Confiança cega em hooks: atualizações maliciosas de plugins sequestram agentes de IA com privilégios do host
Pesquisadores identificaram uma superfície de ataque na forma como harnesses de agentes de IA processam atualizações de "lifecycle hooks" — configurações que amarram comandos de shell a eventos do ciclo de vida do agente e que rodam com privilégios do host sem supervisão do LLM. O framework HookPry, criado para explorar essa falha de forma automatizada, comprometeu os sete harnesses avaliados em 25 combinações de ferramentas e modelos de backend, com taxa de sucesso de até 92,5% em mil execuções. As defesas testadas se mostraram largamente ineficazes, com o Microsoft Defender não detectando nenhum caso e defesas estáticas combinadas deixando passar quase metade dos artefatos maliciosos.
Harnesses de agentes de IA — as ferramentas que orquestram um modelo de linguagem com acesso a shell, arquivos e outras capacidades do sistema — costumam expor "lifecycle hooks": configurações que amarram comandos de shell a eventos como início de sessão, chamada de uma ferramenta ou edição de um arquivo. O problema é que esses comandos rodam com os privilégios do host e podem disparar em momentos que o próprio LLM nunca chega a observar, criando uma via de execução que escapa completamente do escrutínio do modelo e, muitas vezes, também do usuário.
O artigo caracteriza o caminho de atualização desses hooks como uma superfície de ataque de cadeia de suprimentos ainda não reconhecida: os harnesses confiam cegamente nas atualizações de configuração de hooks vindas de plugins. Nesse modelo de ameaça, um atacante que controla apenas os metadados de um plugin e a configuração de seus lifecycle hooks consegue trojanizar um plugin legítimo e já versionado, publicando uma atualização que liga silenciosamente comandos escolhidos por ele a eventos benignos do ciclo de vida — sem alterar o comportamento visível ou funcional do plugin aos olhos do usuário. Para demonstrar a exploração sistemática dessa falha, os autores desenvolveram o HookPry, um framework de ataque open-source e totalmente automatizado que realiza dez objetivos de ataque distintos, incluindo escalonamento de privilégio no host. Em testes com 25 combinações de harnesses e modelos de backend, totalizando mil execuções ponta a ponta, o HookPry comprometeu todos os sete harnesses avaliados, atingindo taxas de sucesso de até 92,5% por harness.
O estudo também avaliou defesas representativas e encontrou lacunas expressivas: o Microsoft Defender registrou 0% de recall contra os artefatos maliciosos gerados, e a união de três defesas estáticas ainda deixou passar 47,5% desses artefatos. Isso indica que as ferramentas de segurança hoje disponíveis não foram desenhadas para inspecionar configurações de lifecycle hooks como um vetor de ataque relevante.
Na prática, o achado expõe um ponto cego real na cadeia de atualização de plugins de ferramentas de agente de IA: qualquer ambiente que permita instalar ou atualizar plugins de terceiros com acesso a hooks de ciclo de vida e a um shell do host está potencialmente exposto a comprometimento total, mesmo quando o comportamento do plugin parece inalterado. Como o ataque não depende de manipular o próprio modelo de linguagem, mas sim de configuração que roda por fora da sua observação, ele contorna tanto a vigilância do LLM quanto boa parte do arsenal de defesa tradicional baseado em antivírus e análise estática, reforçando a necessidade de mecanismos de verificação e sandboxing específicos para atualizações de hooks.