IAO GitHub abriu, em 28 de outubro, uma prévia pública de um scanner voltado a riscos próprios de aplicações e agentes de inteligência artificial. A função analisa pull requests e procura caminhos em que conteúdo externo não confiável possa influenciar um modelo conectado a ferramentas — um risco conhecido como injeção indireta de prompt. Para equipes que estão colocando agentes em software real, a novidade oferece um ponto adicional de revisão antes do merge, mas seu alcance inicial é mais estreito do que o anúncio pode sugerir.
O que o scanner procura
Uma injeção indireta acontece quando instruções maliciosas estão escondidas em uma página, documento ou resposta de API que o agente lê. Se esse agente também pode consultar dados ou acionar ferramentas, o conteúdo pode tentar desviá-lo da tarefa prevista.
O anúncio do GitHub de 28 de outubro apresenta a função como uma forma de identificar riscos de aplicações com IA, incluindo exposição de informação sensível e autonomia excessiva. A documentação técnica atual especifica que, durante a prévia pública, a detecção se limita a vulnerabilidades de injeção indireta de prompt em agentes de IA. A diferença importa: a lista mais ampla descreve áreas de cobertura em expansão, não tudo o que a versão atual já detecta.
Como funciona — e quais são os limites
O scanner usa um modelo de linguagem para analisar padrões e fluxos de dados em pull requests, sem depender de uma lista fixa de linguagens. Ele comenta os achados no próprio pull request e pode sugerir uma correção automática. A análise roda quando o pull request é aberto e depois de novos commits.
Os resultados são consultivos: não bloqueiam a aprovação nem o merge. A prévia também analisa pull requests, não todo o repositório nem o histórico de código. Por isso, a ferramenta acrescenta uma camada à revisão de segurança; ela não comprova que um agente está protegido contra todas as formas de abuso.
Quem pode usar
A função está em prévia pública no GitHub Enterprise Cloud e exige licença do GitHub Advanced Security. Ela precisa ser habilitada separadamente para a organização e para os repositórios elegíveis, e o uso consome créditos de IA. No momento, não está disponível no GitHub Enterprise Server.
Para equipes sem esse plano, os princípios continuam úteis: identifique quais entradas vêm de fontes externas, limite as ferramentas e os dados acessíveis ao agente e teste se instruções embutidas em conteúdo conseguem provocar ações inesperadas. Em um piloto, revise qualquer correção sugerida e mantenha testes e aprovação humana antes de colocar mudanças em produção.
A novidade sinaliza que a segurança de software está começando a tratar fluxos de agentes como uma superfície própria de análise. O scanner pode ajudar equipes que já usam GitHub Advanced Security, mas a documentação da prévia define com clareza o que ele cobre hoje — e o que ainda precisa ser verificado por outros controles.
