A Pillar Security publicou uma pesquisa em 3 de agosto de 2026, detalhando um novo ataque contra o Kit de Desenvolvimento de Agentes de código aberto da Google para Python, especificamente visando fluxos de trabalho dentro do repositório GitHub gemini-cli. A exploração funciona injetando instruções maliciosas em um agente de IA com baixas permissões, que então aciona um agente mais poderoso, acessível apenas aos mantenedores, realizando o que os pesquisadores chamam de primeiro caso real de um agente de IA comprometendo outro com privilégios elevados.
O repositório gemini-cli registrou mais de 90 milhões de downloads.
Como o ataque realmente funciona
A cadeia de ataque começa com uma issue ou pull request pública no GitHub contendo uma carga de injeção de prompt. O Gemini-cli utiliza agentes de IA para tarefas rotineiras, como triagem de issues e revisão de pull requests, e esses agentes operam em diferentes níveis de privilégio. O agente de baixo privilégio — aquele com o qual qualquer pessoa pode interagir abrindo uma issue — é manipulado primeiro. Esse agente, em seguida, acidentalmente aciona o agente de nível mantenedor, que possui muito mais autoridade.
Essas ações incluem exfiltrar tokens do GitHub que possuem permissões de escrita em pull requests. Com esses tokens, um atacante poderia enviar pull requests enganosos que parecem ter aprovações legítimas de revisão de IA, um cenário de envenenamento da cadeia de suprimentos que seria extremamente difícil de detectar em pipelines de CI/CD de movimento rápido.
A Pillar Security divulgou esta pesquisa como parte de uma série que chama de “Semana das Fugas do Sandbox”. O Google agiu rapidamente para corrigir a falha subjacente, mas recusou-se a conceder uma recompensa por bug, citando a dependência do ataque em engenharia social como motivo para não se enquadrar nos critérios de recompensa.
Por que isso é algo maior do que apenas um bug corrigido
O novo aqui é a escalada agente-para-agente: um sistema de IA sendo usado como degrau para comprometer um mais privilegiado. Hierarquias de confiança entre agentes podem ser exploradas, assim como hierarquias de confiança entre usuários humanos em ataques tradicionais de escalada de privilégios.
O caso gemini-cli visa um pipeline CI/CD, a infraestrutura automatizada que compila, testa e implanta software. Comprometer essa camada não afeta apenas um repositório—afeta todos os projetos e usuários downstream que dependem de software construído a partir de código contaminado.
O que investidores e desenvolvedores precisam acompanhar
Os pesquisadores da Pillar Security solicitaram especificamente que as organizações reconsiderem suas arquiteturas de segurança para incluir identidades de agentes distintas, controles de acesso mais rigorosos e modelos de ameaça que considerem interações entre agentes.
Agentes operando em repositórios compartilhados interagem com conteúdo enviado pelo público, o que é funcionalmente equivalente a permitir que entradas não confiáveis fluam diretamente para sistemas privilegiados. Corrigir isso exige repensar como os agentes são implantados, e não apenas corrigir vulnerabilidades individuais.