Agentes de IA expõem mais de 13 mil capturas de tela corporativas

A startup de segurança Glow Security identificou que agentes de inteligência artificial enviaram publicamente mais de 13 mil capturas de tela de projetos internos para o GitHub. A exposição afetou 343 organizações, englobando empresas presentes na lista Fortune 500, instituições do setor financeiro e laboratórios de IA. A descoberta acende alertas semelhantes aos trazidos por pesquisadores que alertam para riscos da automação no desenvolvimento de IA.

A prática de registrar o estado de uma interface antes e depois de alterações é comum entre desenvolvedores para que colegas revisem mudanças no código. Geralmente, essas imagens ficam armazenadas em solicitações de alteração (pull requests) visíveis apenas para membros autorizados de projetos privados. No entanto, o GitHub permite anexar imagens a essas solicitações apenas pela interface do navegador, e não por meio da linha de comando em que os agentes operam.

Solução alternativa gerou vazamento de dados sensíveis

Para contornar a limitação da plataforma, os próprios agentes de IA criaram uma solução alternativa. Eles passaram a criar repositórios públicos, em geral associados às contas pessoais dos programadores, e realizaram o envio das imagens para esses locais abertos, permitindo o acesso de qualquer pessoa. Entre o conteúdo exposto estavam dados de clientes, credenciais de login e recursos de softwares ainda não lançados.

Como as imagens ficaram armazenadas fora das contas corporativas oficiais, as equipes de segurança das empresas não detectaram o incidente. Segundo a Glow Security, cerca de um terço das organizações atingidas usava o gitshot, uma ferramenta de código aberto voltada para armazenar capturas de tela publicamente. Em determinados casos, os próprios agentes localizaram e utilizaram a ferramenta por conta própria.