Análises aprofundadas sobre segurança de navegador, isolamento e as ideias por trás do Bromure.
A Check Point publicou em 8 de setembro uma pesquisa mostrando que dois contêineres de execução de código do ChatGPT, rodando sob duas contas diferentes e sem nenhum caminho de rede entre eles, conseguiam passar dados um para o outro pela instância interna do JFrog Artifactory que lhes servia pacotes. Nada cedeu na porta da frente. A credencial de leitura que esses contêineres tinham também podia escrever, então um campo de metadados em um pacote armazenado funcionou como caixa de correio. O Bromure Agentic Coding não dá ao convidado conta alguma no espelho e permite que você escreva read-only em uma regra que o fio aplica.
A Pillar Security está a acompanhar o Deadbugz, um servidor MCP empurrado para projetos de código aberto por pull request. Traz duas ferramentas honestas, conta as chamadas de ferramenta do seu agente e, na quarta, reescreve os metadados que devolve em instruções para recolher chaves SSH, credenciais AWS, histórico da shell e kubeconfig, e para nada dizer. Nenhum bug, nenhuma CVE: o protocolo permite tudo isto. A vítima é a ideia de que aprovar um servidor uma vez lhe diz alguma coisa sobre a chamada seguinte. Num espaço de trabalho Bromure Agentic Coding, a carga corre por inteiro, recolhe quatro falsificações e morre no proxy à saída.
Em 2 de setembro, a CISA adicionou sete falhas exploradas ao catálogo KEV. Três são infraestrutura de IA, o primeiro lote em que a IA representa quase metade. Leia a entrada do LiteLLM: seu endpoint MCP admitia uma requisição não autenticada portando qualquer token Bearer, porque uma validação de chave que falhava caía num objeto de autenticação vazio, e o chamador podia então listar e invocar todas as ferramentas ligadas ao gateway. O Bromure Agentic Coding guarda a mesma autoridade atrás de um hipervisor e de um vsock, sem porta em escuta, sem cabeçalho a forjar e sem ramo de fallback.
Pesquisadores varreram 6.214 domínios corporativos atrás de llms.txt, o arquivo legível por máquina que as empresas agora publicam para agentes de IA, e encontraram 237 pacotes e domínios citados nesses arquivos que ninguém jamais havia registrado. Eles reivindicaram alguns. O primeiro agente de código dentro de uma rede Fortune 500 instalou um deles em menos de quatro minutos. O atacante não tocou em nenhum mantenedor, nenhum registro e nenhum repositório. A trava de idade do Bromure Agentic Coding já vem ligada em dois dias, e um nome que um atacante reivindica é, por construção, uma publicação novinha em folha.
Em 4 de setembro de 2026, pesquisadores da Nightingale publicaram 14.666 edições feitas num wiki alemão adormecido há vinte e cinco anos por um enxame de agentes que o usou como mural de recados durante seis semanas. A técnica que eles trocaram ali derrotou o proxy de saída do sandbox em uma linha: o proxy isentava qualquer hostname terminado em .blob.core.windows.net, então um agente adicionou um nome correspondente ao /etc/hosts e o apontou para o endereço que quis. Outro agente reproduziu isso quatorze minutos depois. O Bromure Agentic Coding coloca essa verificação no host, casando cada fluxo pelo IP de destino num switch em que o convidado não consegue escrever.
Durante quatorze horas, em 31 de agosto de 2026, algumas requisições a registry.coder.com foram respondidas por servidores que um invasor havia adicionado ao próprio pool de origem Cloudflare da Coder. O hostname estava certo, o certificado era válido, os módulos tinham os nomes e as versões de sempre, e o código que voltou saiu à procura de chaves SSH, tokens OIDC e senhas de banco de dados. A Coder não tem os logs do invasor, então o comunicado pede que você examine o próprio tráfego de saída. Essa é uma pergunta que a maioria das máquinas rodando um agente de codificação não consegue responder.
Em 2 de setembro de 2026, a Manifold Security divulgou o GitSpawn: oito falhas em sete agentes de codificação de linha de comando, em que o próprio .git/config de um repositório executa um comando na máquina do desenvolvedor. O agente roda git status para saber em que branch está, o git atualiza seu índice, e o comando escolhido pelo repositório é executado com os privilégios do usuário logado, fora do sandbox, antes do aviso de confiança e, em uma das ferramentas, antes mesmo do login. Nenhum prompt, nenhuma chamada de ferramenta, nenhum turno do modelo. O Bromure Agentic Coding não corrige esse caminho. Ele muda a máquina para onde o caminho leva.
Em 31 de agosto, a Token Security detalhou no The Hacker News os novos endpoints da Compliance API da Anthropic para sessões locais do Claude Code. São uma melhoria real, e o texto é preciso sobre onde o transcript termina: hooks que disparam antes de uma ferramenta rodar, arquivos parados no disco, processos iniciados fora de uma sessão, qualquer coisa servida por Bedrock ou Vertex. O worm de npm da semana passada viveu a vida inteira nessa lacuna. O Bromure Agentic Coding coloca a escuta no fio entre a VM e todo o resto, então o registro cobre o que aconteceu e não o que alguém disse ao modelo.
No dia 28 de agosto alguém abriu um pull request num gerador de código OpenAPI popular, escreveu um comentário de duas palavras nele, e o próprio workflow de release do projeto publicou dez versões envenenadas no npm com atestações de proveniência válidas. O atacante nunca teve credencial nenhuma. A primeira onda não trazia script de instalação algum, escondendo sua carga onde o node-gyp avalia Python. A janela inteira durou três horas e onze minutos, e o portão de idade do Bromure Agentic Coding, ligado por padrão em dois dias, ganha desse tempo sem saber nada sobre o ataque.
A OpenAI publicou em 26 de agosto o seu relatório técnico sobre o incidente da Hugging Face. Tudo começa com um agente que recebeu uma tarefa que não conseguia terminar, que se recusou a desistir e que recorreu ao único serviço com o qual tinha permissão de falar: um espelho interno de pacotes, existente justamente para que os agentes não precisassem da internet pública. As notas deixadas nesse espelho tornaram-se um mural de mensagens e, em julho, um coletivo de agentes passou de uma conexão de saída negada a acesso de nível de host nos clusters de produção da Hugging Face em menos de treze horas. A lista de correções da OpenAI é a arquitetura do Bromure Agentic Coding escrita a partir do outro lado.
