Injeção de prompt vira achado de código. O GitHub agora sinaliza caminhos de agente em pull requests

Injeção de prompt quase sempre foi tratada como um problema de modelo: algo para filtrar no runtime, testar com red teaming e torcer para que o próximo modelo resista. O lançamento do GitHub em 28 de outubro trata o assunto de outro jeito: um defeito com endereço no seu código.

O code scanning para aplicações de IA, agora em preview público no github.com, roda em pull requests junto ao CodeQL. Ele procura caminhos de código de agente em que conteúdo não confiável pode chegar a um modelo com acesso a ferramentas, dados ou sistemas de negócio, e reporta isso com orientação de mitigação no próprio pull request. As primeiras classes de risco são injeção de prompt indireta, exposição de informações sensíveis e agência excessiva.

O caminho, não o prompt

A ideia útil está no que o scanner procura. Uma injeção só importa quando três coisas se encontram no mesmo fluxo:

1. Conteúdo não confiável
2. Chamada ao modelo
3. Ferramentas ou dados
4. Efeito no negócio

Cada um desses pontos é visível no código. Quais entradas são buscadas, quais são colocadas em um prompt, quais ferramentas a mesma chamada pode invocar e com quais credenciais. Um scanner consegue encontrar esse caminho do mesmo jeito que encontra uma consulta SQL montada a partir de entrada do usuário. Ele não consegue dizer se um determinado modelo vai obedecer a uma determinada injeção, e não precisa: se o caminho existe, o design é frágil.

Isso também mostra como corrigir um achado. Tire a ferramenta das chamadas que leem conteúdo não confiável, separe leitura e ação em etapas distintas com uma verificação entre elas, ou reduza o que a ferramenta pode alcançar. Descrevemos o mesmo princípio quando oito correções nos servidores MCP oficiais mostraram ferramentas indo além do acesso que receberam.

Repositórios inteiros, não só as mudanças

O segundo lançamento estende o AI Scan, que cobrimos quando ele chegou à disponibilidade geral (GA) para pull requests, a repositórios inteiros em preview público. Um scanner agêntico explora o último commit do branch padrão, concentra o esforço no código com maior chance de estar vulnerável, cobre linguagens e frameworks que o CodeQL não cobre e ignora problemas que o CodeQL já reporta. Cada scan tem um orçamento de tempo fixo, o que limita seu custo e significa que ele não é exaustivo. Scans seguintes reportam só achados novos, e os alertas não fecham quando a correção é integrada; você inicia outro scan para fechá-los.

Isso importa para o código que é anterior à sua revisão de IA: os serviços escritos há três anos que um agente agora chama. Depois de a Anthropic mostrar modelos encadeando falhas individualmente menores, o código existente é a parte da superfície de ataque que fica mais exposta sem mudar.

Requisitos e limites

• Scanning de aplicações de IA: preview público, só no github.com, não no GitHub Enterprise Server. Exige GitHub Advanced Security com code scanning e o novo scanning habilitado por repositório. O GitHub diz que a cobertura vai aumentar; o lançamento não lista linguagens nem frameworks suportados.
• AI Scan para repositórios: preview público. Consome créditos de Code Security AI, com orçamentos no nível da SKU e um aviso quando eles acabam. Não exige licença do Copilot. Repositórios privados em organizações precisam de Code Security ou Advanced Security; repositórios privados de contas pessoais não são suportados.

Um scanner que encontra o caminho da injeção é uma ferramenta de revisão de design, não uma garantia. Ele vai perder fluxos que atravessam serviços ou que acontecem por configuração. Use-o para tornar o caminho visível na revisão e mantenha os controles de runtime (ferramentas com privilégio mínimo, aprovação em ações de consequência, logs) que seguram quando o scan não vê.