A segurança dos agentes é normalmente discutida como um problema de injeção de instruções, permissões de ferramentas, isolamento ou aprovação do utilizador. Uma nova pré-publicação de investigadores da Universidade do Illinois em Urbana-Champaign identifica outra camada: o sistema que compõe o contexto e decide que ficheiros, memórias, descrições de ferramentas, instruções do repositório e valores de execução entram no pedido enviado ao modelo, e com que autoridade.
O artigo chama a esta classe de falha «elevação de privilégios do contexto». Em 12 estruturas de agentes, incluindo Codex, Claude Code, Gemini CLI, Qwen Code, Kimi CLI, Aider, OpenCode, Cline, Goose, Pi-mono, OpenClaw e Hermes Agent, os autores afirmam ter validado em execução 282 fontes de contexto que podem participar em caminhos de elevação. As demonstrações incluem manipulação do raciocínio e de chamadas a ferramentas, persistência entre sessões, negação de serviço e, em algumas cadeias, execução remota de código. São resultados comunicados pelos autores numa pré-publicação do arXiv de 1 de setembro, e não prova de que todas as versões atuais continuem vulneráveis.
A composição do contexto tem o seu próprio modelo de privilégios
Uma estrutura de agente junta informação proveniente de muitos locais. Um repositório pode fornecer AGENTS.md ou regras específicas de um produto. Competências e servidores MCP acrescentam descrições e resultados. Ficheiros de configuração, variáveis de ambiente, memórias, subagentes e metadados do projeto descobertos automaticamente podem tornar-se visíveis ao modelo.
A observação central é que estas entradas nem sempre conservam a autoridade da sua origem. Os investigadores modelam duas dimensões. A primeira ocorre quando conteúdo controlado por um atacante chega a um papel de mensagem com maior privilégio. A segunda ocorre quando informação passa de um âmbito mais restrito, como uma sessão ou um projeto, para um âmbito persistente mais amplo, como memória ou configuração ao nível do utilizador.
Com a cadeia de análise CoRA, os autores identificam 463 fontes de contexto nas 12 estruturas e validam 282 em execução. Dessas fontes, 183 entram com papel de sistema, 60 com papel de utilizador, 9 com papel de assistente e 30 com papel de ferramenta. As fontes ao nível do projeto formam o maior grupo por âmbito. O estudo enumera depois 1 761 caminhos candidatos e testa, com vários modelos, se as instruções injetadas são carregadas e produzem o efeito comportamental esperado.
Estes números não representam 282 vulnerabilidades independentes e diretamente exploráveis. Uma fonte pode participar em vários caminhos, e a exploração depende da forma como o atacante consegue influenciá-la e de como a estrutura a combina. O resultado importante é estrutural: os agentes modernos juntam fontes com diferentes níveis de confiança, duração e persistência sem impor sempre uma regra explícita que impeça o aumento de autoridade.
Os ataques atravessam fronteiras que as confirmações não cobrem
A página do projeto mostra várias demonstrações de ponta a ponta. Num cenário de revisão de um pedido de integração com Codex, instruções controladas pelo repositório alteram a política de revisão efetiva e retiram da análise um caminho de código vulnerável. Num cenário com Cline, texto controlado por um atacante é citado pelo modelo mas depois interpretado como estrutura de chamada a ferramentas, permitindo escritas persistentes e alterações às definições de aprovação. Outro exemplo acompanha conteúdo malicioso através de metadados de controlo de versões e memória do agente.
Isto é diferente de simplesmente pedir ao modelo que ignore instruções anteriores. O atacante procura explorar a estrutura que compõe e reinterpreta o contexto. Uma confirmação de permissão pode funcionar corretamente num nível enquanto uma fonte menos fiável é promovida noutro ponto para uma representação com maior autoridade.