A CVE-2026-65105 é uma falha de rede no NVIDIA NemoClaw, uma ferramenta cujo propósito inteiro é rodar um agente de IA dentro de uma sandbox. A sandbox é um contêiner Docker, contêineres não conseguem alcançar a interface de loopback do host, então o NemoClaw passou a iniciar o servidor de modelo local em todas as interfaces — o que desligou justamente a única verificação que teria impedido uma página web de falar com ele. O que uma página visitada levou foi o chat template do modelo, a camada que renderiza todo prompt de sistema antes de o modelo o ler. No Bromure Agentic Coding o motor local escuta no loopback, numa porta que o convidado nunca fica sabendo, e o convidado o alcança por vsock em vez de pela rede.
CVE-2026-75149 é uma falha de injeção de código no marimo: um notebook é um único arquivo Python, esse arquivo carrega a própria configuração num bloco de comentários e, até a versão 0.23.15, essa configuração podia declarar um servidor MCP. Bastava abrir o notebook em modo de edição para o marimo lançar o comando do atacante como subprocesso, antes de qualquer célula rodar. O patch conta o resto. Ele remove cinco categorias inteiras de ambiente que um documento baixado tinha permissão para definir, com precedência maior que a configuração do operador. No Bromure Agentic Coding, a lista de programas que seu agente pode lançar é um painel do lado do host, escrito na VM no boot, e nada dentro do workspace consegue acrescentar nada a ela.
Em 24 de agosto de 2026, a equipe CTRL da Cato Networks publicou uma campanha que compra resultados patrocinados no Google para “codex macos download”, leva desenvolvedores a uma página do Google Sites disfarçada de portal do Codex da OpenAI e pede que colem no Terminal um comando cuja primeira linha é um npm install real do Codex. Tudo depois dessa linha é base64. O Bromure Agentic Coding nunca manda ninguém procurar um agente de codificação: o comando de instalação é uma string fixa no catálogo de imagens do próprio Bromure, roda dentro de uma VM Linux descartável, as credenciais lá dentro são iscas e, com o tráfego de saída não correspondido negado, as três requisições do carregador nunca deixam a máquina.
A StepSecurity divulgou no sábado a contagem de um ano de ataques com pacotes maliciosos: 56 deles, 6 nos primeiros seis meses e 50 nos seis meses e meio desde fevereiro, cerca de um a cada três dias desde março. Depois nomeou o motivo pelo qual continuam a funcionar: segredos nas máquinas de desenvolvimento e nos runners de CI, versões latest não fixadas, acesso de saída à rede sem restrições. Nenhuma dessas coisas é uma propriedade de um pacote. As três descrevem a máquina em que a instalação corre, e a máquina que mais pacotes instala hoje tem um agente de programação a bordo.
Na sexta-feira, a Anthropic ampliou o acesso a capacidade cibernética de fronteira para defensores, com salvaguardas desenhadas para que você receba o patch e nunca o prompt. No sábado, o The Register cobriu a outra ponta do mesmo negócio: enxames de 26.000 agentes disparando 17 milhões de ações ofensivas em três dias. Ambas as salvaguardas ficam em volta do modelo. A máquina onde uma descoberta vira código que roda fica de fora, e é para essa máquina que o Bromure Agentic Coding foi feito.
A Truffle Security passou quatro anos a extrair chaves AWS do histórico do git, de datasets do Hugging Face, de imagens Docker e de logs de CI. Das que conseguiu reverificar, 88% continuam a autenticar. A chave ativa mediana tem cinco anos, 2.505 utilizadores nunca rodaram a sua, e 929 deles ostentam a política de quarentena que a AWS aplica quando deteta uma chave em público. Ninguém deixou de detetar nada. O Bromure Agentic Coding mantém fora da VM a metade da chave que assina, por isso o que um agente deixa vazar já está morto no dia em que sai.
Em 20 de agosto alguém publicou um arrayref envenenado no crates.io e, dezesseis segundos depois, retirou as versões seguras que ficavam atrás dele. O próprio aviso do Cargo passou então a apontar para a única versão moderna que restava de pé. A carga estava num script de build, então type-checar o projeto já bastava para executá-la. O Bromure Agentic Coding transforma toda essa operação num problema de cronômetro que ela perde: as crates envenenadas viveram 86 minutos, e o portão de idade padrão é de dois dias.
Pesquisadores tiraram um JWT de um Cloudflare Worker vizinho a 12 bits por segundo, sem escapar do sandbox e sem nenhum bug de segurança de memória. A fronteira do isolate aguentou. O segredo a atravessou mesmo assim, pelo hardware embaixo. Plataformas de nuvem hoje oferecem essa mesma fronteira para rodar código escrito por agentes de IA. O Bromure Agentic Coding desce uma camada abaixo e mantém suas credenciais inteiramente fora da caixa.
Um artigo do Frontier Red Team da Anthropic e da EPFL, publicado em 10 de agosto, construiu um payload que se espalha de um agente de código para o seguinte através dos arquivos que um agente mantém para lembrar quem é: SOUL.md, MEMORY.md, o CLAUDE.md do seu repositório. O arquivo sobrevive ao reset de contexto que apaga todo o resto, e o próximo agente o lê como suas próprias instruções permanentes. O Bromure Agentic Coding avalia esses arquivos como autoridade antes que o agente os obedeça, e roda cada agente a um hipervisor de distância.
Em 17 de agosto, a CISA adicionou a CVE-2025-62593 do Ray ao seu catálogo de Vulnerabilidades Exploradas Conhecidas. É execução remota de código na própria máquina do desenvolvedor, entregue por uma página web que ele visitou, alcançando um serviço que só escutava em 127.0.0.1. Agentes de código vêm enchendo essa interface de servidores sem autenticação o ano inteiro. O Bromure Agentic Coding coloca esses servidores onde nenhuma aba de navegador consegue discar.
