VKSECURITY desenvolvimento
9 artigos
Invasão no OpenCode expõe chaves de API de IA e usuários relatam contas de até US$ 1.700 em uma noite
O OpenCode, agente de programação com IA de código aberto, confirmou que invasores alcançaram um sistema antigo do seu Console e podem ter levado chaves de API de OpenAI, Anthropic e Google de 1,4% dos usuários. Houve relatos de cobranças de centenas a mais de mil dólares numa só noite.
LER ARTIGO
Um repositório 'inocente' fez o ChatGPT gravar código malicioso em outro repositório privado e vazar um segredo — e o relato foi fechado como fora de escopo
Um pesquisador mostrou que, com o conector do GitHub ligado, pedir ao ChatGPT para revisar um repositório público preparado por um atacante basta para o agente gravar um workflow em outro repositório, privado, e enviar um segredo para fora. O programa de recompensas da OpenAI encerrou o caso como fora de escopo.
LER ARTIGO
GhostAction volta ao GitHub: 'auditoria de segurança' falsa vasculha o histórico inteiro dos repositórios atrás de chaves de nuvem e de IA
Em 8 de outubro, a campanha GhostAction usou contas comprometidas de dois mantenedores conhecidos para empurrar um arquivo chamado security-audit.yml a centenas de repositórios. O que ele faz é o oposto do nome: lê o histórico completo do projeto e envia para um servidor as chaves da AWS, de serviços de IA e de outros sistemas — inclusive as que alguém apagou achando que tinha resolvido.
LER ARTIGO
Jira e Confluence: falha de nota 9,3 deixa ler arquivos do servidor sem senha — e os ataques começaram duas horas depois de os detalhes virem a público
A Atlassian publicou em 5 de outubro um alerta crítico para oito produtos instalados no próprio servidor do cliente, entre eles Jira, Confluence e Bitbucket: sem login, um invasor consegue ler arquivos da pasta da aplicação. Um dia depois, pesquisadores mostraram como transformar isso em conta de administrador — e, em duas horas, já havia tentativas de exploração.
LER ARTIGO
GitLab corrige falha de nota 9,9 no portal de IA: um usuário comum conseguia executar comandos no servidor
O componente que liga o GitLab aos recursos de IA do Duo tinha uma falha que permitia a qualquer usuário autenticado sair da 'caixa' dos modelos de prompt e executar comandos no servidor. Afeta só quem hospeda o AI Gateway por conta própria; o GitLab.com já estava protegido. É o tipo de brecha que a IA acrescenta ao que já existia.
LER ARTIGO
Quem precisa de treinamento? Os dados de uso respondem antes da avaliação anual
A maioria das empresas decide treinamento por pesquisa de opinião ou por catálogo. Os dados de uso dos sistemas contam outra história: quem ainda faz à mão o que a ferramenta automatiza, quem nunca abriu o módulo que deveria usar, onde uma tarefa leva o dobro do tempo. É o mapa mais barato de necessidades de capacitação que existe.
LER ARTIGO
GitHub reescreveu o motor do Copilot com agentes de IA: 832 mil linhas de código em 14 semanas
O GitHub publicou os números da migração do motor do Copilot para outra linguagem, feita em grande parte por agentes de IA: 430 mil linhas de origem viraram 832 mil, em 128 entregas, ao longo de 14 semanas e meia. O que o relato mostra sobre gerenciar esse tipo de projeto é mais interessante que o placar.
LER ARTIGO
O ataque que envenenou 2 bilhões de downloads: o perigo escondido no software que você usa
Criminosos contaminaram peças de código baixadas por programadores no mundo todo. Por que isso é risco de quem contrata software, não só de quem programa.
LER ARTIGO
Qualquer um pode criar software com IA agora — e é aí que mora o perigo
O 'vibe coding' deixou qualquer pessoa gerar sistemas sem saber programar. O que os vídeos de 'criei um app em 10 minutos' não mostram — e o que fazer para não virar estatística.
LER ARTIGO