio.com (04/09/2026) recomenda negarBash(curl *)em projetos que não usam internet. - Conteúdo externo em contexto isolado. Ler página de terceiros no mesmo lugar em que o agente tem acesso aos seus arquivos aumenta o risco.
Como fazer o agente pedir aprovação
O ajuste muda de ferramenta (Claude Code, Copilot, Codex). Procure nas configurações do seu agente a parte de permissões e deixe leitura de link e comando de rede em "perguntar". Se o seu agente tem modo automático, desligue-o em projeto que tenha arquivo de senha, ou garanta que ele peça aprovação para o que sai do computador.
Fontes
- Adversa, "Cryptographic Context Injection" no GitHub Copilot, 06/10/2026 (adversa.ai/blog/cryptographic-context-injection-github-copilot/), conferida em 15/10/2026.
- claudefolio.com, recomendações de proteção, 04/09/2026.