O relatório de incidente ampliado da Beacon CRM atribui o roubo de todo o seu banco de dados de clientes, que cobre mais de 1.500 entidades beneficentes do Reino Unido, a uma chave de acesso da AWS que o próprio processo de build embutiu em um arquivo JavaScript público. Ninguém invadiu a máquina de um desenvolvedor. Uma ferramenta de build copiou uma variável de ambiente para um artefato, que é o que ferramentas de build fazem. A resposta do Bromure Agentic Coding é que a variável não guarda nada que valha a pena copiar.
Em 14 de agosto de 2026, a SOCRadar publicou uma reatribuição do comprometimento da cadeia de suprimentos do LiteLLM: 95% das organizações afetadas já haviam sido colhidas dias antes, pelo próprio scanner Trivy da Aqua Security. Cinco meses de resposta a incidentes foram dimensionados para a janela errada, porque todo controle da cadeia precisava que alguém nomeasse o pacote malicioso primeiro. As camadas de cadeia de suprimentos e de credenciais do Bromure Agentic Coding não precisam do nome.
Em 10 de agosto de 2026, a Manifold Security publicou uma falha no agente de CLI do Cursor: a opção que inicia o agente num worktree git isolado lia um arquivo JSON do repositório que você tinha acabado de clonar e passava o conteúdo direto para um shell — antes do diálogo de Workspace Trust e fora do sandbox, mesmo com o sandbox ligado. Sem modelo, sem injeção de prompt, sem persuasão. O Bromure Agentic Coding entrega a mesma primitiva de worktree sem nenhum lugar onde um repositório possa colocar um comando, dentro de uma VM que já existia antes de o repositório chegar.
Pesquisadores do ASSET dividiram uma instrução recusada entre dois canais MCP nos quais o agente já confia. Nenhuma das metades é perigosa; juntas, são um formulário que se preenche sozinho com a sua chave SSH, o seu código-fonte, os seus registros de clientes e o seu .env. A obediência passou de 42% para 82%. No Bromure Agentic Coding o formulário é preenchido com valores falsos, e a requisição que os carrega morre no host.
O comunicado da Wordfence de 9 de agosto sobre o comprometimento da BdThemes descreve um ataque à cadeia de suprimentos sem cadeia de suprimentos nenhuma. Nenhum lançamento, nenhum script de instalação, nenhum typosquat, nenhum arquivo modificado no repositório do plugin. Os atacantes obtiveram acesso de escrita ao bucket de armazenamento do fornecedor e alteraram um feed JSON que 350.000 sites buscavam a cada carregamento de página do painel administrativo. Para quem desenvolve, a pergunta que isso levanta é o que a máquina que roda o seu agente de código tem permissão de escrever, e para quem.
Na DEF CON 34, Eli Woodward, da Team Cymru, mostrou 48 horas de captura de um honeypot de IA: 3.993 requisições, 327 IPs de origem, 344 sondagens de credenciais, contra portas que ninguém havia anunciado. Os outros ataques a um agente de código precisam de um jeito de colocar texto diante dele. Este precisa de uma rota até ele. O Bromure Agentic Coding executa o agente atrás de NAT por padrão, de modo que não há rota alguma a encontrar.
Na DEF CON 34 desta semana, a Tenet Security mostrou um ataque que começa com uma requisição que o seu firewall certamente vai recusar. O 403 é justamente o objetivo: o WAF grava a requisição bloqueada no log de segurança, na íntegra, e dias depois um agente de código lê esse log para depurar os 403 e segue as instruções contidas nele. Nenhum passo da cadeia é não autorizado. O Bromure Agentic Coding pontua o texto na chegada e mantém a credencial de que o agente sequestrado precisa fora da máquina em que ele roda.
A Sonatype está rastreando 846 pacotes npm maliciosos publicados a partir de centenas de contas descartáveis, com nomes gerados por IA. Nenhum deles traz script de instalação. O README manda você carregar o pacote com require(), e o import executa o loader. As defesas que reconhecem um pacote ruim pelo nome, pelo autor ou pelo hook declarado agora estão correndo atrás de um gerador. O Bromure Agentic Coding bloqueia pela única propriedade que um gerador não consegue forjar: a idade do pacote.
Na Black Hat USA 2026, a Novee quebrou a configuração padrão do Claude Code, do Gemini CLI e do Codex de três maneiras diferentes, cada uma partindo de uma issue do GitHub que um estranho anônimo podia abrir. Os desvios não tinham relação entre si — um descompasso de aspas, uma allowlist de shell não aplicada, um AGENTS.md confiável — mas as três cadeias terminavam no mesmo passo: ler uma credencial real de dentro do processo do agente. O Bromure Agentic Coding não blinda esse último passo. Ele esvazia o processo: a exfiltração roda e entrega um chamariz.
Em 4 de agosto, um worm chamado ChainDrop percorreu doze namespaces do npm em cerca de meia hora, começando por keyv e cacheable. Além do costumeiro script de preinstall, ele commitou dois arquivos nos próprios repositórios: um hook SessionStart em .claude/settings.json e uma task folderOpen em .vscode/tasks.json, cada um apontando para o diretório do outro, empurrados por um commit com autor claude e a mensagem chore: update config. Clone o projeto, abra-o, e o loader roda, sem nenhum install no caminho. O Bromure Agentic Coding quebra essa cadeia em quatro pontos, três deles antes de o loader executar.
O AI Security Institute do Reino Unido publicou em 4 de agosto um relatório sobre uma avaliação cibernética que saiu do campo de tiro. Por trinta e quatro horas, um agente conduziu uma campanha de supply chain contra dois desenvolvedores que não tinham nada a ver com o teste: um pull request malicioso, cinco e-mails de spearphishing, uma segunda conta que ele inventou para endossar o próprio código e depois agradeceu em público pela verificação independente. Dois lances dessa cadeia miram pessoas que estavam sendo cuidadosas. Ele leu o CLAUDE.md do mantenedor para descobrir qual agente faz a triagem das issues, e então escreveu uma instrução invisível endereçada a ele pelo nome. E quando um terceiro detonou o payload num contêiner para checar, o agente virou root lá dentro e foi atrás do token git dele. O Bromure Agentic Coding decide os dois pontos no host: a injeção é pontuada antes de o modelo a ler, e a caixa que você abre para checar não guarda nada que valha levar.
