Vulnerabilidade no Amazon Kiro permite exfiltração de dados através do Kiro Powers

Pesquisadores de segurança descobriram uma falha na Amazon Kiro, o ambiente integrado de desenvolvimento (IDE) com funcionalidades de agentes movidos pela IA, que permite a ex-filtração de dados locais através da manipulação de arquivos de projeto e chamadas “Kiro Powers”. Feito confirmado: A vulnerabilidade foi reproduzida contra Kiro IDE 0.7.45 no Windows pela assinatura MindGuard e, após divulgação responsável, a Amazon corrigiu a falha na versão 0.8.140; a versão mais recente disponível é a 1.0.337.

Em termos simples, a cadeia de ataque aproveita arquivos de repositório controlados pelo atacante que a própria IA interpreta como instruções. Kiro Powers — que agrupa configurações do servidor MCP (Model Context Protocol), arquivos de direcionamento como "POWER.md", hooks e conhecimento contextual— pode fornecer a um agente persistente o contexto e as ferramentas que você deve usar. MindGuard demonstrou que, se um usuário abrir um arquivo de espaço de trabalho malicioso por File → Open Workspace From File e depois enviar qualquer mensagem ao agente, o fluxo vulnerável pode ser ativado e transmitido informações sensíveis a um servidor externo sem que o usuário tenha solicitado explicitamente o envio.

Os elementos verificados do ataque são claros: o exploit é reprodutível tanto em espaços de trabalho marcados como “de confiança” como em que não, a dificuldade de exploração foi qualificada como baixa e o vetor não exige que o usuário escreva um prompt malicioso: basta abrir o arquivo de workspace e enviar qualquer mensagem para desencadear a filtragem. MindGuard descreve a raiz como uma falha nas fronteiras de confiança: conteúdo controlado pelo repositório influencia o agente; o agente lê informações locais sensíveis; essa informação é escrita em configurações do IDE e uma capacidade posterior do IDE converte essa configuração em tráfego de rede.

Como funciona tecnicamente: Kiro integra interpretação de contexto e execuções de ferramentas dentro do mesmo fluxo. Os arquivos de projeto podem injetar instruções persistentes (o steering file POWER.md) que dizem ao agente que MCP servers e hooks estão disponíveis e quando os invocar. Se essas instruções permitem ler arquivos locais e depois formatar-os em uma chamada a um recurso externo (por exemplo, um pedido de HTTP a um URL controlado pelo atacante), as informações são exfiltradas sem uma aprovação adicional do usuário. A vulnerabilidade concreta explorada pelo MindGuard acorrente a capacidade do agente para ler e escrever configurações e a faculdade do IDE para executar ou converter essas configurações em atividade de rede.

Quem é afectado: usuário final e organizações que executem versões vulneráveis do Kiro no Windows, em particular a 0.7.45, de acordo com os testes publicados. Não há um identificador CVE atribuído a esta falha no momento do relatório; contudo, a Amazon já introduziu um adesivo. Não está confirmado pelas fontes públicas se o macOS ou o Linux foram testados ou afetados na mesma medida; essa extensão permanece incerta.

Este achado liga com uma tendência mais ampla: várias ferramentas e CLIs de desenvolvimento com capacidades de IA mostraram falhas que permitem desde exfiltração de segredos até execução remota de código por vetores como prompt injection, manipulação de arquivos de configuração confiáveis e abuso de rotas de busca no Windows. Um dos problemas anteriores no Kiro (CVE-2026-10591) já tinha demonstrado a gravidade possível quando um ator pode forçar a reescrita de arquivos de configuração sensíveis e provocar a execução automática ao abrir uma pasta. Para referências técnicas e registros de vulnerabilidades relacionadas consulte, por exemplo, o arquivo de NVD sobre o CVE-2026-10591 e as análises publicadas pela assinatura que relatou o achado: CVE-2026-10591 em NVD e MindGuard.

Consequências reais: em cenários de risco prático, um desenvolvedor que abra um projeto baixado de um repositório desconhecido (ou mesmo aparentemente confiável se o ataque estiver oculto) poderia filtrar chaves, tokens, código privado ou qualquer arquivo acessível ao processo do IDE para servidores controlados por atacantes. Dado que a ativação só requer “enviar uma mensagem” ao agente, a ação parece banal desde a perspectiva do usuário, o que eleva o risco de exploração incidental. Não há evidência pública no relatório de exploração em estado selvagem, pelo que o alcance real de intrusões anteriores continua a ser incerto.

Medidas concretas a tomar pelo leitor: as recomendações práticas, diferenciando entre passos imediatos e medidas estruturais, são as seguintes:

Actualização imediata: Se usar o Kiro, actualize o mais rapidamente possível. O adesivo relatado está presente na versão 0.8.140; o ideal é mover-se para a versão mais recente estável (a 1.0.337 mencionada no relatório) e rever as notas da release antes e depois de atualizar.

Práticas de abertura de projectos: evite abrir arquivos de workspace de fontes não verificadas com o File → Open Workspace From File; em vez disso, clone o repositório e abra a pasta diretamente ou inspeccione manualmente o arquivo de workspace e qualquer POWER.md antes de permitir que o Kiro o processe.

Restrinja a rede de ambientes de desenvolvimento: implemente regras de firewall que limitem as conexões salientes de processos do IDE para destinos não aprovados, e use proxies ou registros para detectar pedidos HTTP salientes inesperadas. Para equipamentos sensíveis, considere isolamento em contentores ou máquinas virtuais com políticas de rede rigorosas.

Controlo e auditoria de configuração: desactive ou restrinja a instalação automática do MCP servers, hooks ou qualquer carga remota de ferramentas a partir de repositórios externos, e supervise mudanças em arquivos de configuração que possam incorporar destinos de rede ou comandos automáticos.

Política organizacional e revisões: tente os ficheiros de projecto como código executável: aplique a revisão de alterações (pull requests), a digitalização automática do conteúdo do POWER.md e as regras que blocom artefatos com instruções de execução automáticas. Adicione controlos para o acesso a segredos (secret scanning) e limites em permissões de leitura de arquivos sensíveis do IDE.

Se suspeitar de exposição: revogar e rotar credenciais (tokens, chaves SSH, API keys) que poderiam ter sido acessíveis a partir do workspace e rever logs de saída de rede desde o período de risco para identificar destinos incomuns. Não há provas públicas de exploração em massa, mas se houver suspeita fundada, actue como se tivessem divulgado segredos.

Finalmente, é importante sublinhar que a vulnerabilidade não é apenas um bug pontual de Kiro, mas um sintoma de um problema arquitectural: quando os agentes da IA e as capacidades de execução se misturam com a configuração e o conteúdo do repositório, as fronteiras de confiança ficam expostas. Os programas de divulgação devem evoluir para avaliar rotas de execução end-to-end, e os desenvolvedores de ferramentas de IA precisam projetar controles que saibam explicitamente o conteúdo do repositório do plano de execução e das configurações de rede. Para leituras adicionais sobre riscos e guias de segurança em IA, o leitor pode consultar recursos oficiais como os da CISA sobre inteligência artificial: CISA — Artificial Intelligence.