Os autores dizem ter comunicado os resultados aos responsáveis pelas 12 estruturas. Segundo o artigo, Codex, Gemini CLI e Cline publicaram versões destinadas a mitigar problemas reportados, e OpenAI e Anthropic reconheceram as descobertas. Como a divulgação coordenada continua em curso e alguns detalhes são deliberadamente omitidos, não é seguro transformar o estudo numa lista atual de produtos vulneráveis.
O contexto precisa de proveniência, não apenas de filtros
O controlo prático vai além de acrescentar outro filtro contra injeção de instruções. O ambiente de execução deve saber de onde veio cada fragmento de contexto, que entidade o pode modificar, qual é a sua duração prevista e qual a autoridade máxima que pode adquirir.
Daí resulta uma regra de não elevação: conteúdo não fiável ou de âmbito limitado não deve transformar-se silenciosamente em estado mais privilegiado ou mais persistente apenas porque um analisador, mecanismo de memória, carregador de competências ou ponte de configuração o copiou. Qualquer transição que aumente privilégio deve atravessar uma fronteira explícita com validação e decisão de política.
O princípio é semelhante ao acompanhamento de dados não fiáveis e à separação de privilégios em sistemas convencionais. Uma instrução do repositório pode continuar a ser útil, mas carregar uma marca que indica que é controlada pelo projeto. O resultado de uma ferramenta pode ser consultado sem receber autorização para reescrever memória global. O modelo pode propor persistência, mas o ambiente pode exigir uma operação autorizada separadamente antes de conteúdo de uma sessão se tornar estado duradouro do utilizador.
Esta é a parte que deve sair da mera engenharia de instruções. Os filtros podem reduzir padrões conhecidos de injeção, mas não demonstram que a autoridade se manteve constante quando os dados passaram entre fontes de contexto. Proveniência, âmbito, papel, persistência e capacidade de escrita são propriedades que a estrutura pode impor deterministicamente.
O resultado é mais amplo do que ataques baseados em Git
A Aipolix avaliou recentemente o GitSpawn, uma divulgação distinta em que configuração Git maliciosa podia desencadear comandos na máquina durante a recolha automática de contexto. Esse caso tinha uma condição de entrega restritiva: o repositório precisava de chegar com metadados .git controlados pelo atacante, e não através de uma clonagem ou atualização normal.
A investigação sobre elevação de contexto inclui vetores ligados ao controlo de versões, mas a contribuição é mais abrangente. A taxonomia cobre memória, configuração, competências, componentes de terceiros, interpretação de marcação e atualização do contexto em várias estruturas. A implicação é diferente: os metadados Git são apenas uma possível fonte, enquanto a fronteira de segurança real é o grafo de transformações que converte muitas fontes em contexto privilegiado.
Para as equipas de engenharia, a pergunta útil não é se um produto aparece no estudo. É saber se a sua plataforma consegue responder, para cada elemento de contexto: quem o forneceu, a que âmbito pertence, que papel pode assumir, se pode persistir e que transições podem aumentar a sua autoridade.
Permanecem limitações importantes
O trabalho é uma pré-publicação e ainda não foi reproduzido de forma independente. O próprio CoRA recorre a um modelo de linguagem, os autores escolhem versões concretas de cada estrutura e os resultados não demonstram que as versões mais recentes de todos os produtos citados continuem afetadas. Segundo o artigo, algumas mitigações já foram publicadas.
Os autores também afirmam que irão publicar o código-fonte completo, enquanto a página do projeto disponibiliza atualmente demonstrações e artefactos detalhados sem apresentar de forma clara um repositório público do CoRA. Isto limita a reprodução independente neste momento. As 282 fontes validadas e as taxas de ataque devem, por isso, ser tratadas como medições da equipa de investigação, e não como estatísticas universais de produção.
Mesmo com estas reservas, o estudo expõe um ponto cego arquitetural importante. Os sistemas de permissões controlam o que um agente pode executar. Os controlos de privilégio do contexto também devem controlar como a informação ganha autoridade antes de o modelo decidir o que executar. Sem essa segunda fronteira, um agente pode herdar mais confiança do que a fonte original alguma vez justificou.