Falha no GitHub Copilot permite exfiltração silenciosa de dados
Uma vulnerabilidade de alta severidade identificada no GitHub Copilot Chat, rastreada como CVE-2025-59145, permitiu que atacantes exfiltrassem dados sensíveis de repositórios privados sem a necessidade de executar código malicioso. Com uma pontuação CVSS próxima de 9.6, a falha, apelidada de "CamoLeak", destaca uma ameaça crescente no desenvolvimento assistido por IA.
Descoberta e escopo
A vulnerabilidade foi divulgada publicamente por um pesquisador de segurança em outubro de 2025, pouco depois de o GitHub ter corrigido o problema em agosto de 2025 ao desabilitar a renderização de imagens no Copilot Chat. O ataque explorou a confiança inerente que os desenvolvedores depositam nas ferramentas de revisão de código automatizadas. O Copilot Chat revisa pull requests lendo descrições, código e arquivos do repositório usando as permissões de acesso do desenvolvedor.
O CamoLeak armou esse acesso confiável escondendo instruções maliciosas dentro da sintaxe de comentários markdown invisíveis do GitHub. Como esses comentários não são renderizados na interface web padrão, os revisores humanos não viam nada suspeito. No entanto, o Copilot ingeriu o texto bruto e tratou o prompt oculto como um comando legítimo.
Vetor e exploração
O ataque se desenrolou em quatro fases distintas. Primeiro, o atacante submeteu um PR contendo instruções de injeção de prompt ocultas na descrição. Em seguida, um desenvolvedor com acesso ao repositório privado pediu ao Copilot para revisar o PR, alimentando inadvertidamente as instruções ocultas para a IA. O prompt injetado direcionou o Copilot a procurar no código-base dados sensíveis, como chaves AWS, e codificar as descobertas em base16.
Finalmente, o Copilot incorporou os dados codificados em endereços de imagem pré-assinados, enviando solicitações ao servidor do atacante para reconstruir os dados roubados caractere por caractere enquanto o navegador da vítima renderizava a resposta. O aspecto mais sofisticado do CamoLeak foi sua capacidade de contornar a Política de Segurança de Conteúdo (CSP) do GitHub.
Normalmente, uma CSP bloqueia o carregamento de imagens de hosts externos não confiáveis para evitar exatamente esse tipo de vazamento de dados. Para evadir isso, os atacantes pré-computaram um dicionário de endereços válidos e assinados para o proxy de imagem Camo do GitHub. Cada endereço apontava para um pixel transparente 1x1 no servidor do atacante e representava um único caractere codificado.
Impacto e alcance
Embora o CamoLeak fosse específico ao GitHub, a ameaça subjacente se aplica a qualquer assistente de IA com acesso profundo ao sistema, como o Microsoft 365 Copilot ou o Google Gemini. Sempre que conteúdo não confiável pode influenciar o fluxo de instruções de uma IA, cria-se um caminho de exfiltração de dados oculto. Como o monitoramento tradicional perde a exfiltração de dados por canais confiáveis, os provedores de segurança enfatizam a evolução das defesas e a interrupção de ataques no endpoint para quebrar a cadeia de morte.
Medidas de mitigação recomendadas
Soluções como a plataforma ADX da BlackFog focam no monitoramento do tráfego de saída do dispositivo, bloqueando informações sensíveis de saírem, independentemente de a transferência ser iniciada por um atacante ou um proxy de IA explorado. CISOs devem revisar as configurações de permissão do Copilot e considerar a implementação de gateways de saída que inspecionem o tráfego de imagens gerado por ferramentas de IA. A desabilitação de recursos de renderização de imagem em ambientes de desenvolvimento sensíveis pode ser uma medida temporária eficaz até que patches mais robustos sejam aplicados.
Implicações regulatórias (LGPD)
Para organizações brasileiras, o vazamento de chaves de API e segredos de nuvem pode violar a Lei Geral de Proteção de Dados (LGPD) se envolver dados pessoais ou segredos comerciais protegidos. A falha destaca a necessidade de governança de dados em ferramentas de IA generativa, garantindo que o acesso a repositórios privados seja estritamente controlado e monitorado.
Perguntas frequentes
É necessário executar código para ser afetado? Não. A exploração ocorre através da manipulação do prompt e do fluxo de dados da IA, sem a necessidade de executar código malicioso no endpoint da vítima.
Quais produtos são afetados? O GitHub Copilot Chat, especificamente nas versões que permitiam a renderização de imagens e o processamento de comentários markdown ocultos antes do patch de agosto de 2025.
Como detectar? Monitorar tráfego de saída incomum de máquinas de desenvolvimento, especialmente solicitações de imagem para domínios desconhecidos que pareçam legítimos devido ao uso de assinaturas do GitHub.