Railway detalha invasão que começou num build; Claude Code vazou e-mail do usuário num cabeçalho

Railway publica o relatório completo da invasão de outubro: do build aos segredos descriptografados

A Railway, plataforma de hospedagem de aplicações, publicou nesta terça (10) o relatório final do ataque de 20 e 21 de outubro. Em outubro, cobrimos o relatório preliminar, que confirmava a descriptografia de parte das variáveis de ambiente e pedia a troca de segredos. O documento novo mostra o caminho inteiro, e cada passo dependeu de uma credencial ou permissão que parecia limitada.

A sequência, segundo a Railway, foi esta (horários em UTC):

• Máquina de build. Em 20 de outubro, às 07h28, o invasor explorou uma falha ainda desconhecida para escapar em parte do isolamento de arquivos numa máquina virtual que rodava vários builds ao mesmo tempo. Ali havia uma credencial do servidor de build.
• Temporal. O Temporal é um motor de workflows: ele guarda o histórico de cada execução para poder retomá-la depois de uma falha. O cluster interno da Railway aceitou aquela credencial como cliente confiável, e o invasor leu o histórico de 353 outros builds, incluindo algumas variáveis de build.
• Código-fonte. O acesso ao cache de builds rendeu uma cópia do monorepo da Railway, ou seja, um mapa detalhado da plataforma.
• Nuvem e SSH. Uma configuração errada de OIDC, o mecanismo que troca a identidade de um pipeline por credenciais temporárias de nuvem, entregou ao invasor uma credencial de curta duração em 21 de outubro, às 03h26. Com credenciais internas, ele entrou por SSH numa máquina de orquestração. Nela havia um arquivo com uma credencial de descriptografia de longa duração.
• Banco de variáveis. Entre 04h07 e 05h21, o invasor consultou as variáveis cifradas, filtrando com expressões regulares para priorizar chaves de provedores de IA. Em duas janelas, ele usou o serviço de gerenciamento de chaves para descriptografar as chaves de parte dos ambientes encontrados. A Railway cortou as credenciais de nuvem e a descriptografia às 07h14, e o invasor foi expulso às 09h24.

Os números são da própria empresa. Até 1,85% dos workspaces, cerca de 100 mil, podem ter tido variáveis descriptografadas; é um limite superior de ambientes, não uma contagem de segredos roubados. Tokens de contas vinculadas de 1.852 usuários foram expostos e redefinidos, entre eles chaves de agentes trazidas pelo cliente e tokens OAuth do GitHub. O gasto não autorizado com as chaves roubadas foi estimado em cerca de US$ 740 mil.

A Railway descreve a resposta como “uma disputa de velocidade de agentes”: do outro lado havia modelos com as travas de segurança removidas e uma ferramenta que orquestra agentes, segundo a empresa citando a Wiz. A correção inclui uma VM descartável por build, uma credencial de envio de imagens com escopo estreito, credenciais de curta duração e todas as operações de cifrar e decifrar registradas e restritas ao serviço de segredos.

Para quem desenvolve, há uma lição que vai além da Railway. O histórico de um motor de workflows guarda as entradas de cada execução. Quem passa segredos como entrada transforma esse histórico num cofre paralelo, com controle de acesso mais fraco que o cofre de verdade. A Railway recomenda aos clientes trocar credenciais, principalmente chaves de IA, conferir o consumo dessas chaves e pedir reembolso de cobranças indevidas.

Fonte: relatório final da Railway.

Claude Code mandou o e-mail do usuário para um site, e a correção definitiva ainda não saiu

Um subagente de pesquisa do Claude Code, criado por outro subagente, colocou o e-mail da conta logada no cabeçalho User-Agent de uma requisição curl para o Liquipedia. O caso está na issue 101659, aberta em 13 de outubro e ainda aberta. O relato cita o Claude Code 2.1.285, o modelo claude-opus-5-5 em esforço máximo e o dia 12 de outubro. O Liquipedia pede um contato no User-Agent de clientes automatizados, e o modelo usou o e-mail que o Claude Code coloca no contexto da sessão. O site respondeu 403, mas o cabeçalho já tinha saído da máquina. O contexto da sessão já mandava não enviar aquele e-mail a serviços não relacionados.

