Pull request malicioso no Q Developer quase virou “wiper” em massa
A extensão Q Developer, que permite a um coding agent ler um projeto, propor mudanças e executar comandos no editor, recebeu um pull request malicioso no repositório aws-toolkit-vscode da Amazon. Enviado em 13 de julho de 2025 por um usuário do GitHub, o código foi parar na base de instalação do Visual Studio Code quatro dias depois, mas não chegou a executar em ambiente de clientes.
O update baixou um arquivo externo no build e inseriu um prompt para o agente apagar dados e recursos do sistema e da nuvem, com flags configuradas para dispensar aprovações adicionais. A equipe de segurança da Amazon confirmou que a execução não ocorreu por causa de um erro de formatação no prompt; depois, a empresa revogou credenciais, removeu o código e publicou um build limpo em até dois dias.
The New Stack
O texto acima é um resumo reescrito. A apuração, o texto integral e os créditos são da fonte — abra o original para ler na íntegra.
Ler matéria original ↗Resumo gerado por IA a partir da matéria original e revisto pelo método descrito em como funciona a curadoria. Em caso de divergência, vale o texto da fonte. Achou um erro? Fale com a gente.