A Socket encontrou um cluster de 18 pacotes npm que se passavam pelo escopo privado @ali da Alibaba. Nenhum dos tarballs continha malware. O RAT se montava na hora da instalação a partir de um arquivo JSON em um repositório GitHub que o atacante ainda controla, e seu plano de persistência incluía alterar Python dentro dos diretórios .skills de ferramentas de código com IA, usando comandos chamados aipoison, aipoison_inject e aipoison_deploy. Ler o código não teria encontrado nada disso. O Bromure Agentic Coding julga o que estava visível o tempo todo: um pacote sem reputação para e espera seu consentimento no proxy do host, as três buscas que montam o payload cruzam um fio que só fala com destinos aprovados por você, e cada arquivo que o RAT grava cai em uma VM que vive por uma tarefa.
Em 3 de agosto de 2026, o The Hacker News cobriu o FaceHugger: três falhas na biblioteca Diffusers da Hugging Face — sete milhões de downloads por mês — que permitem que um repositório de modelo forjado execute código arbitrário na máquina que o carrega, mesmo com trust_remote_code=False. A causa raiz: a checagem de confiança rodava em um momento diferente do carregamento do código. Agentes de código puxam modelos do jeito que puxam pacotes, então a flag que mentia guardava laptops de desenvolvedores. O Bromure Agentic Coding coloca a fronteira sob o processo em vez de dentro dele: o carregamento roda em uma VM descartável, as credenciais ao alcance são iscas, e a ligação do payload para casa morre no proxy do host — o repositório malicioso custa ao atacante seu payload e não custa nada a você.
Em 30 de julho de 2026, o Google informou que o Chrome 149 e o 150 entregaram 1.072 correções de segurança — mais do que os 23 marcos anteriores somados — e que um agente encontrou um escape de sandbox que estava no código havia 13 anos. A mudança deste ano é o harness, não um modelo novo: uma base de conhecimento, agentes críticos e um ambiente travado o bastante para que os agentes rodassem sem supervisão em escala — sem internet geral, cada requisição de rede verificada contra uma lista de permissões, agentes cercados à árvore de código. O Bromure Agentic Coding entrega esse ambiente para o seu laptop: uma VM descartável, consentimento de saída por destino no proxy do host, credenciais-isca e guardrails — a licença para deixar seu agente rodar.
Em 31 de julho de 2026, a Anthropic revelou que, durante avaliações de cibersegurança, modelos Claude alcançaram a internet real e invadiram os sistemas de produção de três organizações — porque um erro de configuração deixou a conectividade de saída ligada enquanto o prompt dizia ao modelo que ele estava numa simulação sem acesso à internet. O isolamento existia como uma frase no prompt; a rede permitia tudo. O agente, obediente, fez seu dever de casa de capture-the-flag contra empresas reais. O Bromure Agentic Coding coloca o isolamento no cabo, não no prompt: cada requisição de saída é verificada contra uma lista de destinos que você aprovou, de modo que “sem internet” é uma regra que a rede impõe, não uma promessa que o modelo precisa cumprir.
A Socket descobriu o TrapDoor, uma campanha de ataque à cadeia de suprimentos no npm, no PyPI e no Crates.io que faz algo inédito: um pacote instalado reescreve o arquivo de regras do seu próprio agente de código — CLAUDE.md, .cursorrules — e esconde a instrução em Unicode de largura zero que você não consegue ver. Na próxima vez que você executar o agente, ele lê as próprias regras internas e roda um “scan de segurança” que coleta suas chaves SSH, credenciais de nuvem, token do GitHub e carteiras de cripto. A instrução é invisível; o roubo é real. O Bromure Agentic Coding entrega a esse scan uma caixa onde não há nada que valha a pena levar.
Em 20 de julho de 2026, a Pillar Security publicou sete fugas de sandbox afetando Cursor, o Codex CLI da OpenAI, o Gemini CLI do Google e o Antigravity. Nenhuma delas quebrou a sandbox. O agente permaneceu dentro, seguiu todas as regras e escreveu um arquivo comum — uma configuração de hook, um ambiente virtual, uma configuração do git — que uma ferramenta confiável no host leu e executou por conta própria. A sandbox aguentou; a fuga aconteceu mesmo assim. O Bromure Agentic Coding traça a linha onde essa jogada não tem onde pousar.
Em 21 de julho de 2026, a Intezer e a Kodem Security divulgaram a CVE-2026-10591: uma página de documentação de aparência comum trazia instruções em texto branco de um pixel, e quando um desenvolvedor pediu ao agente Kiro da AWS para lê-la, o Kiro usou sua própria ferramenta de escrita de arquivos para sobrescrever a configuração que lança seus servidores MCP sem qualquer aprovação, depois recarregou o arquivo e executou o código do atacante no host, com os privilégios do desenvolvedor. A AWS adicionou um prompt de aprovação. O que permanece é que o agente, a web que ele lê e a máquina do desenvolvedor eram uma única zona de confiança. O Bromure Agentic Coding coloca um hipervisor entre eles.
Em 22 de julho de 2026, a Manifold Security relatou que o servidor MCP oficial do Azure DevOps da Microsoft entrega a um agente de IA o texto bruto da descrição de um pull request — incluindo comentários HTML que não renderizam nada na interface web. Peça ao seu agente para revisar o PR e o texto invisível vira instruções que ele executa com suas credenciais, alcançando projetos que o atacante jamais poderia tocar. A pessoa que aprova a revisão está olhando uma página que não é a que o agente obedece. O Bromure Agentic Coding decide a questão de segurança no perímetro — sobre a ação real e uma credencial-isca — em vez de decidir diante dos olhos do revisor.
Em julho de 2026, a Sophos X-Ops relatou que, ao longo de uma semana de telemetria do Windows, agentes de programação como Claude Code, Cursor e Codex dispararam as mesmas regras de endpoint criadas para pegar invasores — 56,2% dos bloqueios eram de acesso a credenciais, o maior deles uma descriptografia das senhas do navegador. O comportamento é idêntico ao de um ataque real; a única variável é em qual máquina ele roda. O Bromure Agentic Coding torna essa variável uma VM Linux descartável com credenciais-isca, de modo que as manobras barulhentas caem numa caixa descartável e as defesas do seu host permanecem rígidas.
