Análises aprofundadas sobre segurança de navegador, isolamento e as ideias por trás do Bromure.
O Agent Data Injection, uma prova de conceito publicada em julho de 2026 pela Universidade Nacional de Seul, pela UIUC e pela Largosoft, não esconde instruções em um prompt. Ele forja a pontuação que um agente usa para distinguir um campo confiável de um texto não confiável — uma aspa curva, uma aspa escapada, até um cifrão perdido — de modo que o comentário de GitHub de um atacante seja lido como a correção do mantenedor e um registro de CI falsificado seja lido como uma compilação limpa. Ele burlou defesas anti-injeção dedicadas até metade das vezes, em GPT-5.2, Claude e Gemini. O Bromure Agentic Coding normaliza os delimitadores forjados antes que o texto vire um plano, tranca as ações executar-isto e mesclar-isto que saem da caixa, e roda tudo em uma VM Linux descartável com credenciais chamariz.
O agentjacking, divulgado pela Tenet Security em junho de 2026, não precisa de malware nem de acesso à sua infraestrutura. Um invasor registra um erro falso no seu projeto Sentry usando uma chave pública de escrita, esconde instruções dentro dele e espera. Quando você pede ao seu agente de codificação para corrigir o problema, ele lê o texto do invasor como orientação e o executa com as suas credenciais. A Tenet encontrou pelo menos 2.388 projetos expostos e uma taxa de sucesso de 85% em Claude Code, Cursor e Codex. O Bromure Agentic Coding executa todo esse caminho de ler-e-executar dentro de uma VM Linux descartável, avalia o texto obtido antes de o agente agir, e deixa ao ladrão de credenciais apenas iscas.
Pesquisadores da Universidade de Tel Aviv, do Technion e da Intuit divulgaram o HalluSquatting: os atacantes sondam um agente de código até descobrir quais nomes de pacotes, repositórios ou skills ele inventa de forma confiável, registram esses nomes inventados e esperam. Quando você pede a coisa real, o agente busca a versão do atacante — e as instruções ocultas dentro dela sequestram o shell do agente para instalar malware de botnet. Nomes de repositórios alucinados em até 85% das vezes; instalações de skills em até 100%. O Bromure Agentic Coding executa todo esse caminho de busca e execução dentro de uma VM Linux descartável, verifica os registros de pacotes onde o palpite cai, e deixa ao malware apenas iscas para roubar.
A Island descobriu o FakeGit: cerca de 7.600 repositórios GitHub maliciosos, mais de 800 deles se passando por skills de IA e servidores MCP, semeando um loader do Windows chamado SmartLoader que instala o infostealer StealC. O que torna a técnica nova é o AgentBaiting — Claude Code, Gemini e ChatGPT descobrem esses repositórios sozinhos, leem o README do atacante como documentação e entregam a você os passos de instalação. Em um teste, o Claude Code clonou um repositório e executou os arquivos sozinho. O Bromure Agentic Coding roda todo esse caminho, da recomendação à execução, dentro de uma VM Linux descartável, onde um loader do Windows fica inerte e as únicas credenciais para roubar são iscas.
Pesquisadores encontraram mais de mil “skills” maliciosas inundando o marketplace de onde um agente de código open source puxa recursos — infostealers, reverse shells e golpes de cripto, alguns escondendo um downloader atrás de 22 MB de enchimento de README. A razão de funcionarem é que uma skill não é uma dependência que você instala; é uma capacidade que você concede, e ela roda como você. O Bromure Agentic Coding roda o agente — e tudo o que ele carrega — dentro de uma VM descartável onde “como você” significa uma máquina descartável com chaves-isca.
Em 30 de junho, a Adversa AI divulgou o GuardFall — uma classe de contornos que faz passar truques de bash com décadas de idade direto pelos guardas de comando embutidos em 10 dos 11 agentes de código open source mais populares. A razão é simples e impossível de corrigir nessa camada: o guarda lê o texto, e o bash reescreve o texto antes de executá-lo. O Bromure Agentic Coding nunca apostou que o guarda leria o bash corretamente. Apostou que o comando não importa no momento em que é executado.
