Falha no agent-device permitia leitura remota de arquivos locais

O GitHub Security Advisories revelou em 13 de novembro de 2026 uma vulnerabilidade de divulgação de arquivos locais no agent-device. O agent-device é uma CLI, um servidor MCP e uma API em Node.js de código aberto que permitem a agentes de IA controlar aplicativos móveis, web, de TV e desktop em dispositivos e simuladores reais, e o aviso indica que um chamador remoto autenticado pode exfiltrar qualquer arquivo legível do host onde ele é executado. Os detalhes completos estão em agent-device Local File Disclosure via file:// Navigation in Open Command.

O que mudou

• O agent-device é descrito como uma camada de dispositivos de código aberto para agentes de IA: uma CLI, um servidor MCP e uma API tipada em Node.js para controlar aplicativos móveis, web, de TV e desktop em dispositivos e simuladores.
• O aviso está registrado como GHSA-g87j-p64h-w8wc e CVE-2026-129130, classificado como CWE-73 (External Control of File Name or Path).
• As versões afetadas são 0.21.36 e anteriores; a correção foi lançada na versão 0.21.37.
• A severidade CVSS é listada como 6.5 (Medium) por um rastreador e 7.1 (High) por outro.
• Um chamador remoto autenticado pode enviar um comando open direcionado a uma URL file:// através da interface /rpc.
• Um comando snapshot subsequente permite ao atacante exfiltrar qualquer arquivo em texto puro legível pela conta do host onde o daemon é executado.

O que isso significa para quem constrói com IA

A vulnerabilidade está dentro de um servidor MCP construído especificamente para que agentes de IA controlem dispositivos reais, o que significa que um atacante remoto pode ler arquivos locais arbitrários através do próprio daemon do agente. Para equipes que adotam automação de dispositivos baseada em agentes, isso representa um risco concreto na cadeia de suprimentos: qualquer fluxo de trabalho que exponha a interface /rpc do agent-device a um chamador remoto pode expor arquivos legíveis pela conta que executa o daemon.

Correção e disponibilidade

A correção foi lançada na versão 0.21.37; as versões 0.21.36 e anteriores permanecem afetadas. Equipes que executam o agent-device como parte de um fluxo de automação de dispositivos baseado em agentes devem atualizar para 0.21.37 para fechar o caminho de ataque descrito no aviso, que usa os comandos open e snapshot.

Fontes

• agent-device Local File Disclosure via file:// Navigation in Open Command (GitHub Security Advisories, 13 de novembro de 2026, oficial)

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.