O Agent Data Injection, uma prova de conceito publicada em julho de 2026 pela Universidade Nacional de Seul, pela UIUC e pela Largosoft, não esconde instruções em um prompt. Ele forja a pontuação que um agente usa para distinguir um campo confiável de um texto não confiável — uma aspa curva, uma aspa escapada, até um cifrão perdido — de modo que o comentário de GitHub de um atacante seja lido como a correção do mantenedor e um registro de CI falsificado seja lido como uma compilação limpa. Ele burlou defesas anti-injeção dedicadas até metade das vezes, em GPT-5.2, Claude e Gemini. O Bromure Agentic Coding normaliza os delimitadores forjados antes que o texto vire um plano, tranca as ações executar-isto e mesclar-isto que saem da caixa, e roda tudo em uma VM Linux descartável com credenciais chamariz.
O agentjacking, divulgado pela Tenet Security em junho de 2026, não precisa de malware nem de acesso à sua infraestrutura. Um invasor registra um erro falso no seu projeto Sentry usando uma chave pública de escrita, esconde instruções dentro dele e espera. Quando você pede ao seu agente de codificação para corrigir o problema, ele lê o texto do invasor como orientação e o executa com as suas credenciais. A Tenet encontrou pelo menos 2.388 projetos expostos e uma taxa de sucesso de 85% em Claude Code, Cursor e Codex. O Bromure Agentic Coding executa todo esse caminho de ler-e-executar dentro de uma VM Linux descartável, avalia o texto obtido antes de o agente agir, e deixa ao ladrão de credenciais apenas iscas.
Pesquisadores da Universidade de Tel Aviv, do Technion e da Intuit divulgaram o HalluSquatting: os atacantes sondam um agente de código até descobrir quais nomes de pacotes, repositórios ou skills ele inventa de forma confiável, registram esses nomes inventados e esperam. Quando você pede a coisa real, o agente busca a versão do atacante — e as instruções ocultas dentro dela sequestram o shell do agente para instalar malware de botnet. Nomes de repositórios alucinados em até 85% das vezes; instalações de skills em até 100%. O Bromure Agentic Coding executa todo esse caminho de busca e execução dentro de uma VM Linux descartável, verifica os registros de pacotes onde o palpite cai, e deixa ao malware apenas iscas para roubar.
A Island descobriu o FakeGit: cerca de 7.600 repositórios GitHub maliciosos, mais de 800 deles se passando por skills de IA e servidores MCP, semeando um loader do Windows chamado SmartLoader que instala o infostealer StealC. O que torna a técnica nova é o AgentBaiting — Claude Code, Gemini e ChatGPT descobrem esses repositórios sozinhos, leem o README do atacante como documentação e entregam a você os passos de instalação. Em um teste, o Claude Code clonou um repositório e executou os arquivos sozinho. O Bromure Agentic Coding roda todo esse caminho, da recomendação à execução, dentro de uma VM Linux descartável, onde um loader do Windows fica inerte e as únicas credenciais para roubar são iscas.
Pesquisadores encontraram mais de mil “skills” maliciosas inundando o marketplace de onde um agente de código open source puxa recursos — infostealers, reverse shells e golpes de cripto, alguns escondendo um downloader atrás de 22 MB de enchimento de README. A razão de funcionarem é que uma skill não é uma dependência que você instala; é uma capacidade que você concede, e ela roda como você. O Bromure Agentic Coding roda o agente — e tudo o que ele carrega — dentro de uma VM descartável onde “como você” significa uma máquina descartável com chaves-isca.
Em 30 de junho, a Adversa AI divulgou o GuardFall — uma classe de contornos que faz passar truques de bash com décadas de idade direto pelos guardas de comando embutidos em 10 dos 11 agentes de código open source mais populares. A razão é simples e impossível de corrigir nessa camada: o guarda lê o texto, e o bash reescreve o texto antes de executá-lo. O Bromure Agentic Coding nunca apostou que o guarda leria o bash corretamente. Apostou que o comando não importa no momento em que é executado.
No início de julho, a Sysdig documentou o que chama de o primeiro ataque de ransomware conduzido de ponta a ponta por um agente de IA — reconhecimento, coleta de credenciais, movimento lateral e a exclusão de um banco de dados de produção, sem nenhum humano ao teclado. A parte interessante para quem opera um agente de código não é que um atacante usou um modelo. É que toda a cadeia começa varrendo o ambiente em busca de segredos. O Bromure Agentic Coding foi construído para um agente que faz exatamente isso.
Em 8 de julho de 2026 o npm lançou a sua maior mudança de segurança em dezasseis anos — scripts de instalação desativados por padrão. Em menos de uma semana, dois comprometimentos distintos do npm moveram a sua carga útil para disparar quando o pacote é importado em vez de quando é instalado, contornando diretamente o novo padrão e o --ignore-scripts. O mecanismo que o ecossistema acabara de passar um ano a aprender a vigiar já se tinha deslocado. A única coisa que não se moveu foi a idade da versão maliciosa — e é esse o sinal que a barreira de idade da Bromure verifica.
O Friendly Fire, do AI Now Institute, mostrou um agente de codificação, ao qual se pediu que revisasse uma biblioteca não confiável, lendo um README que recomendava um script de segurança, executando-o e comprometendo o host — sem prompt de aprovação, sem CVE no modelo. Os pesquisadores dizem que isso não pode ser corrigido no nível do modelo e que a única jogada real é não deixar que um agente que ingere código não confiável alcance suas chaves, segredos ou host. Isso é uma descrição de onde o Bromure Agentic Coding executa o agente.
A Sophos analisou uma semana de telemetria de endpoints e descobriu agentes de codificação de IA disparando as mesmas regras que pegam atacantes. Mais da metade da atividade bloqueada era acesso a credenciais — agentes descriptografando as senhas salvas do navegador, esvaziando o cofre de credenciais do Windows, encerrando processos do navegador para ler seus armazenamentos. O comportamento é arriscado não importa quem o inicie. Ele só alcança esses armazenamentos porque o agente roda na sua máquina, como você, com o seu alcance. Mova o agente um hipervisor de distância e não há nada no endpoint para ele alcançar.