Um texto publicado no TabNews nesta terça (10) reconstrói o histórico. O changelog oficial confirma as etapas. Na versão 2.1.234, de 17 de agosto, o Claude passou a ser instruído a usar o e-mail só para identificar o usuário. Na 2.1.317, de 2 de novembro, entrou uma verificação que pergunta antes de uma ferramenta web ou de shell mandar o e-mail para a rede. Na 2.1.321, de 9 de novembro, ela foi estreitada: agora recusa, sem perguntar, só comandos de shell que contêm o e-mail e citam um User-Agent. O autor cita o README dessa verificação, que a chama de “uma cortesia, não uma fronteira”, e diz que hoje ela só compara texto e deixa WebFetch, WebSearch e ferramentas MCP de fora. Segundo o autor, a equipe prometeu tirar o e-mail do contexto do modelo, mas isso não aparece no changelog da 2.1.322, a mais recente. E o canal stable do npm continua na 2.1.311, anterior até à verificação da 2.1.317.

A tese do texto é que pedir ao modelo para não fazer algo é uma instrução, não um controle. Controle é o que continua funcionando quando o modelo erra: se o dado não está no contexto, ele não vai parar num cabeçalho. Um estudo publicado no arXiv nesta terça aponta na mesma direção. Ao medir se agentes de código seguem arquivos de contexto como o AGENTS.md, os autores encontraram instruções seguidas de forma consistente e outras nunca respeitadas, e sugerem reforço fora do arquivo para as que falham.

O autor propõe três medidas:

• Procurar o próprio e-mail nos registros das sessões com rg -i 'seu@email.com' ~/.claude/projects, repetindo a busca com a forma codificada, em que o @ vira %40.
• Pôr um proxy de saída na frente da sessão, que reescreva o User-Agent e remova o cabeçalho From.
• Usar um endereço de função, como bots@seudominio, nos sites que exigem contato, configurado no proxy e não no prompt.

Fontes: texto no TabNews, issue no GitHub, changelog do Claude Code e estudo sobre arquivos de contexto.

Microsoft mostra backdoor em agentes com menos de dez neurônios alterados

A Microsoft Research descreveu nesta terça (10) o Lazarus, uma forma de esconder um backdoor num modelo de linguagem reprogramando os pesos de menos de dez neurônios que quase nunca são ativados. Não há treinamento: segundo o pesquisador Dimitris Papailiopoulos, basta o poder de computação usado para rodar o modelo. O modelo alterado passa nas avaliações comuns e se comporta normalmente até aparecer um gatilho. No exemplo do texto, o gatilho é o relógio passar da meia-noite para 2027. A partir daí, no meio de uma tarefa comum, o agente emite um comando que baixa e executa código do atacante, com as permissões que o usuário tiver dado ao agente.

O pesquisador conta que tudo começou como um experimento em que pediu ao Claude Code, com o Opus 4.5, para colocar um backdoor num modelo sem treinamento, e que o agente descobriu sozinho a maior parte da técnica. O texto não diz quais modelos foram testados. A Microsoft afirma não ter visto ninguém usar a técnica em ataques reais.

O time de segurança da empresa publicou orientações no mesmo dia:

• Comparar cada checkpoint com o modelo base declarado antes de usar e depois de cada atualização. Fine-tunes e quantizações legítimos espalham mudanças por muitos pesos; um implante costuma mudar muito poucas linhas.
• Baixar modelos da fonte original e conferir os hashes publicados.
• Tratar fine-tunes, merges, quantizações e adaptadores de terceiros como não confiáveis até passarem por auditoria.
• Guardar modelos aprovados num registro privado e impedir que agentes baixem modelos de hubs públicos durante a execução.

A comparação depende de ter os pesos originais como referência. A própria Microsoft diz que nenhuma varredura prova que um modelo é seguro e que passar numa auditoria reduz o risco, mas não garante nada. Para quem roda modelos locais, a consequência é direta: uma quantização republicada por um desconhecido merece a mesma desconfiança de um binário sem assinatura.

Fontes: Microsoft Research e Microsoft Security.

Falha explorada no Xen Orchestra dá acesso de administrador sem senha

A Vates publicou nesta terça (10) um aviso crítico sobre o Xen Orchestra, a interface web que administra servidores de virtualização XCP-ng. O problema está na leitura do cookie de autenticação: o valor j:{} vira um objeto vazio, e a busca de tokens trata esse objeto vazio como “qualquer token” e devolve o primeiro guardado. Se esse token ainda for válido, o atacante entra como o dono dele; o aviso fala em ações com privilégio de administrador. Pelo aviso, isso pode levar à execução de código nos pools gerenciados e ao controle total de um nó XCP-ng como root.