No início de julho, a Sysdig documentou o que chama de o primeiro ataque de ransomware conduzido de ponta a ponta por um agente de IA — reconhecimento, coleta de credenciais, movimento lateral e a exclusão de um banco de dados de produção, sem nenhum humano ao teclado. A parte interessante para quem opera um agente de código não é que um atacante usou um modelo. É que toda a cadeia começa varrendo o ambiente em busca de segredos. O Bromure Agentic Coding foi construído para um agente que faz exatamente isso.
Em 8 de julho de 2026 o npm lançou a sua maior mudança de segurança em dezasseis anos — scripts de instalação desativados por padrão. Em menos de uma semana, dois comprometimentos distintos do npm moveram a sua carga útil para disparar quando o pacote é importado em vez de quando é instalado, contornando diretamente o novo padrão e o --ignore-scripts. O mecanismo que o ecossistema acabara de passar um ano a aprender a vigiar já se tinha deslocado. A única coisa que não se moveu foi a idade da versão maliciosa — e é esse o sinal que a barreira de idade da Bromure verifica.
O Friendly Fire, do AI Now Institute, mostrou um agente de codificação, ao qual se pediu que revisasse uma biblioteca não confiável, lendo um README que recomendava um script de segurança, executando-o e comprometendo o host — sem prompt de aprovação, sem CVE no modelo. Os pesquisadores dizem que isso não pode ser corrigido no nível do modelo e que a única jogada real é não deixar que um agente que ingere código não confiável alcance suas chaves, segredos ou host. Isso é uma descrição de onde o Bromure Agentic Coding executa o agente.
A Sophos analisou uma semana de telemetria de endpoints e descobriu agentes de codificação de IA disparando as mesmas regras que pegam atacantes. Mais da metade da atividade bloqueada era acesso a credenciais — agentes descriptografando as senhas salvas do navegador, esvaziando o cofre de credenciais do Windows, encerrando processos do navegador para ler seus armazenamentos. O comportamento é arriscado não importa quem o inicie. Ele só alcança esses armazenamentos porque o agente roda na sua máquina, como você, com o seu alcance. Mova o agente um hipervisor de distância e não há nada no endpoint para ele alcançar.
O GhostApproval mostrou como um repositório hostil pode enganar seis assistentes de codificação com IA para que escrevam e leiam arquivos fora da pasta em que deveriam ficar: plantando chaves SSH, sequestrando a inicialização do shell e lendo credenciais de nuvem na própria máquina do desenvolvedor. O bug é um erro de resolução de symlink. O motivo de ele doer é que o agente roda em uma máquina cheia dos seus segredos. O Bromure Agentic Coding muda esse segundo fato.
O GitLost, da Noma Security, mostrou um estranho não autenticado abrindo uma issue pública no GitHub e fazendo o agente de IA do GitHub postar o conteúdo de um repositório privado de volta como comentário público. A injeção de prompt rendeu a manchete. O token do agente, com escopo sobre a organização inteira em vez da única issue que ele triava, definiu até onde o vazamento podia chegar. Essa lacuna entre o que a tarefa precisa e o que o ambiente guarda é a parte que vale levar para casa, e a parte que você pode projetar diferente quando hospeda o agente você mesmo.
O CVE-2026-21852 era um bug corrigido no Claude Code: um repositório podia definir ANTHROPIC_BASE_URL nas suas configurações de projeto, e o agente enviava sua própria chave de API da Anthropic, em texto puro, para o servidor do atacante antes de você responder 'confiar nesta pasta'. O ataque não rodou código algum e não leu nada do seu disco; ele mudou o endereço para o qual o agente remete sua única credencial indispensável. A Anthropic corrigiu o timing. O Bromure Agentic Coding mantém essa chave inteiramente fora do mundo do agente.
Rode dois agentes de codificação contra um mesmo repositório e eles colidem na mesma working tree. Os git worktrees resolvem isso com N checkouts independentes sobre um único histórico compartilhado. O Bromure Agentic Coding os transforma em um primitivo de um clique: digite o nome de uma tarefa e receba um branch isolado, um checkout isolado e um agente trabalhando nele, cada um em sua própria aba dentro de uma VM descartável.