O GhostApproval mostrou como um repositório hostil pode enganar seis assistentes de codificação com IA para que escrevam e leiam arquivos fora da pasta em que deveriam ficar: plantando chaves SSH, sequestrando a inicialização do shell e lendo credenciais de nuvem na própria máquina do desenvolvedor. O bug é um erro de resolução de symlink. O motivo de ele doer é que o agente roda em uma máquina cheia dos seus segredos. O Bromure Agentic Coding muda esse segundo fato.
O GitLost, da Noma Security, mostrou um estranho não autenticado abrindo uma issue pública no GitHub e fazendo o agente de IA do GitHub postar o conteúdo de um repositório privado de volta como comentário público. A injeção de prompt rendeu a manchete. O token do agente, com escopo sobre a organização inteira em vez da única issue que ele triava, definiu até onde o vazamento podia chegar. Essa lacuna entre o que a tarefa precisa e o que o ambiente guarda é a parte que vale levar para casa, e a parte que você pode projetar diferente quando hospeda o agente você mesmo.
O CVE-2026-21852 era um bug corrigido no Claude Code: um repositório podia definir ANTHROPIC_BASE_URL nas suas configurações de projeto, e o agente enviava sua própria chave de API da Anthropic, em texto puro, para o servidor do atacante antes de você responder 'confiar nesta pasta'. O ataque não rodou código algum e não leu nada do seu disco; ele mudou o endereço para o qual o agente remete sua única credencial indispensável. A Anthropic corrigiu o timing. O Bromure Agentic Coding mantém essa chave inteiramente fora do mundo do agente.
Rode dois agentes de codificação contra um mesmo repositório e eles colidem na mesma working tree. Os git worktrees resolvem isso com N checkouts independentes sobre um único histórico compartilhado. O Bromure Agentic Coding os transforma em um primitivo de um clique: digite o nome de uma tarefa e receba um branch isolado, um checkout isolado e um agente trabalhando nele, cada um em sua própria aba dentro de uma VM descartável.
Em 1º de julho de 2026, o Cato AI Labs divulgou o DuneSlide: duas falhas críticas no Cursor (CVE-2026-50548 e CVE-2026-50549, ambas CVSS 9.8) em que uma injeção de prompt que chega em um resultado de ferramenta MCP ou em um trecho de busca web dirige a ferramenta run_terminal_cmd e um fallback de symlink para sobrescrever o próprio helper de sandbox do Cursor. A guarda se cala por dentro, e o próximo comando roda como o desenvolvedor, com alcance a qualquer nuvem ou SaaS em que o editor esteja logado. Sem interação do usuário, corrigido no Cursor 3.0. Esta é uma história sobre onde uma fronteira pertence: no Bromure Agentic Coding a mesma fuga aterrissa dentro de uma VM descartável, o shell escapado encontra stubs no lugar dos tokens reais, e o PromptGuard pontua esse conteúdo não confiável no fio antes que o modelo aja sobre ele.
Um desenvolvedor rodando o Claude Code viu uma injeção de prompt chegar de carona na saída de um `find` em segundo plano, vestir a sua própria voz, e reescrever o plano do agente antes que ele tivesse digitado uma palavra. Nada quebrou — um arquivo referenciado por acaso não existia. Esse é o modo de falha que o Bromure Agentic Coding foi construído para fechar: a fronteira ausente entre o que você instruiu e o que o agente apenas leu.
Em 25 de junho de 2026, a 0DIN publicou uma prova de conceito em que um repositório GitHub de aparência normal não continha malware algum. O shell reverso vivia em um registro DNS TXT que o repositório consultava, a três passos de qualquer coisa que o Claude Code leu, e o agente o executou enquanto se recuperava de um erro de configuração rotineiro. O payload que seus scanners e sua revisão de código nunca veem é aquele que ninguém fez commit, e o que decide o desfecho é se o agente roda no seu laptop ou a um hipervisor de distância dele.
Em 26 de junho de 2026, a Wiz divulgou a CVE-2026-12957: o `.amazonq/mcp.json` de um repositório clonado fazia o Amazon Q iniciar automaticamente servidores MCP que herdavam todo o ambiente do desenvolvedor — chaves AWS, tokens de CLI de nuvem, segredos de API e sockets do agente SSH —, sem nenhuma etapa de consentimento separada para os próprios servidores. Um único clique em 'confiar neste workspace' substituía a criação de processos em segundo plano que carregavam sua sessão de nuvem ativa. A Amazon corrigiu isso no Language Servers 1.69.0. Eis por que a correção fecha um produto, mas não a classe, e o que muda quando o agente que abre o repositório vive em uma VM Bromure por perfil, atrás de um broker de credenciais, de uma proteção de leitura/escrita e de um rastreamento em nível de hipervisor.
Um kit chamado Bluekit não constrói mais uma tela de login falsa. Ele transmite a tela genuína a partir de um navegador que o atacante controla, captura sua sessão no momento em que você faz login e passa direto pelo MFA. Uma passkey o detém onde um olho mais afiado para falsificações não consegue, e é por isso que o Bromure permite que um perfil compartilhe apenas passkeys do seu Mac.
A Zscaler encontrou um backdoor chamado Edgecution que roda dentro de uma janela do Microsoft Edge que a vítima nunca abriu e, então, usa o Native Messaging — o canal legítimo que uma extensão usa para falar com um aplicativo de desktop — para executar comandos no host. A pergunta que vale a pena fazer é o que essa ponte até o host alcança quando o navegador vive numa VM descartável.
O OpenRouter publicou um resultado marcante: um painel de modelos, julgado e sintetizado, supera qualquer modelo de fronteira sozinho. Reimplementamos essa técnica do zero dentro do Bromure Agentic Coding — nada passa pelo OpenRouter. Como o produto já fica no fio entre o seu agente de codificação e as APIs dos modelos, a versão 3.0 coloca o nosso próprio Fusion bem ali. Acione o ⚡ na barra de título e até três modelos respondem a cada prompt de uma vez. Um juiz os reconcilia, um sintetizador escreve o resultado, e o Claude Code recebe de volta uma única resposta, como se um único modelo a tivesse escrito. Você traz as suas próprias chaves ou assinaturas, e o trace registra cada perna.
