Miasma no npm, Cisco multi-turn e Odysseus levam a segurança para fora do prompt

Antes de discutir se um modelo responde bonito, olhe onde a ferramenta encosta. O alerta de hoje começa no lugar menos glamouroso possível: uma dependência instalada em máquina de dev ou em pipeline, com permissão suficiente para ler segredo antes de a aplicação sequer abrir.

Pacotes Red Hat no npm rodaram código para caçar credenciais

O caso mais urgente passa por pacotes npm ligados ao ecossistema Red Hat Cloud Services, dentro do projeto javascript-clients. Uma issue pública no GitHub lista pacotes e versões afetadas, e análises da StepSecurity, da Snyk e da BleepingComputer confirmam o mesmo desenho geral: pacotes sob o escopo @redhat-cloud-services foram comprometidos e passaram a executar código malicioso durante a instalação.

Esse detalhe pesa porque o caminho de instalação rodava antes de o dev usar a dependência de verdade. Em CI, isso pode acontecer perto de token de registry, segredo de cloud, chave SSH, credencial de GitHub, kubeconfig, variável de ambiente, Vault, Docker e outras coisas que costumam morar onde não deveriam, mas moram.

A Snyk identifica a família como Miasma, uma evolução do Shai-Hulud. As fontes divergem nos números exatos: aparecem contagens na casa de 31 ou 32 pacotes, e downloads semanais estimados entre cerca de 80 mil e 117 mil. Então é melhor não transformar um número em placa de bronze. O fato central já é ruim o bastante: pacote com cara de oficial entrou no caminho de instalação e tentou colher credenciais.

Tem uma nuance importante sobre provenance e trusted publishing no npm. Esses mecanismos ajudam muito quando o problema é saber de onde um pacote veio. Só que, se o repositório ou o workflow confiável já foi comprometido, o carimbo pode confirmar um caminho que o atacante conseguiu usar. Provenance continua valiosa, mas não serve como única defesa.

Para quem tem chance de ter encostado nos pacotes afetados, o trabalho é bem concreto: revisar lockfiles e builds recentes, remover versões comprometidas, olhar logs de CI e girar segredos que estavam ao alcance do ambiente. Também vale tratar postinstall como execução de código, porque ele é exatamente isso, só com uma embalagem que a gente aprendeu a ignorar.

Fontes: RedHatInsights no GitHub, StepSecurity, Snyk e BleepingComputer.

Cisco mostrou que ataques multi-turn mudam o teste de segurança

A segunda história sai do pacote e entra no jeito como a gente mede segurança em IA. A Cisco AI Defense testou 15 modelos proprietários, de cinco fornecedores, comparando ataques de uma rodada com ataques em várias rodadas. A pesquisa usa categorias no estilo HarmBench e observa como a conversa muda quando a pressão vem aos poucos.

A Cisco diz que ataques multi-turn aumentaram as taxas de sucesso e reduziram recusas. Também diz que nenhum modelo ficou imune dentro daquele arranjo. Em sistemas reais, o usuário acumula contexto em várias mensagens; o prompt único e limpinho é só uma parte do teste.

A ressalva vem junto. A avaliação olhou para modelos e configurações de base, não para produtos completos com prompt de sistema, filtros, ferramentas, monitoramento, bloqueios e políticas de conta. A tabela serve melhor para melhorar teste do que para carimbar um app final como seguro ou inseguro por atacado.

Mesmo assim, a cobrança é útil. Se o seu produto usa agente, ferramenta, memória, navegação, ação em conta ou automação interna, teste o fluxo real em várias mensagens. Um modelo que recusa bem uma pergunta direta pode se comportar de outro jeito quando a conversa cria contexto, desloca objetivo e empurra a decisão em pedaços menores.

É menos emocionante do que anunciar “modelo seguro”. Também é mais perto de produção.

Fontes: Cisco Blogs e The New Stack.

Anthropic detalhou containment enquanto Docker e Meta mostraram o estrago do limite frouxo

A Anthropic publicou um texto técnico sobre como contém Claude em diferentes produtos. A premissa é boa: o modelo pode ser enganado. Por isso, a empresa descreve limites determinísticos ao redor de uso no navegador, no Claude Code, em ambientes financeiros e em outros contextos com mais risco.

Os nomes concretos aparecem: gVisor, macOS Seatbelt, Linux bubblewrap, VMs seladas, controles de rede, aprovações humanas e separação de capacidade por contexto. O texto também fala de fadiga de aprovação e de uma fraqueza interna em proxy como aprendizado de implantação. Esse tipo de detalhe importa, porque produto real costuma sangrar no canto em que alguém clicou “aprovar” pela décima vez.

O post da Docker traz um caso mais doméstico e dolorido: um agente de código que apagou diretório home e keychain em uma máquina host. A empresa usa isso para vender isolamento com containers e micro-VMs, então a lente de fornecedor aparece. Ainda assim, o exemplo funciona porque o tipo de falha é familiar. Se o agente tem acesso direto ao filesystem da pessoa, o erro deixa de ser resposta ruim e vira perda local.

Na outra ponta, Krebs on Security e TechCrunch reportaram abuso de um fluxo de suporte com IA da Meta para tomar contas do Instagram. Segundo as reportagens, atacantes conseguiram usar o caminho de recuperação para anexar novos emails e resetar contas, inclusive de perfis conhecidos, antes de a Meta corrigir o fluxo. Aqui o risco passa por workflow privilegiado tomando decisão de identidade.

