"When Context Gets Root: Privilege Escalation in LLM Harnesses" foi submetido ao arXiv às 16:03:57 UTC de 27 de agosto. Sua tese é que o software que envolve um modelo — e não o modelo — promove conteúdo de arquivo controlado pelo atacante para o slot de instrução de maior privilégio do agente, de modo que um modelo perfeitamente obediente ainda acaba comprometido.

O que foi testado

Seis harnesses em versões atuais identificadas: Claude Code (Opus 4.8, v2.1.210), Codex (GPT-5.5, v0.138.0), Gemini CLI (Gemini 3.1 Pro Preview, v0.50.0), Qwen Code (Qwen3.7 Max, v0.21.4), Kimi (Kimi 3, v0.36.0) e OpenCode (DeepSeek-V4-Pro-0813, v1.18.1). Os ataques são reproduzidos por meio de recursos já entregues — objetivos persistentes e tarefas agendadas —, o que torna isso acionável em vez de teórico.

O número do resumo

"With unrestricted action execution, the attacks achieve all 13 objectives on all six harnesses", e "under automatic permission review, the attacks achieve all 13 objectives on all three harnesses that provide this mode." A introdução acrescenta uma taxa média de sucesso de 97,3% para escalada de tool para user e 80,3% para tool para system.

O que a leitura comum erra

"Treze de treze em seis de seis" soa como se todo agente falhasse todas as vezes. As próprias tabelas do paper dizem algo mais restrito: 13/13 significa que cada objetivo teve sucesso ao menos uma vez ao longo de várias tentativas — não que uma tentativa individual tenha dado certo. Os números por tentativa no Full Access, a configuração mais permissiva disponível, são Claude Code 31,7%, Gemini CLI 61,7%, Qwen Code 61,7%, Kimi 64,9%, OpenCode 72,5%. Só Codex chega a um verdadeiro 100,0%. A manchete honesta é que, com tentativas suficientes, cada objetivo eventualmente acerta em cada agente, com taxas de acerto entre algo em torno de um terço e tudo.

Segundo, os dois regimes são apresentados como equivalentes, e não são. A revisão automática de permissões ajudou de forma mensurável em exatamente um harness: Codex caiu 27,8 pontos, e o paper explica o motivo — "Codex's Auto PR actively inspects newly inserted function calls and their runtime behavior." No Claude Code, a taxa subiu, de 31,7% para 37,1%, o que, nesses tamanhos de amostra, soa como ruído e não como uma defesa funcionando. Apresentar os dois regimes como igualmente quebrados apaga o único mecanismo do estudo que fez diferença.

Terceiro, um denominador: três dos seis harnesses não têm modo de revisão de permissões, então "all three harnesses that provide this mode" é três de três, não seis de seis.

O revisor que aprovou o ataque

Uma linha do paper merece citação integral: "In successful Claude Code cases, the reviewer observes the modifications made to the todo server but still approves their execution." A checagem rodou, viu a alteração e disse sim.