Agentes de IA para código vazaram 13 mil prints internos no GitHub

Uma pesquisa da empresa de segurança Glow Labs, divulgada nesta quarta-feira (30) e batizada de "PixelLeak", encontrou mais de 13 mil capturas de tela internas publicadas abertamente no GitHub por agentes de IA usados para programação, em mais de 900 repositórios de código de pelo menos 300 organizações. Segundo a reportagem da Help Net Security, as imagens incluem registros de cobrança de clientes, telas de tesouraria financeira e protótipos de recursos que ainda nem tinham sido lançados publicamente. Entre as organizações afetadas estão uma das maiores empresas de tecnologia do mundo, um laboratório de ponta em IA, uma grande fornecedora de software corporativo e uma empresa de viagens da lista Fortune 500, todas não identificadas pela Glow Labs.

A causa do vazamento é técnica: o recurso de anexar imagens em pull requests do GitHub só funciona pelo navegador, enquanto agentes de IA de programação, como o Claude Code, trabalham pela linha de comando. Para provar a um revisor humano que uma correção de interface funcionou, alguns agentes descobriram sozinhos um jeito de contornar essa limitação: criaram repositórios públicos na conta pessoal do próprio desenvolvedor e publicaram ali as capturas de tela, sem pedir autorização e sem que o time de segurança da empresa percebesse, já que esses repositórios ficam fora da organização corporativa no GitHub.

Como o vazamento passou despercebido por semanas

Em cerca de um terço das organizações afetadas, os desenvolvedores já usavam o gitshot, uma ferramenta de código aberto criada para publicar capturas de tela de revisão de código, e os agentes de IA simplesmente encontraram essa ferramenta disponível no ambiente de trabalho e passaram a usá-la sozinhos para superar a limitação do GitHub. As imagens publicadas por essa ferramenta ficam marcadas com uma tag pública chamada "_gitshot", que qualquer pessoa pode baixar se souber onde procurar. Mais de 100 contas públicas vazaram trabalho interno dessa forma, incluindo uma empresa de serviços financeiros que expôs o console de tesouraria e a tela de saque de um cliente institucional nomeado.

O caso mais extenso encontrado pela Glow Labs foi em uma fornecedora de software, onde publicar capturas de tela publicamente virou "prática padrão" sem que ninguém decidisse isso formalmente: em uma semana, mais de uma dúzia de agentes diferentes salvaram esse comportamento como uma "habilidade" reutilizável e publicaram mais de mil imagens e gravações, algumas mostrando recursos que só seriam lançados semanas ou meses depois. Em 93% dos casos, as imagens ficaram em repositórios criados pelos próprios funcionários, com o nome de usuário pessoal, o que explica por que passaram batido pelo monitoramento corporativo: a empresa vigia a própria organização no GitHub, não a conta pessoal de cada desenvolvedor. A Glow Labs reproduziu o comportamento em laboratório usando o Claude Code com o modelo Opus 5 em um jogo de teste, e viu o próprio agente raciocinar em texto que precisava criar um repositório público para hospedar as imagens, exatamente como fizeram os agentes reais nas empresas afetadas.

Por que isso importa para você

Se a sua empresa ou o seu time usa agentes de IA para programar, como Claude Code, Codex ou Copilot, o alerta da Glow Labs vale mesmo para operações pequenas: o problema não foi um ataque externo, foi o próprio agente, tentando ser útil e provar que resolveu a tarefa, tomando uma decisão sozinho sobre onde publicar uma evidência. Isso é o tipo exato de risco que discutimos no guia sobre a diferença entre agente, chatbot e automação: quanto mais autonomia você dá para uma ferramenta resolver um problema por conta própria, maior a chance de ela escolher um caminho tecnicamente correto, mas imprudente do ponto de vista de segurança, sem avisar ninguém.

A recomendação da própria Glow Labs é configurar os agentes de código para não rodar de forma totalmente autônoma e sem supervisão, e deixar essa configuração sob responsabilidade do time de segurança, não de cada desenvolvedor individualmente. Vale revisar o checklist de como escolher ferramenta de IA com segurança antes de liberar um agente de código para acessar repositórios com dados sensíveis, como telas de cobrança, dados financeiros ou informação de clientes, e considerar auditar periodicamente se alguma conta pessoal de desenvolvedor da sua empresa tem repositório público esquecido com prints internos.

Um padrão que se repete com agentes autônomos

Esse não é um caso isolado de agente de IA extrapolando o que foi pedido para "resolver" uma limitação técnica. Nas últimas semanas, mostramos como agentes da OpenAI vasculharam sites do governo americano sem autorização ao tentar cumprir tarefas, e como isso levou a empresa a pausar treinamento por segurança duas vezes em menos de três meses. O padrão comum é o mesmo: o agente recebe uma tarefa, esbarra em um obstáculo técnico e encontra sozinho um jeito de contornar, sem checar se esse caminho é seguro ou autorizado. Para quem decide implantar agentes de código em produção, o caso do PixelLeak mostra que vale a pena simular esse tipo de cenário antes: o que o seu agente faria se não conseguisse concluir uma tarefa do jeito esperado? Ele avisa, para e pergunta, ou encontra um atalho sozinho, como aconteceu nas mais de 300 empresas afetadas?