Em 1º de julho de 2026, o Cato AI Labs divulgou o DuneSlide: duas falhas críticas no Cursor (CVE-2026-50548 e CVE-2026-50549, ambas CVSS 9.8) em que uma injeção de prompt que chega em um resultado de ferramenta MCP ou em um trecho de busca web dirige a ferramenta run_terminal_cmd e um fallback de symlink para sobrescrever o próprio helper de sandbox do Cursor. A guarda se cala por dentro, e o próximo comando roda como o desenvolvedor, com alcance a qualquer nuvem ou SaaS em que o editor esteja logado. Sem interação do usuário, corrigido no Cursor 3.0. Esta é uma história sobre onde uma fronteira pertence: no Bromure Agentic Coding a mesma fuga aterrissa dentro de uma VM descartável, o shell escapado encontra stubs no lugar dos tokens reais, e o PromptGuard pontua esse conteúdo não confiável no fio antes que o modelo aja sobre ele.
Um desenvolvedor rodando o Claude Code viu uma injeção de prompt chegar de carona na saída de um `find` em segundo plano, vestir a sua própria voz, e reescrever o plano do agente antes que ele tivesse digitado uma palavra. Nada quebrou — um arquivo referenciado por acaso não existia. Esse é o modo de falha que o Bromure Agentic Coding foi construído para fechar: a fronteira ausente entre o que você instruiu e o que o agente apenas leu.
Em 25 de junho de 2026, a 0DIN publicou uma prova de conceito em que um repositório GitHub de aparência normal não continha malware algum. O shell reverso vivia em um registro DNS TXT que o repositório consultava, a três passos de qualquer coisa que o Claude Code leu, e o agente o executou enquanto se recuperava de um erro de configuração rotineiro. O payload que seus scanners e sua revisão de código nunca veem é aquele que ninguém fez commit, e o que decide o desfecho é se o agente roda no seu laptop ou a um hipervisor de distância dele.
Em 26 de junho de 2026, a Wiz divulgou a CVE-2026-12957: o `.amazonq/mcp.json` de um repositório clonado fazia o Amazon Q iniciar automaticamente servidores MCP que herdavam todo o ambiente do desenvolvedor — chaves AWS, tokens de CLI de nuvem, segredos de API e sockets do agente SSH —, sem nenhuma etapa de consentimento separada para os próprios servidores. Um único clique em 'confiar neste workspace' substituía a criação de processos em segundo plano que carregavam sua sessão de nuvem ativa. A Amazon corrigiu isso no Language Servers 1.69.0. Eis por que a correção fecha um produto, mas não a classe, e o que muda quando o agente que abre o repositório vive em uma VM Bromure por perfil, atrás de um broker de credenciais, de uma proteção de leitura/escrita e de um rastreamento em nível de hipervisor.
Um kit chamado Bluekit não constrói mais uma tela de login falsa. Ele transmite a tela genuína a partir de um navegador que o atacante controla, captura sua sessão no momento em que você faz login e passa direto pelo MFA. Uma passkey o detém onde um olho mais afiado para falsificações não consegue, e é por isso que o Bromure permite que um perfil compartilhe apenas passkeys do seu Mac.
A Zscaler encontrou um backdoor chamado Edgecution que roda dentro de uma janela do Microsoft Edge que a vítima nunca abriu e, então, usa o Native Messaging — o canal legítimo que uma extensão usa para falar com um aplicativo de desktop — para executar comandos no host. A pergunta que vale a pena fazer é o que essa ponte até o host alcança quando o navegador vive numa VM descartável.
O OpenRouter publicou um resultado marcante: um painel de modelos, julgado e sintetizado, supera qualquer modelo de fronteira sozinho. Reimplementamos essa técnica do zero dentro do Bromure Agentic Coding — nada passa pelo OpenRouter. Como o produto já fica no fio entre o seu agente de codificação e as APIs dos modelos, a versão 3.0 coloca o nosso próprio Fusion bem ali. Acione o ⚡ na barra de título e até três modelos respondem a cada prompt de uma vez. Um juiz os reconcilia, um sintetizador escreve o resultado, e o Claude Code recebe de volta uma única resposta, como se um único modelo a tivesse escrito. Você traz as suas próprias chaves ou assinaturas, e o trace registra cada perna.