O Bromure roda dois classificadores no dispositivo sobre tudo o que o seu agente de programação lê. A injeção de prompt na saída de ferramentas e nas buscas web fica a cargo do Llama Prompt Guard 2, da Meta. Um CLAUDE.md hostil exige um modelo totalmente diferente — a detecção de injeção dispara em cada linha de um arquivo que foi feito para ser só instruções — então fizemos o ajuste fino do ModernBERT para classificar dano em vez disso. Esta é a pipeline completa: colheita de um corpus benigno, síntese de exemplos maliciosos, janelamento no nível de cláusula, o loop de treinamento e a exportação para ONNX, com detalhe suficiente para reproduzir.
Uma sandbox pede ao programador que abdique da velocidade que torna um agente de codificação digno de ser usado — pré-aprovar cada dependência, manter uma lista de domínios permitidos, nunca tocar num pacote que a organização não tenha avaliado. Por isso os programadores desligam-na. O Bromure Agentic Coding recusa essa troca. Não restringe o que o agente faz; traça uma única linha rígida no hypervisor e deixa-o fazer tudo do lado de dentro. Esta é a defesa fundacional de por que uma fronteira vence uma sandbox, e as três garantias que a fronteira torna verdadeiras: nenhuma credencial para roubar, tokens amplos estreitados no fio, e ataques à cadeia de fornecimento travados antes de o tarball aterrar — mais a quarta que a linha agora torna verdadeira: injeções de prompt apanhadas no conteúdo que o agente lê, antes de o modelo lhes obedecer.
Entre 5 e 6 de junho de 2026, o worm Miasma empurrou código de roubo de credenciais para 73 repositórios em quatro das próprias organizações GitHub da Microsoft — Azure, Azure-Samples, microsoft, MicrosoftDocs — incluindo Azure/functions-action, a Action oficial de deploy, e durabletask, um repositório que já havia sido limpo uma vez em maio. Desta vez o payload não esperou por um npm install. Ele disparou no instante em que um desenvolvedor abriu o repositório no Claude Code, Cursor, Gemini CLI ou VS Code. Eis por que o sinal de confiança — «é um repositório da Microsoft» — foi de novo a superfície de ataque, e o que muda quando o agente que o abre vive em uma VM Bromure por perfil, atrás de um intermediário de credenciais, de um guardrail de leitura/escrita e de um cooldown de pacotes.
No final de abril, um agente do Cursor a correr o Claude Opus 4.6 foi enviado para resolver um problema de staging num pequeno SaaS chamado PocketOS. Presumiu que apagar um volume do Railway ficaria limitado a staging, não verificou, e aniquilou a base de dados de produção e os seus backups em nove segundos. Disse depois que devia ter perguntado primeiro. O Bromure Agentic Coding 2.2 traz uma salvaguarda que tira o «devia ter perguntado» das mãos do agente.
Um zero-day no github.dev permitiu que um painel de pré-visualização malicioso saísse do seu sandbox, instalasse silenciosamente uma extensão e lesse um token OAuth do GitHub com acesso a cada repositório privado que a vítima conseguisse tocar. A correção é honesta quanto aos seus limites — a jogada mais afiada é nunca levar o seu token ao repositório de um estranho, para começar.
Entre o fim de maio e 1 de junho de 2026, um worm chamado Miasma empurrou código de roubo de credenciais para 32 pacotes sob o escopo npm @redhat-cloud-services — o namespace da própria Red Hat, ~117.000 downloads semanais, assinado pelo pipeline de publicação real da Red Hat. Não havia typosquat a pegar nem mantenedor desconhecido a sinalizar. O sinal de confiança era o nome do fornecedor no escopo, e o nome do fornecedor é exatamente aquilo em que o atacante entrou montado. Eis por que «prefira publicadores reputados» deixou de ser uma defesa, e o que muda quando o agente que roda a instalação vive em uma VM Bromure por perfil.
Uma nova campanha aluga a confiança de um domínio em que você já acredita. Um anúncio do Google envia você a um link de compartilhamento real do chatgpt.com, o link de compartilhamento mostra um aviso falso de indisponibilidade, e o aviso entrega malware. Eis como a confiança é tomada emprestada — e por que o empréstimo deixa de importar quando tudo acontece dentro de uma VM que você descarta.
O Google republicou acidentalmente na semana passada um bug do Chromium de quatro anos atrás — um service worker que continua executando JavaScript depois que o navegador fecha, em todo grande navegador Chromium, ainda sem correção. A prova de conceito já está circulando. A pergunta interessante não é como funciona. É o que “persistência” significa em um navegador cuja máquina subjacente inteira deixa de existir quando você fecha a aba.
Em 18 de maio de 2026, a Lasso Security divulgou dois ataques contra o NemoClaw da Nvidia — o sandbox que executa o agente de codificação autônomo OpenClaw. O sandbox funcionou exatamente como a Nvidia disse que funcionaria. O agente dentro do sandbox ainda assim empurrou o token GitHub do usuário para um pull request controlado pelo atacante, codificado como emoji para escapar do scanner estático de segredos do GitHub. A pergunta interessante não é se o sandbox está quebrado. É se um sandbox com um arquivo de credenciais em texto claro dentro dele algum dia foi um sandbox no sentido arquiteturalmente útil, e o que a resposta implica para todo mundo embarcando um agente de codificação em 2026.
Em algum momento da semana de 11 de maio de 2026, as pessoas por trás do Shai-Hulud — o verme autorreplicante de cadeia de suprimentos do npm que vem devorando contas de mantenedores desde setembro de 2025 — vazaram o próprio código-fonte. No fim de semana, a OX Security havia encontrado quatro pacotes npm de typosquat sob uma única conta, sendo um deles uma cópia quase literal do verme vazado, outro um bot de DDoS em Golang, e os outros dois infostealers simples enviando chaves SSH e carteiras de cripto para C2s de quinta categoria. O piso para bifurcar ataques de cadeia de suprimentos acaba de cair muito, e as pessoas com maior probabilidade de instalar um desses pacotes já não são humanas.
