A empresa de segurança Wiz publicou, em 17 de agosto, uma pesquisa descrevendo como seu agente autônomo de segurança ofensiva descobriu e explorou uma vulnerabilidade de injeção de script em um workflow do GitHub Actions pertencente ao repositório público snowflakedb/snowflake-connector-net, e o usou para exfiltrar um token que concedia acesso de leitura ao Jira interno da Snowflake.

O cronograma é incomumente apertado

A vulnerabilidade entrou em produção quando a PR #1218 foi mesclada em 18 de junho de 2026. A Wiz a identificou, explorou e a reportou via HackerOne em 23 de junho; a Snowflake corrigiu no mesmo dia no commit 1dc7766, e renovou o token do Jira em 24 de junho. A exposição durou cinco dias. O token autenticava como qa@snowflake.net no tenant Atlassian da Snowflake, concedendo acesso de leitura a projetos de engenharia, conformidade de segurança e acompanhamento de bugs.

O que a formulação comum erra

A história está circulando como "uma IA escreveu o bug e outra IA o explorou". Essa simetria é a parte que ninguém consegue sustentar. A posição da GitHub, dada a jornalistas, é que as contribuições que levaram à vulnerabilidade foram escritas por um humano e não foram revisadas nem contribuídas pelo Copilot. A própria publicação da Wiz acrescenta uma atualização admitindo que não está claro se a mudança de código foi assistida por IA, e observa que a contribuição documentada do Copilot Autofix naquele pull request foi uma correção separada para um arquivo diferente. Portanto, a autoria é contestada pela fornecedora e relativizada pela pesquisadora — ainda assim, é essa a afirmação que está sustentando a cobertura.

A descoberta incontestável é a mais grave

O que ninguém contesta: um agente autônomo montou sozinho toda a cadeia de ataque — reconhecimento, descoberta de um workflow injetável, exploração, exfiltração de credenciais e movimento lateral para um sistema SaaS separado — contra um grande fornecedor de plataforma de dados. E, independentemente de quem escreveu a falha, a própria varredura da GitHub não a sinalizou antes da mesclagem. Essa é uma conclusão sobre a cobertura defensiva, e ela não depende em nada da disputa sobre autoria.

O que foi e o que não foi alcançado

Há uma terceira distorção que vale nomear. Tratava-se do workflow de CI de um repositório público de conector, e o acesso obtido foi acesso de leitura a projetos do Jira. Não foi a plataforma de dados da Snowflake, e não foram dados de clientes. A Snowflake afirma que sua investigação não encontrou evidências de acesso não autorizado além dos pesquisadores, e que os registros de auditoria mostraram que a Wiz foi a única terceira parte no endpoint. "A Snowflake foi invadida" e "leitura do Jira via um runner do Actions" não são a mesma frase.