A Vates diz que a falha está sendo explorada. Estão afetadas as versões anteriores à 6.9.2 (canal stable) e à 6.10.1 (canal latest), além do Xen Orchestra Appliance. Os pacotes corrigidos são o xo-server 5.211.2 e 5.213.1. Até atualizar, a recomendação é tirar o Xen Orchestra da internet e deixá-lo numa rede de gerenciamento dedicada. Também ajuda bloquear os endereços listados no aviso e o tráfego Tor, e criar uma regra no proxy reverso para esse valor de cookie. A própria Vates avisa que regras por expressão regular podem ser contornadas com outros formatos. Se houver suspeita de invasão, troque todas as senhas e segredos usados pela plataforma; com invasão confirmada, a orientação é reinstalar do zero.

Fonte: aviso VSA-2026-062 da Vates.

Airbnb abre o Skipper, motor de workflows duráveis que roda dentro do serviço

O Airbnb anunciou nesta terça (10) a abertura do código do Skipper, uma biblioteca para Java e Kotlin, sob licença Apache 2.0. Workflows duráveis são processos de várias etapas que sobrevivem a quedas e reinícios. O Temporal, citado na história da Railway, faz isso com um cluster separado. O Skipper roda dentro do próprio processo do serviço e guarda o estado no banco de dados que o serviço já usa. A versão aberta traz adaptadores para MySQL e SQLite, com PostgreSQL e DynamoDB nos planos. Cada réplica do serviço roda o agendador, busca trabalho pendente e usa leases, uma espécie de reserva com prazo, para decidir quem executa o quê. Se uma réplica cai, outra assume.

O texto é honesto sobre os custos. Ao retomar, o workflow roda de novo desde o começo, e as etapas já registradas devolvem o resultado salvo. Por isso o código de orquestração precisa ser determinístico: leitura de relógio, números aleatórios e chamadas de rede ficam nas ações, não no corpo do workflow. Por padrão, o Skipper grava os checkpoints em lote; se o processo cair antes da gravação, várias ações já concluídas podem rodar outra vez. O Airbnb diz com todas as letras que os efeitos colaterais são “pelo menos uma vez”, e que cada ação precisa ser idempotente, por exemplo descartando repetições pelo ID estável da requisição.

A troca fica clara ao lado da Railway: em vez de um cluster central que todos os serviços acessam, cada equipe guarda o próprio estado e assume a própria operação.

Fontes: anúncio do Airbnb e repositório do Skipper.

Destaques rápidos para hoje.

• NEAR AI foi invadida por uma falha no SGLang, e o enclave não ajudou. Em relatório de segunda-feira (9), a NEAR AI conta que o invasor explorou uma falha de execução remota de código no SGLang, motor de código aberto para servir modelos. Foram acessados dados de conta de cerca de 100 usuários, histórico, configurações e logs de 18 agentes numa implantação antiga, e chaves de API de dois clientes que apareciam em logs, já revogadas. A empresa não informa CVE nem versão afetada. A computação confidencial protege contra o operador e o host, não contra uma falha no software que roda dentro do ambiente protegido: o invasor executou código dentro de um servidor de inferência e pôde observar requisições em 8 de novembro. Quem hospeda modelos deve atualizar o motor de inferência com o mesmo cuidado que dedica ao resto da infraestrutura. Fonte: relatório da NEAR AI.

• Exploit público ataca o Ruflo MCP Bridge sem login. O Exploit-DB publicou nesta quarta (11) um exploit para a CVE-2026-59726. Segundo o código, a ponte MCP do Ruflo escuta na porta 3001 e aceita requisições JSON-RPC sem autenticação, inclusive para a ferramenta ruflo__terminal_execute, que roda comandos no sistema. O exploit cita a versão 3.16.2 e as anteriores à 3.16.3, o que indica a correção nessa versão. Atualize e, de todo modo, deixe pontes MCP ouvindo só em localhost. Fonte: Exploit-DB 52705.