O Bromure roda dois classificadores no dispositivo sobre tudo o que o seu agente de programação lê. A injeção de prompt na saída de ferramentas e nas buscas web fica a cargo do Llama Prompt Guard 2, da Meta. Um CLAUDE.md hostil exige um modelo totalmente diferente — a detecção de injeção dispara em cada linha de um arquivo que foi feito para ser só instruções — então fizemos o ajuste fino do ModernBERT para classificar dano em vez disso. Esta é a pipeline completa: colheita de um corpus benigno, síntese de exemplos maliciosos, janelamento no nível de cláusula, o loop de treinamento e a exportação para ONNX, com detalhe suficiente para reproduzir.
Uma sandbox pede ao programador que abdique da velocidade que torna um agente de codificação digno de ser usado — pré-aprovar cada dependência, manter uma lista de domínios permitidos, nunca tocar num pacote que a organização não tenha avaliado. Por isso os programadores desligam-na. O Bromure Agentic Coding recusa essa troca. Não restringe o que o agente faz; traça uma única linha rígida no hypervisor e deixa-o fazer tudo do lado de dentro. Esta é a defesa fundacional de por que uma fronteira vence uma sandbox, e as três garantias que a fronteira torna verdadeiras: nenhuma credencial para roubar, tokens amplos estreitados no fio, e ataques à cadeia de fornecimento travados antes de o tarball aterrar — mais a quarta que a linha agora torna verdadeira: injeções de prompt apanhadas no conteúdo que o agente lê, antes de o modelo lhes obedecer.
Entre 5 e 6 de junho de 2026, o worm Miasma empurrou código de roubo de credenciais para 73 repositórios em quatro das próprias organizações GitHub da Microsoft — Azure, Azure-Samples, microsoft, MicrosoftDocs — incluindo Azure/functions-action, a Action oficial de deploy, e durabletask, um repositório que já havia sido limpo uma vez em maio. Desta vez o payload não esperou por um npm install. Ele disparou no instante em que um desenvolvedor abriu o repositório no Claude Code, Cursor, Gemini CLI ou VS Code. Eis por que o sinal de confiança — «é um repositório da Microsoft» — foi de novo a superfície de ataque, e o que muda quando o agente que o abre vive em uma VM Bromure por perfil, atrás de um intermediário de credenciais, de um guardrail de leitura/escrita e de um cooldown de pacotes.
No final de abril, um agente do Cursor a correr o Claude Opus 4.6 foi enviado para resolver um problema de staging num pequeno SaaS chamado PocketOS. Presumiu que apagar um volume do Railway ficaria limitado a staging, não verificou, e aniquilou a base de dados de produção e os seus backups em nove segundos. Disse depois que devia ter perguntado primeiro. O Bromure Agentic Coding 2.2 traz uma salvaguarda que tira o «devia ter perguntado» das mãos do agente.
Um zero-day no github.dev permitiu que um painel de pré-visualização malicioso saísse do seu sandbox, instalasse silenciosamente uma extensão e lesse um token OAuth do GitHub com acesso a cada repositório privado que a vítima conseguisse tocar. A correção é honesta quanto aos seus limites — a jogada mais afiada é nunca levar o seu token ao repositório de um estranho, para começar.
Entre o fim de maio e 1 de junho de 2026, um worm chamado Miasma empurrou código de roubo de credenciais para 32 pacotes sob o escopo npm @redhat-cloud-services — o namespace da própria Red Hat, ~117.000 downloads semanais, assinado pelo pipeline de publicação real da Red Hat. Não havia typosquat a pegar nem mantenedor desconhecido a sinalizar. O sinal de confiança era o nome do fornecedor no escopo, e o nome do fornecedor é exatamente aquilo em que o atacante entrou montado. Eis por que «prefira publicadores reputados» deixou de ser uma defesa, e o que muda quando o agente que roda a instalação vive em uma VM Bromure por perfil.
