Radar Tech: 'Prompts viraram shells' — a febre de RCE em agentes de IA e por que é um problema de arquitetura
Cursor, Gemini CLI e a cadeia do MCP escancararam a nova classe de falha: injeção de prompt virando execução remota de código. Entenda o padrão, os vetores e o que muda na arquitetura do seu pipeline de agentes.
No radar das últimas 24 horas, um tema dominou a conversa de segurança: a sequência de pesquisas e incidentes mostrando que injeção de prompt virou vetor de execução remota de código (RCE) em agentes de IA e ferramentas de coding. O título de um estudo da Microsoft diz tudo — "quando prompts viram shells".
O padrão por trás da notícia
Ferramentas populares como o editor Cursor, a CLI do Gemini e a cadeia de suprimento do protocolo MCP (Meta Context Protocol) vieram a público com falhas críticas. O fio condutor não é sorte de atacantes: é um problema estrutural de arquitetura.
- A injeção de prompt indireta: conteúdo malicioso embutido em dados que o agente lê (README, issue, página, resposta de uma ferramenta) instrui o modelo sub-repticiamente.
- O tool-call confiante: o agente decide chamar
shell,git,deploy— e o executor executa com as permissões do operador, sem validar se aquela chamada foi fruto de instrução legítima ou de dado malicioso. - A cadeia de suprimento: servidores MCP e plugins adicionam superfície de ataque; sem pinagem de origem, um endpoint comprometido injeta dados maliciosos.
O elo mais fraco não é o modelo. É o loop de ferramenta que confia na intenção do LLM sem nenhuma camada de política entre ele e o executor.
O que isso muda na arquitetura
Times que já adotam (ou planejam adotar) agentes autônomos e agentes de coding precisam tratar o pipeline de execução como superfície de ataque de primeira classe. Um bundle mínimo de defesa:
- Separar dados de instruções: conteúdo externo é dado não-confiável; instruções só saem do system prompt, nunca de dados.
- Policy gateway no loop de tools: o modelo propõe um tool-call, o gateway decide — permissão por ferramenta, allowlist de comandos, validação de argumento.
- Menor privilégio: o agente nunca roda com as credenciais do operador; usa tokens escopados e revogáveis.
- Sandbox descartável: execução isolada, rede bloqueada por padrão, sem secrets montados — contenção, e não garantia.
- Aprovação humana para ações destrutivas; em modo autônomo, isso vira quarentena.
Para onde olhar
Se sua equipe usa agentes de coding ou está desenhando pipelines autônomos, esta é a semana certa para revisar o modelo de ameaça e escrever uma ADR de segurança do pipeline de execução — antes que "prompt" e "shell" sejam a mesma palavra na sua stack.
Resumo do dia: a febre de RCE em agentes mostrou que segurança de agentes é um problema de arquitetura, e que a mitigação começa no design do loop de tool-call, não no prompt.
