Uma extensão do Visual Studio Code do popular scanner de vulnerabilidades de código aberto Trivy, da Aqua Security, foi comprometida em um ataque sofisticado à cadeia de suprimentos. Versões maliciosas da extensão foram publicadas no registro OpenVSX, contendo prompts de IA ocultos projetados para transformar ferramentas de codificação locais dos desenvolvedores em instrumentos de coleta de dados silenciosos.
Descoberta e escopo
Os pesquisadores da Socket.dev identificaram comportamento suspeito nas versões 1.8.12 e 1.8.13 da extensão "Aqua Trivy Vulnerability Scanner" no OpenVSX. Essas versões foram carregadas em 27 e 28 de fevereiro de 2026 sob o namespace aquasecurityofficial.trivy-vulnerability-scanner. Todas as versões até a 1.8.11 correspondiam ao repositório público do GitHub sem discrepâncias. As duas versões afetadas continham código extra ausente do repositório público, sem uma release tag correspondente, tornando a adulteração quase impossível de detectar através de revisão padrão.
Mecanismo do ataque
A análise da Socket.dev vinculou o código malicioso a uma campanha mais ampla de bot alimentado por IA que visava workflows do GitHub Actions em vários projetos de código aberto. A StepSecurity documentou separadamente como essa campanha levou ao roubo de um token de acesso pessoal e à tomada do repositório GitHub do Trivy da Aqua, dando aos atacantes o acesso necessário para enviar a extensão adulterada para o OpenVSX.
Em vez de implantar spyware convencional ou um backdoor, o código injetado instruía assistentes de IA instalados localmente — Claude, Codex, Gemini, GitHub Copilot CLI e Kiro CLI — a realizar reconhecimento profundo na máquina do desenvolvedor. Cada ferramenta era invocada com sua flag mais permissiva, ignorando qualquer confirmação do usuário. Todos os processos rodavam destacados em segundo plano com a saída suprimida, enquanto a extensão continuava se comportando normalmente, deixando os desenvolvedores sem aviso visível.
Impacto das versões comprometidas
O dano dependia de qual versão foi instalada. A versão 1.8.12 carregava um prompt de aproximadamente 2.000 palavras instruindo o agente de IA a agir como um investigador forense — vasculhando credenciais, tokens, registros financeiros e comunicações sensíveis, e então enviando as descobertas através de todos os canais de saída disponíveis, incluindo e-mail e plataformas de mensagens.
A versão 1.8.13 era mais direcionada: dizia à IA para coletar informações do sistema e tokens de autenticação, salvá-los em REPORT.MD e usar a CLI do GitHub da vítima para enviar esse relatório para um repositório chamado posture-report-trivy. Ambas as versões foram removidas do OpenVSX em 28 de fevereiro, após a divulgação da Socket.dev.
Como o código injetado permaneceu invisível
O código malicioso foi colocado dentro da função de ativação do workspace, uma rotina que é executada toda vez que um desenvolvedor abre um projeto em seu editor de código. Ao inserir a carga útil antes da lógica de configuração normal do Trivy, o atacante manteve a extensão totalmente funcional para que a varredura de vulnerabilidades continuasse normalmente. Na versão 1.8.13, o bloco nocivo foi envolto em uma declaração if usando o operador vírgula do JavaScript, fazendo com que os comandos maliciosos rodassem primeiro antes da verificação padrão do workspace da extensão.
Recomendações para desenvolvedores afetados
Desenvolvedores que instalaram a versão 1.8.12 ou 1.8.13 do OpenVSX devem tomar medidas preventivas imediatamente: desinstalar a extensão afetada e verificar o histórico de versões; verificar a conta do GitHub por um repositório chamado posture-report-trivy; inspecionar o histórico do shell por invocações de claude, codex, gemini, copilot ou kiro-cli com flags de execução permissivas; rotacionar todas as credenciais acessíveis na máquina durante a janela de exposição; e auditar logs locais de agentes de IA por prompts incomuns ou execução automatizada.