Um commit gerado pelo Copilot Autofix, ferramenta de sugestão automática de código da GitHub baseada em IA, introduziu em 18 de junho de 2026 uma vulnerabilidade crítica no repositório público da Snowflake. O erro abriu caminho para execução arbitrária de comandos em runners do GitHub Actions, com potencial de comprometimento de credenciais sensíveis. A brecha foi identificada cinco dias depois pelo Red Agent da Wiz, uma ferramenta autônoma de pesquisa em segurança, e corrigida ainda no mesmo dia pela Snowflake.
Como a vulnerabilidade foi introduzida
Segundo o relatório da Wiz (fonte), a vulnerabilidade surgiu em um workflow do repositório snowflakedb/snowflake-connector-net. O commit responsável, co-assinado pelo Copilot Autofix via pull request #1218, substituiu uma lógica segura de sanitização de inputs por uma interpolação direta da variável github.event.issue.title dentro de um shell script. O workflow era disparado sempre que uma issue era aberta, permitindo que qualquer usuário do GitHub executasse código não autorizado ao manipular o título da issue.
O erro técnico central foi passar o input do usuário diretamente para uma string shell, utilizando apenas comandos sed para escape. Isso não impediu que caracteres especiais fossem utilizados para quebrar o contexto da string e injetar comandos arbitrários, resultando em uma vulnerabilidade clássica de script injection.
Descoberta e exploração controlada
O Red Agent da Wiz, ferramenta de pesquisa automatizada, identificou o problema ao escanear workflows públicos da organização Snowflake. Em testes, foi possível criar um título de issue especialmente formatado para escapar do contexto do shell e exfiltrar um token de autenticação do Jira da Snowflake para um servidor externo controlado pela Wiz. O token dava acesso de leitura a projetos internos de engenharia, segurança e bug bounty da Snowflake.
Os logs do workflow comprovaram a exploração bem-sucedida. Segundo a Wiz, durante o período de exposição, apenas seus testes automatizados acessaram o endpoint vulnerável, e todas as credenciais exfiltradas foram imediatamente revogadas após disclosure responsável em 23 de junho de 2026.
Correção e mitigação
A Snowflake corrigiu a vulnerabilidade no mesmo dia do reporte, restaurando o padrão seguro de passagem de variáveis de ambiente e parseamento via jq --arg. O token comprometido foi revogado e logs detalhados confirmaram ausência de acessos externos além dos testes da Wiz. O episódio evidencia como PRs gerados por IA podem reintroduzir padrões inseguros já conhecidos, exigindo revisão humana rigorosa e análise estática antes de merge.
Contexto e implicações para o mercado
O caso expõe um risco crescente para times que adotam ferramentas de IA generativa em pipelines de CI/CD: sugestões automáticas podem replicar padrões obsoletos ou inseguros, especialmente em linguagens shell, onde escapes são frágeis. A janela de exposição foi curta — cinco dias — mas suficiente para que um agente automatizado detectasse e explorasse a falha, demonstrando que o ciclo de ataque e defesa também está acelerando com IA.
Para equipes brasileiras que utilizam Copilot, Codeium ou ferramentas similares, o alerta é claro: não confie cegamente em “autofix” de IA, especialmente em scripts sensíveis. Revisão manual e ferramentas de análise estática continuam essenciais para mitigar riscos de supply chain. O episódio também reforça a importância de programas de bug bounty e disclosure responsável como parte da estratégia de segurança.