GitLab corrige falha crítica no AI Gateway que permitia invasão remota

A GitLab confirmou, em comunicado publicado em sua documentação oficial de patches, a correção de uma falha crítica no AI Gateway, o componente que processa os comandos enviados ao assistente de IA Duo Agent Platform em instalações autogerenciadas da plataforma. A vulnerabilidade, catalogada como CVE-2026-90970, recebeu nota 9,9 de 10 na escala CVSS, classificação reservada para os riscos mais graves que existem em um sistema de software.

Segundo a descrição oficial da GitLab, "sob certas condições", um usuário autenticado com acesso ao Duo Agent Platform conseguia escapar do sandbox de modelos de prompt por meio de uma configuração de fluxo (flow) especialmente construída, chegando a executar comandos arbitrários diretamente no servidor do AI Gateway. Na prática, isso significa que alguém com uma credencial válida, mas sem permissão para tanto, podia transformar uma simples interação com o assistente de IA em uma porta de entrada para controlar a máquina por trás dele.

Como a falha funcionava e quem ela afeta

O AI Gateway usa um motor de templates no estilo Jinja2 para montar os prompts enviados ao modelo, inserindo dados fornecidos pelo próprio usuário dentro dessas estruturas. O problema, classificado tecnicamente como CWE-1336 (neutralização incorreta de elementos especiais usados por um motor de templates), é que o isolamento desse motor não era suficiente: uma configuração de fluxo malformada conseguia "vazar" do ambiente restrito e rodar comandos no sistema operacional do servidor, não apenas dentro do chat.

A falha atinge apenas quem roda o AI Gateway de forma autogerenciada (self-hosted), nas versões 18.1.6 até antes da 19.2.4, 19.3 antes da 19.3.2 e 19.4 antes da 19.4.1. Clientes do GitLab.com, do GitLab Dedicated e de quem usa a versão hospedada pela própria GitLab do AI Gateway não foram afetados, já que o problema depende de controle sobre a configuração do fluxo, algo que só existe nas instalações próprias. A empresa já disponibilizou as versões corrigidas 19.2.4, 19.3.2 e 19.4.1, e recomenda atualização imediata para quem mantém o serviço na própria infraestrutura.

Mais um capítulo na onda de falhas em "sandboxes" de agentes de IA

O caso do GitLab Duo Agent Platform entra numa lista que cresceu rápido neste ano: a confiança de que um agente de IA "está isolado" do restante do sistema tem se mostrado, repetidamente, mais frágil do que parecia. Semanas antes, pesquisadores já haviam revelado a falha batizada de "Plugin4Shell", que permitia trocar código de plugins já aprovados em Claude Code, OpenAI Codex, GitHub Copilot e Gemini CLI mesmo com trava de versão ativada. Pouco antes disso, uma vulnerabilidade ligada à Anthropic também foi explorada ativamente em um servidor Rejetto HFS em menos de 24 horas depois de divulgada.

O padrão que conecta esses três episódios é sempre o mesmo: ferramentas de IA cada vez mais integradas ao código de produção, com permissão para ler repositórios, rodar comandos e interagir com sistemas internos, criam um alvo valioso para quem procura uma única brecha capaz de dar acesso a muito mais do que uma conversa isolada. No caso do GitLab, especificamente, o risco é agravado porque o Duo Agent Platform foi desenhado para atuar dentro do fluxo de desenvolvimento de software, com acesso a repositórios de código, pipelines de integração contínua e, em muitos casos, credenciais de nuvem usadas para implantar aplicações.

Por que isso importa para quem usa IA no trabalho no Brasil

Boa parte das empresas brasileiras que adotaram IA para acelerar desenvolvimento de software usa GitLab como plataforma de código, e muitas delas mantêm instalações próprias (self-hosted) por exigência de compliance, especialmente bancos, fintechs e empresas de setores regulados que não podem depositar código-fonte em serviços de terceiros. É exatamente esse público que precisa agir agora: conferir a versão instalada do GitLab e do AI Gateway, aplicar o patch e revisar quem tem acesso ao Duo Agent Platform, já que o ataque exige apenas uma credencial autenticada, não uma invasão externa completa.

Para quem usa apenas a versão hospedada pela GitLab (GitLab.com) ou o GitLab Dedicated, o episódio não exige ação direta, mas serve como lembrão prático do tipo de risco que listamos no nosso checklist de como escolher uma ferramenta de IA com segurança: toda ferramenta que conecta um agente de IA a código, credenciais ou infraestrutura de produção amplia a superfície de ataque da empresa, mesmo quando o fornecedor é confiável e corrige falhas rapidamente, como fez a GitLab neste caso, antes de qualquer exploração confirmada em ambiente real.

O que observar daqui para frente

Até o momento da divulgação do patch, a GitLab não relatou evidência de exploração ativa da falha nem a publicação de um código de prova de conceito, o que reduz o risco imediato para quem ainda não atualizou, mas não elimina a urgência: falhas de alta severidade em ferramentas populares costumam atrair tentativas de exploração justamente depois que o detalhe técnico se torna público, quando atacantes usam a diferença entre a versão vulnerável e a corrigida como roteiro. Vale acompanhar os canais oficiais de segurança da GitLab nos próximos dias para qualquer atualização sobre tentativas de ataque.

Mais amplamente, o episódio reforça um ponto que vem se repetindo em 2026: empresas que integram agentes de IA diretamente ao ciclo de desenvolvimento de software, como discutimos ao analisar o papel dos agentes de IA autônomos no futuro do trabalho, precisam tratar essas integrações com o mesmo rigor de segurança dado a qualquer outro componente crítico de infraestrutura, com atualização rápida de patches, princípio de menor privilégio no acesso aos agentes e monitoramento de uso anômalo, e não como um recurso experimental de baixo risco.