Vulnerabilidade no Amazon Q Developer por repositórios maliciosos

28 de June de 2026 Publicado | Traducido del español

Uma falha de segurança no Amazon Q Developer permite que repositórios maliciosos executem código por meio de configurações MCP. Isso expõe os usuários da ferramenta a possíveis ataques se integrarem fontes não verificadas. Para a cidadania, a recomendação é clara: revisar a origem de cada repositório e manter o software atualizado para reduzir riscos.

Estação de trabalho de desenvolvedor com várias janelas de repositório de código abertas, um ícone de repositório brilhando em vermelho enquanto ocorre injeção de código malicioso por meio de configurações MCP, um ícone de escudo rachando perto da interface do Amazon Q Developer, teclado com símbolos de aviso acendendo, fluxos de dados digitais fluindo do repositório comprometido para a IDE, estilo de ilustração técnica cinematográfica, esquema de cores azul escuro e carmesim, indicadores de ameaça holográficos pairando acima da tela, visualização de engenharia fotorrealista, iluminação dramática enfatizando o caminho do vetor de ataque, padrões de placa de circuito ultra detalhados no fundo

Detalhes técnicos da falha MCP em assistentes de IA 🔧

A vulnerabilidade reside no manuseio do Protocolo de Configuração de Modelos (MCP) dentro do Amazon Q Developer. Um repositório malicioso pode alterar essas configurações para injetar comandos arbitrários durante a execução de tarefas de desenvolvimento. Isso não requer permissões elevadas do sistema, apenas que o usuário importe um projeto de origem duvidosa. O ataque explora a confiança implícita que a ferramenta deposita nos arquivos de configuração do repositório, sem validar adequadamente seu conteúdo.

O repositório de confiança que acabou sendo um lobo em pele de código 🐺

Então, acontece que o assistente de IA que você usa para escrever código mais rápido pode se tornar o carteiro que entrega um vírus com um sorriso amigável. É como convidar um estranho para jantar e descobrir que ele saqueou a geladeira enquanto você preparava o café. Agora é hora de revisar cada repositório como se fosse um suspeito de série policial. Ainda bem que sempre temos tempo para ler as letras miúdas, certo?