A Mandiant afirma que um atacante sequestrou uma sessão ativa de um assistente de codificação com inteligência artificial (IA) em um provedor de software como serviço (SaaS, na sigla em inglês) não identificado e, posteriormente, espalhou o worm Shai-Hulud em cerca de 100 repositórios internos de código.
Antes da propagação nos repositórios, o assistente recomendou um software que o atacante havia contaminado, e a recomendação foi aceita. O worm roubou segredos dos repositórios e o código-fonte dos produtos da empresa.
O caso aparece no relatório da Mandiant de setembro de 2026. O estudo de caso público não informa quando a intrusão aconteceu nem como o atacante assumiu o controle da sessão ativa do assistente de codificação.
Como o ataque se desenrolou
Após a aceitação da recomendação, o atacante utilizou a sessão ativa do desenvolvedor para instalar um ladrão de informações (infostealer) por meio de um pacote contaminado no PyPI (Índice de Pacotes do Python). O atacante também roubou tokens do GitHub (credenciais de autenticação OAuth).
Em seguida, o atacante implantou o worm autopropagável Shai-Hulud em aproximadamente 100 repositórios internos de código.
O atacante também contaminou um pacote no espaço de nomes oficial da empresa. Outro funcionário baixou a versão comprometida, causando uma segunda infecção.
A Mandiant já havia documentado atacantes utilizando IA em ataques reais. Em um relatório de março de 2026, a empresa afirmou que os atacantes passaram, ao longo de 2025, de usar IA generativa principalmente para acelerar o trabalho para utilizar grandes modelos de linguagem em malwares e ataques ativos.
Como os defensores podem proteger o desenvolvimento assistido por IA
Para este caso, a Mandiant recomenda três controles para o desenvolvimento assistido por IA:
- Verificar dependências de terceiros recomendadas por IA confrontando-as com checksums criptográficos (somas de verificação) e listas de permissão aprovadas.
- Manter chaves brutas de API (Interface de Programação de Aplicações), tokens OAuth de longa duração e outros segredos fora do alcance direto de extensões.
- Direcionar o tráfego de dependências por repositórios internos controlados.
Ataques recentes da família Shai-Hulud também têm como alvo ferramentas e credenciais de desenvolvedores. Em agosto, um worm em npm vinculado ao Keyv contaminou centenas de pacotes e implantou ganchos para o Claude Code e o Visual Studio Code, enquanto uma análise posterior encontrou uma variante do Shai-Hulud vasculhando 469 locais em busca de credenciais em sistemas de desenvolvedores, ferramentas de CI/CD (Integração Contínua/Entrega Contínua), configurações em nuvem e arquivos de ferramentas de IA.
Tratam-se de campanhas separadas, e as evidências disponíveis não as vinculam à intrusão não identificada investigada pela Mandiant.