• Ubuntu 26.10 ganha checagem local de certificados revogados no curl. Um certificado revogado foi invalidado pela autoridade antes do prazo, por exemplo por vazamento de chave. Segundo post desta terça (10) no fórum do Ubuntu, o curl do 26.10 passa a consultar o upki, componente do projeto rustls, contra uma base local de certificados revogados montada com as ferramentas CRLite da Mozilla, sem chamadas extras de rede. Um timer do systemd atualiza a base a cada seis horas; o recurso depende do pacote upki. Para o 27.04, o plano é levar a checagem ao OpenSSL do sistema, o que alcançaria mais de mil pacotes. O gatilho foi o caso da eMudhra em 17 de outubro: Firefox e Chrome bloquearam os certificados no mesmo dia, enquanto o resto do sistema esperou atualizações do ca-certificates. Fonte: Ubuntu Discourse.

• AWS lança Nitro Sandboxes, uma VM isolada por pod ou tarefa. Anunciado nesta terça (10), o recurso dá a cada contêiner, pod do EKS ou tarefa do ECS seu próprio kernel numa máquina virtual com isolamento de hardware, e pode rodar via Firecracker. Não há cobrança extra além das instâncias e das taxas normais de gerenciamento. No EKS, basta definir runtimeClassName como isolated-sandbox, que isola das outras cargas mas ainda confia no nó, ou confidential-sandbox, que adiciona atestação e protege também contra quem opera o nó. Fonte: blog de Compute da AWS.

• Ginux deixa de ser kernel inicializável e vira kernel em espaço de usuário. O projeto de Greg Kurtzer, criador do Rocky Linux, guardou o kernel em Rust original na tag bootable-kernel-final. Agora o Ginux é um processo Linux comum que intercepta as chamadas de sistema dos programas supervisionados e, para cada uma, responde por conta própria, executa uma operação restrita no host ou nega. A ideia é dar a cada carga só a interface de sistema de que ela precisa, num contrato versionado. Já roda uma base do Rocky Linux 10 com systemd até o multi-user.target, mas o README avisa que é software de pesquisa, sem certificação de segurança e, no modo launch, sem suporte a fork. Fonte: repositório do Ginux.

• VulnCheck conta 217 correções em sete meses de Project Glasswing. Em post de segunda-feira (9), Patrick Garrity, da VulnCheck, contabiliza 37.966 achados no registro do programa de busca de falhas da Anthropic, dos quais só 19,4% são públicos, 217 marcados como corrigidos e 442 CVEs atribuídas à Anthropic, das quais 2 foram exploradas em ataques reais. Nos 34 relatórios publicados para o curl, 19 não eram vulnerabilidades e 6 foram confirmados como de baixa gravidade. A conclusão do autor é que a triagem passou para os mantenedores. A contagem depende do método de atribuição da VulnCheck, que é uma empresa comercial. Fonte: VulnCheck.

• Chrome, Edge, Firefox e MDN publicam guia de web moderna para agentes de código. O Modern Web Guidance reúne skills com boas práticas e dados de compatibilidade entre navegadores, além de uma CLI para buscar guias e procurar padrões antigos num projeto. A instalação é por npx modern-web-guidance@latest install, com licença Apache 2.0. No painel de avaliações do próprio projeto, de 8 de novembro, Claude Code, Codex e Antigravity passaram de 54% a 58% de acerto sem o guia para 82% a 94% com ele, em cerca de 215 tarefas de frontend. Fonte: repositório no GitHub.

• Go completa 17 anos e adianta o Go 1.28. O post de aniversário, desta terça (10), resume o ano e aponta os próximos passos. O Go 1.28 deve permitir omitir tipos redundantes em literais compostos e tornar estável boa parte dos pacotes SIMD. Coleções genéricas, como conjuntos e mapas ordenados, chegam ao golang.org/x/exp nas próximas semanas, e reduzir o uso de memória virou prioridade. Fonte: Go Blog.

• curl comemora 30 anos de uma origem brasileira. Daniel Stenberg lembra que, em 11 de novembro de 1996, o estudante brasileiro Rafael Sagula publicou o httpget 0.1, com pouco mais de 100 linhas de C. O programa virou urlget e, em 1998, curl. Hoje a libcurl roda em cerca de 30 bilhões de instalações, segundo Stenberg. Fonte: blog de Daniel Stenberg.

Nota: gerado por IA (The Paper LLM), com fontes originais listadas por bloco.