Radar Tech: Cursor 0day e o Novo Cenário de Ameaças para Agentes de Codificação com IA

O que aconteceu

Duas notícias dominaram as discussões de segurança em engenharia de software nas últimas 24h:

Cursor 0day (CVE sob embargo parcial): Uma vulnerabilidade crítica no ecossistema Cursor permite que extensões aparentemente legítimas executem código arbitrário no ambiente do desenvolvedor. O ataque explora a confiança que o usuário deposita no ecossistema de plugins — algo que o time do Cursor vinha incentivando ativamente como diferencial competitivo. A MindGard publicou full disclosure após 90 dias sem patch, gerando debate acalorado sobre responsible disclosure vs. proteção ao usuário.

Memory Heist: Pesquisadores demonstraram uma técnica onde o contexto inteiro de uma sessão de IA — incluindo tokens de API, senhas e código-fonte proprietário — pode ser exfiltrado através de manipulação cuidadosa das entradas e saídas do LLM. O ataque não explora vulnerabilidade no modelo, mas sim no design da interação: o agente acumula contexto sensível e pode ser induzido a incluí-lo em respostas que vazam para logs, extensões ou proxies.

Por que isso importa para arquitetos de software

Agentes de codificação com IA não são mais uma ferramenta experimental. Times de produto, startups e até enterprises estão adotando Cursor, Claude Code e Copilot como parte do fluxo diário. O problema é que a adoção está acontecendo sem uma camada de segurança correspondente.

Diferente de uma IDE tradicional, um agente de IA:

• Executa código no seu ambiente local (ou remoto)
• Instala pacotes que ele mesmo sugere (risco de alucinação de dependências)
• Lê e modifica arquivos com permissões do usuário logado
• Acumula contexto sensível na sessão (tokens, credenciais, IP)
• Comunica-se com APIs externas (o LLM provider)

Cada um desses pontos é uma superfície de ataque. O Cursor 0day prova que uma extensão aparentemente benigna pode virar um vetor de comprometimento total da estação de desenvolvimento.

A resposta arquitetural: ADR + Guardrails

A melhor ferramenta que um arquiteto de software tem para este momento é uma Architecture Decision Record (ADR) bem fundamentada. Não se trata de proibir ou liberar — trata-se de decidir com critério.

As ADRs para adoção de agentes de IA devem cobrir:

• Contexto de ameaça real: referências a CVEs e incidentes conhecidos (não genéricos)
• Opções comparadas: pelo menos 3 alternativas, incluindo a rejeitada de "adoção irrestrita"
• Guardrails mínimos: Policy Engine, sandbox, proxy de LLM com sanitização, auditoria imutável
• Plano de implementação: acionável, com passos concretos e responsáveis
• Casos de borda: startups sem budget, times remotos, cenários de Shadow IT

Tags

ia-agentes, seguranca, cursor-0day, adr, guardrails, supply-chain, owasp-llm

Leitura complementar

• Full disclosure: Arbitrary code execution in Cursor — o post original da MindGard
• The Memory Heist — demonstração técnica do ataque de exfiltração de contexto
• OWASP Top 10 for LLM Applications — guia de referência para classificar riscos