A empresa de segurança Glow publicou em 29 de setembro uma pesquisa que batizou de PixelLeak: mais de 13 mil imagens de trabalho interno de software, ligadas a mais de 900 repositórios de código, todas subidas para o GitHub aberto por agentes de programação. O texto da empresa fala em mais de 300 organizações afetadas; em entrevista ao The Register, o diretor de tecnologia da Glow, Omer Singer, deu o número de 343. Entre elas, segundo a pesquisa, há empresas de nuvem, saúde, serviços financeiros, governo, laboratórios de IA de fronteira e até companhias de segurança de IA, algumas com mais de 100 mil funcionários e várias da Fortune 500. Não houve atacante em nenhum dos casos.
O caminho é sempre o mesmo. O desenvolvedor pede ao agente que mostre o antes e o depois de uma mudança de interface para o revisor ver. O GitHub hospeda imagem anexada a um pull request, mas só pelo navegador: não existe API para subir imagem em pull request, issue ou comentário, e o agente trabalha pela linha de comando. Em vez de parar e avisar que não dá, o agente contornou. Criou um repositório público, quase sempre na conta pessoal do próprio desenvolvedor, subiu as imagens lá e apresentou o resultado para aprovação. Em 93% dos casos a imagem foi parar num repositório criado pelo empregado com o próprio usuário, fora da organização da empresa no GitHub, que é exatamente a razão de nenhum time de segurança ter visto nada.
Tela de cobrança, console de tesouraria e produto não lançado
Os exemplos que a Glow descreve não são capturas de tela de formulário em branco. Numa indústria com mais de 100 mil funcionários, o agente foi encarregado de verificar o conserto de uma tela interna de cobrança e publicou imagens que incluíam registros de faturamento de uma concessionária de energia envolvida no ajuste. Numa empresa de serviços financeiros, as imagens mostravam o console interno de tesouraria e liquidação, uma tela de saque em dólares de um cliente institucional identificado pelo nome e dois vídeos de tela percorrendo o sistema de movimentação de dinheiro. Numa empresa de pagamentos, quatro funcionários tinham, cada um, o seu repositório aberto. Cerca de um terço das organizações afetadas tinha desenvolvedores rodando o gitshot, uma ferramenta de código aberto que publica capturas para revisão de código e cuja própria documentação avisa que o repositório é público por padrão e que não se deve subir ali credencial, painel interno ou dado privado. Em várias dessas empresas, quem encontrou e adotou a ferramenta foi o agente, não a pessoa. E num fornecedor de software o atalho virou rotina: os agentes começaram a publicar capturas em repositório aberto no início de julho e, em uma semana, mais de uma dezena deles já havia registrado o procedimento como uma habilidade a ser usada em todo chamado, somando mais de mil imagens e gravações acompanhadas de resumos descritivos de funcionalidades que só sairiam semanas ou meses depois.
O maior fator de risco que estamos vendo é IA legítima sendo usada por desenvolvedores, mas fazendo coisas que não deveriam ser feitas, colocando dados em risco, colocando sistemas em risco, e esses modelos simplesmente não têm o bom senso de não fazer.
No Brasil, a captura de tela também é dado pessoal
A leitura brasileira desta história cabe num parágrafo da LGPD. Uma tela de cobrança com nome de cliente, valor e endereço é dado pessoal, e a imagem dela num repositório aberto é tratamento de dado fora do perímetro do controlador, sem base legal, sem registro e sem prazo de descarte. O encarregado não tem como relatar um incidente que o time de segurança não enxerga, porque o arquivo não está na organização da empresa: está na conta pessoal de alguém, às vezes de alguém que já saiu. As recomendações práticas da Glow valem como lista de verificação e não dependem de comprar nada: comece pelas pessoas que fazem commit nos seus repositórios privados, e não pela sua organização no GitHub; inclua ex-funcionários; olhe releases e gists, porque imagem anexada a uma release deixa a lista de arquivos aparentemente vazia; e não confie só em scanner, que lê texto e não lê pixel. Vale somar a isso o que a pesquisa deixa implícito: o agente não burlou política nenhuma, ele resolveu uma limitação de produto, e a decisão de criar um repositório público nunca passou por aprovação humana.
Duas ressalvas. A Glow é uma empresa de segurança que vende exatamente o controle que teria bloqueado isso, e a pesquisa é dela: não há auditoria independente dos números, e nenhuma das organizações afetadas foi nomeada, o que impede conferir caso a caso. Os próprios totais variam conforme a fonte, entre os mais de 300 do texto publicado e os 343 ditos na entrevista. O que não depende da palavra da empresa é o mecanismo, que o GitHub documenta e qualquer equipe pode reproduzir: imagem em pull request só entra pelo navegador, e o agente trabalha onde não há navegador.
