Uma CVE publicada na segunda-feira descreve a proteção contra comandos destrutivos no Continue CLI. No modo headless e no modo auto, a política padrão concede à ferramenta Bash allow. O único bloqueio rígido é um teste de caminho perigoso que corresponde a /, /*, ~, ~/*, /usr, /etc, /bin, /sbin e seus prefixos.

O que não está na lista

Uma remoção recursiva forçada de /home, /root, /var, /opt ou /srv não é desativada. Pior: a linha de comando é analisada com shell-quote, que reduz $HOME a um token vazio — assim, rm -rf $HOME também falha no teste de caminho perigoso, e o shell então reexpande a variável quando o comando é realmente invocado. O parser e o shell discordam sobre o que a string significa, e a verificação roda com base na resposta do parser. Separadamente, find com -delete é classificado como risco alto em vez de ser desativado, e shred, wipefs, truncate e pkexec não são tratados de forma alguma.

O que a formulação convencional interpreta mal

Três coisas. Primeiro, o padrão usual de CVE de IA é “já corrigido antes de você ouvir falar dele” — este é o oposto. O intervalo afetado é descrito como “até 1.5.47”, e 1.5.47 é a versão publicada atual. Não há versão corrigida. Segundo, as pontuações HIGH de 8,3 e 7,4 são autoatribuídas pelo CNA que reportou o caso e marcadas como Secondary; o NVD não publicou uma pontuação primária. Quem escrever “o NVD classifica isso como High” estará errado. Terceiro, o vetor é condicional, não uma exploração remota de disparo único: a string CVSS traz AC:H e AT:P, o que significa que o agente precisa estar rodando sem supervisão e ingerindo texto controlado pelo atacante. A própria redação do registro é que “uma injeção indireta de prompt nesse conteúdo pode fazer com que uma execução desacompanhada destrua os dados do usuário que invocou o comando.” Não há evidência de exploração em ambiente real — esta é uma análise da lista de negação, não um relatório de incidente.

Por que o cronograma é a história

O issue no GitHub foi aberto em 19 de julho, com quase exatamente o mesmo título da CVE. Ele segue aberto, sem resposta visível do mantenedor, 36 dias depois. O modo auto e o modo headless são como agentes de codificação entram em CI, e este é um exemplo concreto de que a abordagem por blocklist perde para a expansão de variáveis.

A lição geral

Listas de negação de strings perigosas não são uma fronteira de segurança quando um shell recebe a string depois. Todo harness de agente que restringe Bash dessa forma tem o mesmo problema estrutural.