A Tenet Security demonstrou a cadeia de ataque “GhostJacking” no palco principal da DEF CON 34, em 9 de agosto. Uma solicitação bloqueada pela Cloudflare foi registrada no log com um cabeçalho User-Agent envenenado pelo invasor. O agente de codificação de IA que analisou esses dados interpretou o texto do invasor como uma instrução e fez uma alteração de DNS usando as credenciais fornecidas anteriormente pela empresa. No teste da Tenet, o Claude Code on Sonnet 4.6 seguiu essa instrução em nove de 10 tentativas na configuração recomendada pela Cloudflare.
O firewall funcionou durante o ataque; no entanto, o agente conseguia tanto ler dados acessíveis aos invasores quanto fazer alterações nos sistemas indicados por esses dados. A Tenet identificou evidências públicas de que esse tipo de configuração existe em 48 organizações, incluindo seis empresas confirmadas da Fortune 500. A SecurityWeek também informou que cadeias semelhantes foram registradas na Datadog e na Sentry.
Steve Wilson, co-líder do projeto OWASP Top 10 for LLM Applications, recomendou colocar uma barreira de autorização fora do modelo. O agente deve ser capaz de propor uma alteração, mas não de aprovar sozinho operações de alto impacto; operações ambíguas devem ser encaminhadas para aprovação humana. Segundo Wilson, as regras de segurança escritas nos prompts podem orientar o comportamento, mas não constituem controles de segurança aplicáveis. Na demonstração, o Cursor foi usado por meio da integração com GraphQL e da API da Cloudflare.
Por que isso é importante
Essa descoberta mostra que um firewall pode não ser suficiente, por si só, nos agentes de codificação com IA: o agente não apenas consegue ler os registros aos quais o invasor tem acesso, como também pode executar ações nos sistemas indicados por eles. Isso diz diretamente respeito às organizações que fornecem ao agente credenciais predefinidas e acessos à API, porque o conteúdo malicioso pode ser interpretado como uma instrução interna confiável. O fato de as evidências públicas apontarem para configurações semelhantes em diferentes organizações revela que o problema não pode ser reduzido a um único produto ou teste. A questão fundamental que permanece em aberto é por meio de qual camada técnica de autorização as alterações de alto impacto serão separadas do agente. Sem aprovação humana e controles aplicáveis, as regras de segurança nos prompts, por si só, não oferecem proteção suficiente.