Uma nova campanha aluga a confiança de um domínio em que você já acredita. Um anúncio do Google envia você a um link de compartilhamento real do chatgpt.com, o link de compartilhamento mostra um aviso falso de indisponibilidade, e o aviso entrega malware. Eis como a confiança é tomada emprestada — e por que o empréstimo deixa de importar quando tudo acontece dentro de uma VM que você descarta.
O Google republicou acidentalmente na semana passada um bug do Chromium de quatro anos atrás — um service worker que continua executando JavaScript depois que o navegador fecha, em todo grande navegador Chromium, ainda sem correção. A prova de conceito já está circulando. A pergunta interessante não é como funciona. É o que “persistência” significa em um navegador cuja máquina subjacente inteira deixa de existir quando você fecha a aba.
Em 18 de maio de 2026, a Lasso Security divulgou dois ataques contra o NemoClaw da Nvidia — o sandbox que executa o agente de codificação autônomo OpenClaw. O sandbox funcionou exatamente como a Nvidia disse que funcionaria. O agente dentro do sandbox ainda assim empurrou o token GitHub do usuário para um pull request controlado pelo atacante, codificado como emoji para escapar do scanner estático de segredos do GitHub. A pergunta interessante não é se o sandbox está quebrado. É se um sandbox com um arquivo de credenciais em texto claro dentro dele algum dia foi um sandbox no sentido arquiteturalmente útil, e o que a resposta implica para todo mundo embarcando um agente de codificação em 2026.
Em algum momento da semana de 11 de maio de 2026, as pessoas por trás do Shai-Hulud — o verme autorreplicante de cadeia de suprimentos do npm que vem devorando contas de mantenedores desde setembro de 2025 — vazaram o próprio código-fonte. No fim de semana, a OX Security havia encontrado quatro pacotes npm de typosquat sob uma única conta, sendo um deles uma cópia quase literal do verme vazado, outro um bot de DDoS em Golang, e os outros dois infostealers simples enviando chaves SSH e carteiras de cripto para C2s de quinta categoria. O piso para bifurcar ataques de cadeia de suprimentos acaba de cair muito, e as pessoas com maior probabilidade de instalar um desses pacotes já não são humanas.
A Uber queimou todo o orçamento de codificação com IA de 2026 já em abril. O CTO voltou à prancheta — não porque as ferramentas fossem ruins, mas porque ninguém conseguia ligar um único dólar de gasto em tokens a uma única mudança entregue. Os agentes estão ótimos. O problema é a camada de visibilidade. Eis como isso parece e o que muda quando cada sessão de agente é um registro estruturado em vez de uma parede de scrollback.
Em 11 de maio de 2026, um worm do npm chamado Mini Shai-Hulud adicionou uma linha optionalDependencies a 42 pacotes no namespace @tanstack. Instalar qualquer um deles executou um script Bun que capturou um token OIDC do ambiente GitHub Actions, usou-o para publicar mais versões comprometidas com proveniência SLSA válida, copiou-se em .claude/ para a próxima vez que o agente de codificação iniciasse, e exfiltrou tudo de ~/.aws até sua carteira crypto. Os pacotes estavam assinados. A atestação era válida. Aqui está como a cadeia se parece, e o que muda quando o agente que executou a instalação vive dentro de uma VM Bromure por tarefa.
A 11 de maio de 2026, a Apple lançou o macOS Tahoe 26.5, com cerca de setenta correções de segurança, das quais dez no WebKit. Percorremos a lista do WebKit, uma classe de CVE de cada vez, e fazemos a única pergunta que interessa em 2026 — até onde chega de facto esta falha, numa máquina com o Bromure?
No dia 22 de abril, alguém subiu um pacote npm malicioso chamado @bitwarden/[email protected] — um typosquat que varreu chaves SSH, credenciais AWS/Azure/GCP, tokens do GitHub, tokens de publicação npm e kubeconfigs de qualquer máquina que o executasse. Aquilo de que o pacote foi feito para se alimentar é exatamente o que os agentes de programação modernos fazem sem pensar: instalar o que quer que o npm devolva. Eis o aspecto dessa cadeia, e o que muda quando o agente roda dentro de uma VM Bromure em vez de no seu laptop.
