Vulnerabilidade crítica no Copilot permitia roubar tokens de autenticação — e o padrão de segurança em LLMs está falhando

Pesquisadores identificaram uma vulnerabilidade séria no GitHub Copilot — batizada de "SearchLeak" — que permitia que atacantes extraíssem códigos de autenticação em dois fatores (2FA) de usuários. A falha foi corrigida, mas o alerta é mais amplo: ela expõe um padrão sistemático de brecha de segurança em ferramentas baseadas em LLMs.

O problema é estrutural. Quando um LLM tem acesso a contexto sensível — tokens, credenciais, dados privados — e não há isolamento adequado, vetores de ataque aparecem por caminhos inesperados. O SearchLeak usou exatamente essa brecha para extrair informações que jamais deveriam sair do ambiente do usuário.

Por que importa: O Copilot está em centenas de empresas brasileiras. Se sua equipe usa a ferramenta integrada ao GitHub, confirme que está na versão mais recente e revise as políticas de acesso. E, de forma mais ampla: antes de integrar qualquer LLM com dados sensíveis, questione o modelo de segurança do fornecedor.