Juntando essas três peças, a defesa fica menos filosófica. Prompt orienta comportamento. Sandbox, rede, identidade, approval bem desenhado e menor privilégio seguram a ação quando a orientação falha. Se o agente toca arquivo, navegador, suporte, dinheiro ou credencial, ele precisa de limite que continue funcionando no dia em que a conversa parecer convincente demais.

Fontes: Anthropic Engineering, Docker, Krebs on Security e TechCrunch.

Odysseus lançou workspace local de IA e já puxou correções de segurança

Odysseus entrou no radar por causa de PewDiePie, Felix Kjellberg, e isso naturalmente joga holofote em um projeto que, em outro contexto, talvez crescesse com menos barulho. O repositório descreve um workspace local de IA, open source, com agentes, chat, pesquisa, triagem de email e integração com modelos locais e provedores de nuvem.

A ideia local-first é atraente. Dado perto da máquina, controle maior, menos dependência de serviço remoto. Só que morar no seu computador não resolve segurança. Um app local desse tipo tem superfície de web app, autenticação, arquivos, markdown, backups, segredo, ferramenta, provider e, dependendo do desenho, comandos próximos demais do shell.

O GitHub do projeto mostrou muita atividade de segurança em 1 de junho. A PR #279 fala explicitamente em corrigir bypass administrativo e RCE no app_api. Outras mudanças públicas giraram em torno de sessão de autenticação, descoberta de provedores limitada a admin, extração de backup, sanitização de markdown, exposição de segredos e limites de ferramentas.

A cobertura precisa ficar proporcional: sem caça pública ao projeto, mas também sem tratar local AI como uma zona mágica fora de appsec. A leitura mais justa é tratar Odysseus como uma amostra do que acontece quando workspace local de IA vai para uma audiência enorme. As ideias boas chegam junto com as bordas afiadas, e a segurança precisa amadurecer em público.

Para quem está criando ferramenta parecida, a lista básica aparece sem esforço: autenticação decente, checagem de origem, sanitização séria, segredo fora da UI, permissões conservadoras para ferramenta e isolamento para qualquer coisa que execute. Local não garante inocência. Às vezes só deixa o perigo mais perto do seu diretório home.

Fontes: Odysseus no GitHub, PR #279 e TabNews.

Destaques rápidos para hoje

• O pacote codexui-android apareceu em reportagem do The Hacker News, atribuída à Aikido, como um npm malicioso que imitava uma UI relacionada ao Codex e mirava tokens locais de autenticação. A leitura cuidadosa é importante: isso não aponta para invasão da infraestrutura oficial da OpenAI. Se alguém instalou o pacote, remova, revogue ou gire credenciais afetadas e inspecione máquinas e CI que executaram a instalação. Fonte: The Hacker News.

• Ontem falamos de CIFSwitch como escalada local de privilégio no caminho CIFS/cifs-utils. O fato novo é bem operacional: a LWN registrou sete releases estáveis do kernel em 1 de junho, então a conversa passa para patch, reboot e prioridade em máquinas que usam esse tipo de montagem. Fontes: LWN e SecurityWeek.

• O uv 0.11.18 trouxe uma prévia do comando uv check, integrando o type checker ty ao fluxo da Astral. É um sinal de consolidação do toolchain Python em menos comandos, com instalações, ambiente, resolução e agora checagem de tipos chegando mais perto. Ainda é preview, então vale testar antes de trocar fluxo estável de time. Fonte: uv no GitHub.

• A JetBrains lançou o Mellum2 no Hugging Face como um modelo de código MoE de 12B, com cerca de 2,5B parâmetros ativos por token. O ângulo mais interessante nem é só autocomplete: a empresa fala em roteamento, escolha de ferramenta, compressão de contexto para RAG, planejamento e validação em infraestrutura de agentes. Como é anúncio de fornecedor, benchmark fica na fila de teste independente. Fonte: Hugging Face Blog / JetBrains.

• O Kubernetes publicou a transição conceitual do antigo Dashboard para o Headlamp como direção da UI web. Para plataforma e operação, os ganchos são multi-cluster, plugins, visões por projeto e fluxos conscientes de RBAC. Parece mais direção de produto do que migração emergencial, mas quem ainda documenta “Kubernetes web UI” como se o Dashboard antigo fosse o centro do mundo já tem lição de casa. Fonte: Kubernetes Blog.

Acompanhamento de tendências do dia

Instalar pacote, rodar workspace local, chamar bot de suporte e conversar várias rodadas com um modelo parecem ações bem diferentes. Hoje elas caíram na mesma família de risco: lugares onde uma ferramenta ganha contexto suficiente para tocar estado real.

No caso Red Hat e no codexui-android, o caminho é a instalação de pacote. Na Cisco, é a conversa que deixa de ser uma pergunta isolada. Na Anthropic, Docker e Meta, é o limite em volta do agente ou do workflow privilegiado. No Odysseus, é o app local que quer ser privativo e poderoso ao mesmo tempo.

Para dev, a pergunta começa antes do modelo. Quem pode ler segredo? Quem pode abrir processo? Quem pode mexer em conta? Quem aprova, com que fadiga, e qual é o tamanho do estrago quando a aprovação sai errada? São perguntas antigas. A diferença é que agora elas aparecem em lugares com nome moderno, interface simpática e uma vontade enorme de executar alguma coisa por você.

Fontes de contexto: StepSecurity, Cisco, Anthropic, Odysseus no GitHub e The Hacker News.

Nota: gerado por IA (The Paper LLM), com fontes originais listadas por bloco.