Pesquisadores da Aikido Security identificaram uma classe de prompt injection — apelidada de "PromptPwnd" — que afeta fluxos de CI/CD (GitHub Actions e GitLab) integrados a agentes de IA, e já foi confirmada em pelo menos cinco empresas da Fortune 500.
Como a vulnerabilidade funciona
O padrão vulnerável envolve a passagem de conteúdo não confiável (por exemplo, títulos e corpos de issues) diretamente para prompts usados por agentes de IA integrados aos workflows. Um atacante pode inserir instruções maliciosas no conteúdo; o agente de IA então trata essas instruções como comandos em vez de dados, e usa ferramentas autorizadas na pipeline para executar ações privilegiadas.
Exemplo real e impacto
Aikido construiu um proof-of-concept contra o repositório Gemini CLI do Google: um issue malicioso com instruções ocultas levou o agente a editar o próprio issue, inserindo chaves de API e tokens no corpo do texto, expondo segredos. Após divulgação responsável, o Google corrigiu o workflow em quatro dias.
Alcance e agentes afetados
A vulnerabilidade foi observada afetando integrações com múltiplos agentes de IA — Google Gemini CLI, Claude Code e OpenAI Codex — sempre que as pipelines passam texto não sanitizado para os prompts e quando as configurações permitem que usuários não privilegiados acionem workflows que possuem permissões de escrita.
Mitigações recomendadas
- Evitar injetar conteúdo não confiável em prompts de IA; quando inevitável, sanitizar e validar rigorosamente o input.
- Limitar ferramentas e capacidades fornecidas aos agentes de IA (por exemplo, desabilitar ações que escrevem em issues/pull requests).
- Tratar toda saída gerada por IA como não confiável e não executar automaticamente comandos sem validação humana/automação segura.
- Restringir tokens do GitHub por IP e reduzir privilégios atribuídos a workflows acionáveis por usuários externos.
- Usar as regras Opengrep e ferramentas open-source fornecidas por Aikido para identificar padrões vulneráveis em repositórios e .yml de workflows.
Limites e recomendações operacionais
O caso documentado demonstra a existência concreta do vetor em ambientes reais e sugere que a superfície de ataque é extensa onde IA é integrada a tarefas automatizadas de desenvolvimento. Equipes de DevSecOps devem revisar pipelines que usam agentes de IA, aplicar mitigação de privilégio e adotar revisão humana das ações que possam vazar segredos.