A ferramenta de codificação de IA da Coinbase pode ser explorada por meio de um backdoor
O CEO da Coinbase pode tertronsua empresa para usar as ferramentas de IA Cursor, mas, de acordo com a plataforma de segurança cibernética HiddenLayer, essa medida pode colocar a exchange em risco.
O assistente de codificação de IA mais usado pelos desenvolvedores da Coinbase foi considerado vulnerável a um ataque cibernético que pode implantar malware oculto e comprometer toda a organização, de acordo com um novo relatório da empresa de segurança cibernética HiddenLayer.
Em um blog publicado na quinta-feira à noite, HiddenLayer escreveu que o ataque expõe fraquezas no editor de código do Cursor por meio de um exploit conhecido como “Ataque de Licença CopyPasta”, um método que parece inofensivo por fora, mas incorpora instruções maliciosas em arquivos comuns de desenvolvedores.
HiddenLayer descobre ataque CopyPasta
O Cursor oferece preenchimento automático inteligente, sugestões de código automatizadas e detecção de erros em tempo real para ajudar os desenvolvedores a simplificar a codificação. Mas no modo de Execução Automática, em que o software pode executar comandosmatic, os pesquisadores descobriram uma falha que contorna as proteções destinadas a impedir que instruções inseguras sejam executadas sem aprovação.
A HiddenLayer propôs que o ataque CopyPasta se aproveita de prompts de sistema dentro do Cursor, essenciais para a conformidade com o licenciamento de software. Ele imita textos de licenciamento como os contratos GPL e, em seguida, se disfarça como um texto README markdown.
O ataque também usa comentários ocultos em arquivos markdown e entradas baseadas em sintaxe para mascarar instruções maliciosas como comandos autorizados do desenvolvedor.
“Quando combinado com instruções maliciosas, o ataque CopyPasta é capaz de se replicar simultaneamente de forma ofuscada para novos repositórios e introduzir vulnerabilidades deliberadas em bases de código que, de outra forma, seriam seguras”, disse a HiddenLayer em sua divulgação.
Em testes, os pesquisadores usaram um payload inofensivo que inseria uma única linha de código no início de qualquer arquivo Python. Mas alertaram que o mesmo método poderia ser usado durante violações de segurança, incluindo a implantação de backdoors, a exfiltração de dados confidenciais, o consumo de recursos do sistema ou a corrupção de ambientes de produção.
Pesquisadores compararam o ataque a experimentos como o "Morris II", por exemplo, que mostrou como agentes de e-mail podiam ser induzidos a enviar spam ou vazar dados enquanto se reproduziam. O Morris II tinha uma alta taxa de sucesso teórica, mas era limitado na prática, pois os sistemas de e-mail ainda exigiam revisão humana antes do envio das mensagens.
A HiddenLayer afirmou que outros assistentes de codificação de IA, como Windsurf, Kiro e Aider, também propagam a exploração do CopyPasta para novos arquivos de uma forma que não é facilmente detectada. A vulnerabilidade foi relatada dedentpela HiddenLayer e pelo grupo de segurança BackSlash.
Engenheiros da Coinbase sob forte codificação de IA
Conforme relatado pelo Cryptopolitan ontem, o CEO da Coinbase, Brian Arms tron revelou que a equipe de engenharia da exchange está usando o Cursor como sua ferramenta preferida para a maior parte de seu trabalho, com planos de fazer com que "todo engenheiro da Coinbase" o utilize até fevereiro do ano que vem.
O chefe da empresa disse ao cofundador da Stripe, John Collison, em um podcast no final de agosto que ele deu aos desenvolvedores uma semana para começar a usar o GitHub Copilot e Cursor, ou perderiam seus empregos.
"Eu me tornei um rebelde e postei no canal do Slack. A IA é importante. Precisamos que todos vocês aprendam e, pelo menos, se integrem. Vocês não precisam usá-la todos os dias ainda, até que façamos algum treinamento, mas pelo menos se integrem até o final da semana. Se não, vou organizar uma reunião no sábado com todos que ainda não a experimentaram, e gostaria de me reunir com vocês para entender o porquê", concluiu Armstrong.
Na quarta-feira, ele postou no X que a IA era responsável por escrever até 40% do código da empresa e esperava que esse número subisse para 50% no mês que vem.
Cerca de 40% do código diário escrito na Coinbase é gerado por IA. Quero chegar a mais de 50% até outubro.
- Brian ArmstronG (@Brian_ArmstronG) 3 de setembro de 2025
Obviamente, isso precisa ser revisado e compreendido, e nem todas as áreas da empresa podem usar código gerado por IA. Mas devemos usá-lo com a maior responsabilidade possível. pic.twitter.com/Nmnsdxgosp
ArmstronG tem sido um dos maiores defensores da integração da IA aos fluxos de trabalho corporativos no Vale do Silício. Mas sua insistência para que os engenheiros adotem ferramentas de codificação de IA não agrada a alguns membros da comunidade.
Se você está lendo isso, já está na frente. Acompanhe nossa newsletter .
Artigos Recomendados