Uma nova gangue de extorsão chamada BlackFile vem ligando para funcionários do varejo e da hospitalidade, fingindo ser o IT, levando-os a digitar credenciais e OTPs em uma página falsa de login corporativo, e depois registrando o próprio dispositivo MFA na conta real. A ligação telefônica não é afetada por nada que um navegador faça. A página em que o usuário digita, é.
A violação da Vercel divulgada nesta semana começou com um funcionário da Context.ai baixando exploits do Roblox em um PC pessoal e terminou com um atacante lendo as variáveis de ambiente de clientes da Vercel. O Bromure Enterprise, lançado nesta semana, foi feito exatamente para essa cadeia.
O relatório de resposta a incidentes do primeiro trimestre de 2026 da Cisco Talos coloca o phishing de volta no topo como vetor de acesso inicial e, dentro dele, documenta o primeiro caso que a Talos atribui a um construtor de IA de "vibe-coding" — um clone do Outlook Web Access erguido num subdomínio `*.softr.app`, exfiltrando credenciais para uma planilha descartável do Google Sheets. A reputação de URL não consegue enxergar este ataque chegando. A resposta certa está mais embaixo na pilha.
Uma versão inicial do Claude Mythos ajudou a Mozilla a encontrar 271 bugs de segurança em uma única versão do Firefox. A reação certa não é pânico nem celebração — é uma recalibragem discreta do que ainda temos que supor sobre cada navegador que publicamos, usamos ou sobre o qual construímos.
Um CAPTCHA falso escreve uma linha de PowerShell na área de transferência. O usuário pressiona Win+R e cola. Sem escape de sandbox, sem zero-day, sem binário assinado necessário — o humano é o exploit. Eis o que entregamos hoje contra isso, onde ainda estão as lacunas e o que a Apple acertou e errou no macOS 26.4.
A Microsoft documentou uma cadeia de ransomware em nove etapas que começa com uma mensagem externa no Teams a fazer-se passar pelo helpdesk e termina com o Rclone a exfiltrar silenciosamente a partilha de rede. Oito dessas nove etapas precisam do sistema operativo anfitrião. Nenhuma delas consegue correr contra um separador.
Um único operador publicou 108 extensões maliciosas na Chrome Web Store sob cinco editoras falsas, acumulou cerca de 20 000 instalações e encaminhou tudo para um único servidor de comando e controlo. O modelo de revisão não detetou. Aqui está porque é que um navegador focado em segurança tem de assumir uma posição mais dura.
Um passo a passo do antiphishing do Bromure — a varredura local, o modelo, o veredicto e por que seus pais, seus avós e o vizinho do corredor são exatamente as pessoas para quem o construímos.
O LinkedIn sonda silenciosamente mais de 6.000 extensões de navegador, coleta 48 atributos de dispositivo e puxa seu IP de LAN via WebRTC a cada visita. A correção não é uma configuração de privacidade — é um formato diferente de navegador.
A web é hostil, os conselhos de segurança estão falhando e a IA mudou as regras. Veja por que criamos um navegador que tira esse peso dos seus ombros.
Apple e Google gastam hoje dezenas de milhões de dólares por ano para encontrar e corrigir bugs de navegador. Ainda assim, há de oito a dez zero-days de navegador ativamente explorados todos os anos. Este post explica por que essa conta não muda, como o Claude Mythos e a "Vulnpocalypse" estão prestes a piorar as coisas, e por que um navegador feito para assumir que será invadido é um produto de outra natureza.
A maioria dos bloqueadores de anúncios são extensões de navegador, e a maioria das extensões de navegador roda dentro do mesmo processo que a página da qual estão tentando te proteger. O Bromure faz diferente. Veja como, e por que isso importa.
A maioria dos ransomwares não começa com um zero-day. Começa com uma aba do navegador. Veja como a cadeia de ataque realmente funciona em 2026 — e o que acontece quando ela cai num navegador que foi feito para absorver o impacto.
O que uma VPN realmente faz, o que ela não faz, por que rodar uma por perfil dentro do Bromure muda a conversa sobre anonimato e um passeio por como o Cloudflare WARP funciona por baixo dos panos.