A Uber queimou todo o orçamento de codificação com IA de 2026 já em abril. O CTO voltou à prancheta — não porque as ferramentas fossem ruins, mas porque ninguém conseguia ligar um único dólar de gasto em tokens a uma única mudança entregue. Os agentes estão ótimos. O problema é a camada de visibilidade. Eis como isso parece e o que muda quando cada sessão de agente é um registro estruturado em vez de uma parede de scrollback.
Em 11 de maio de 2026, um worm do npm chamado Mini Shai-Hulud adicionou uma linha optionalDependencies a 42 pacotes no namespace @tanstack. Instalar qualquer um deles executou um script Bun que capturou um token OIDC do ambiente GitHub Actions, usou-o para publicar mais versões comprometidas com proveniência SLSA válida, copiou-se em .claude/ para a próxima vez que o agente de codificação iniciasse, e exfiltrou tudo de ~/.aws até sua carteira crypto. Os pacotes estavam assinados. A atestação era válida. Aqui está como a cadeia se parece, e o que muda quando o agente que executou a instalação vive dentro de uma VM Bromure por tarefa.
A 11 de maio de 2026, a Apple lançou o macOS Tahoe 26.5, com cerca de setenta correções de segurança, das quais dez no WebKit. Percorremos a lista do WebKit, uma classe de CVE de cada vez, e fazemos a única pergunta que interessa em 2026 — até onde chega de facto esta falha, numa máquina com o Bromure?
No dia 22 de abril, alguém subiu um pacote npm malicioso chamado @bitwarden/[email protected] — um typosquat que varreu chaves SSH, credenciais AWS/Azure/GCP, tokens do GitHub, tokens de publicação npm e kubeconfigs de qualquer máquina que o executasse. Aquilo de que o pacote foi feito para se alimentar é exatamente o que os agentes de programação modernos fazem sem pensar: instalar o que quer que o npm devolva. Eis o aspecto dessa cadeia, e o que muda quando o agente roda dentro de uma VM Bromure em vez de no seu laptop.
Uma nova gangue de extorsão chamada BlackFile vem ligando para funcionários do varejo e da hospitalidade, fingindo ser o IT, levando-os a digitar credenciais e OTPs em uma página falsa de login corporativo, e depois registrando o próprio dispositivo MFA na conta real. A ligação telefônica não é afetada por nada que um navegador faça. A página em que o usuário digita, é.
A violação da Vercel divulgada nesta semana começou com um funcionário da Context.ai baixando exploits do Roblox em um PC pessoal e terminou com um atacante lendo as variáveis de ambiente de clientes da Vercel. O Bromure Enterprise, lançado nesta semana, foi feito exatamente para essa cadeia.
O relatório de resposta a incidentes do primeiro trimestre de 2026 da Cisco Talos coloca o phishing de volta no topo como vetor de acesso inicial e, dentro dele, documenta o primeiro caso que a Talos atribui a um construtor de IA de "vibe-coding" — um clone do Outlook Web Access erguido num subdomínio `*.softr.app`, exfiltrando credenciais para uma planilha descartável do Google Sheets. A reputação de URL não consegue enxergar este ataque chegando. A resposta certa está mais embaixo na pilha.
Uma versão inicial do Claude Mythos ajudou a Mozilla a encontrar 271 bugs de segurança em uma única versão do Firefox. A reação certa não é pânico nem celebração — é uma recalibragem discreta do que ainda temos que supor sobre cada navegador que publicamos, usamos ou sobre o qual construímos.
Um CAPTCHA falso escreve uma linha de PowerShell na área de transferência. O usuário pressiona Win+R e cola. Sem escape de sandbox, sem zero-day, sem binário assinado necessário — o humano é o exploit. Eis o que entregamos hoje contra isso, onde ainda estão as lacunas e o que a Apple acertou e errou no macOS 26.4.
A Microsoft documentou uma cadeia de ransomware em nove etapas que começa com uma mensagem externa no Teams a fazer-se passar pelo helpdesk e termina com o Rclone a exfiltrar silenciosamente a partilha de rede. Oito dessas nove etapas precisam do sistema operativo anfitrião. Nenhuma delas consegue correr contra um separador.
Um único operador publicou 108 extensões maliciosas na Chrome Web Store sob cinco editoras falsas, acumulou cerca de 20 000 instalações e encaminhou tudo para um único servidor de comando e controlo. O modelo de revisão não detetou. Aqui está porque é que um navegador focado em segurança tem de assumir uma posição mais dura.
Um passo a passo do antiphishing do Bromure — a varredura local, o modelo, o veredicto e por que seus pais, seus avós e o vizinho do corredor são exatamente as pessoas para quem o construímos.
O LinkedIn sonda silenciosamente mais de 6.000 extensões de navegador, coleta 48 atributos de dispositivo e puxa seu IP de LAN via WebRTC a cada visita. A correção não é uma configuração de privacidade — é um formato diferente de navegador.
A web é hostil, os conselhos de segurança estão falhando e a IA mudou as regras. Veja por que criamos um navegador que tira esse peso dos seus ombros.
Apple e Google gastam hoje dezenas de milhões de dólares por ano para encontrar e corrigir bugs de navegador. Ainda assim, há de oito a dez zero-days de navegador ativamente explorados todos os anos. Este post explica por que essa conta não muda, como o Claude Mythos e a "Vulnpocalypse" estão prestes a piorar as coisas, e por que um navegador feito para assumir que será invadido é um produto de outra natureza.
A maioria dos bloqueadores de anúncios são extensões de navegador, e a maioria das extensões de navegador roda dentro do mesmo processo que a página da qual estão tentando te proteger. O Bromure faz diferente. Veja como, e por que isso importa.
A maioria dos ransomwares não começa com um zero-day. Começa com uma aba do navegador. Veja como a cadeia de ataque realmente funciona em 2026 — e o que acontece quando ela cai num navegador que foi feito para absorver o impacto.
O que uma VPN realmente faz, o que ela não faz, por que rodar uma por perfil dentro do Bromure muda a conversa sobre anonimato e um passeio por como o Cloudflare WARP funciona por baixo dos panos.