Ransomware com crypto vergonhosa, CitrixBleed interminável, 0-click no Cursor, Sandbox do Claude Code falha #Again, LLMs vs EDRs e C2 usando GitLab CI Runners ou Spotify

Esta edição traz uma das pesquisas mais elegantes do ano: a quebra completa da criptografia do ransomware Rhysida em todas as 16 versões conhecidas, possível por uma falha de PRNG que deveria envergonhar qualquer desenvolvedor de malware. A SpecterOps documentou abertamente como LLMs estão desmontando as detecções locais dos maiores EDRs do mercado em questão de horas. No kernel Linux, uma cadeia de sete etapas transforma um byte de overflow no subsistema IPv6 em escape completo de container no RHEL 10. Raphael Mudge, criador do Cobalt Strike, retornou à cena publicando tradecraft de evasão aberto no Crystal Palace. E o Citrix NetScaler garantiu mais um capítulo na saga interminável de memory disclosure.

Vulnerabilidades Críticas em Appliances e Frameworks

CitrixBleed To Infinity And Beyond: Mais um Memory Overread no Citrix NetScaler

Por watchTowr Labs

⚠️ A watchTowr Labs reportou mais uma vulnerabilidade de memory disclosure no Citrix NetScaler, agora publicada como CVE-2026-8451. Trata-se de um overread de memória pré-autenticação, a mesma classe de falha que originou o termo CitrixBleed lá em 2023. A essa altura, os próprios pesquisadores desistiram de numerar as ocorrências e batizaram esta de "CitrixBleed To Infinity And Beyond".

O padrão é preocupante: a gestão de memória dentro do NetScaler continua frágil o suficiente para que até uma configuração incorreta do appliance acabe expondo dados sensíveis de sessão. A watchTowr ressalta que clientes da plataforma tiveram acesso à pesquisa meses antes da publicação, o que permitiu validação antecipada de exposição. A vulnerabilidade já possui correção disponível, mas o histórico mostra que appliances de borda demoram a receber patches em ambientes corporativos.

A essa altura, memory disclosure no NetScaler deveria ter CVE reservado em lote, como um serviço de assinatura para quem faz gestão de patches. Quem opera esses appliances na borda precisa assumir que a próxima divulgação é questão de quando, não de se.

Adobe ColdFusion: Chuva de CVEs Críticos no Advisory APSB26-68

Por watchTowr Labs

A Adobe publicou o advisory APSB26-68, corrigindo uma lista impressionante de vulnerabilidades no ColdFusion. São múltiplos CVEs de execução arbitrária de código, leitura arbitrária de sistema de arquivos e escalação de privilégios, afetando o ColdFusion 2025 (Update 9 e anteriores) e o ColdFusion 2023 (Update 20 e anteriores).

A análise da watchTowr Labs focou no diff entre versões e identificou primitivas de leitura e escrita arbitrária de arquivos exploráveis via endpoint legado do RDS, alcançado via requisições HTTP POST para /CFIDE/main/ide.​cfm. O protocolo RDS utiliza um formato binário proprietário com campos de tamanho variável, e a sanitização insuficiente dos parâmetros permite operações de I/O diretamente no sistema de arquivos do servidor. A combinação de leitura arbitrária com escrita de arquivos abre caminho direto para RCE em ambientes expostos.

Apesar de o ColdFusion não ser mais tão popular, ainda sustenta aplicações corporativas legadas em setores como governo e financeiro. Se você roda ColdFusion em produção, aplique o patch imediatamente.

Figura: Captura de requisição HTTP POST explorada contra ColdFusion via endpoint /CFIDE/main/ide.​cfm com parâmetro ACTION=FILEIO, demonstrando acesso direto à interface administrativa vulnerável com resposta… Fonte: It’s 37oC, And All We Can Think About Is ColdFusion (Adobe ColdFusion Security Bulletin APSB26-68 CVE Bonanza) [app] [exp].

Kemp LoadMaster: RCE Pré-Autenticação como Root via API

Por Syed Ibrahim Ahmed (TrendAI Research), reportado via Zero Day Initiative, com análise técnica independente da watchTowr Labs

A CVE-2026-8037 (CVSS 9.8) no Progress Kemp LoadMaster permite execução de comandos como root sem autenticação. O problema está na função escape_quotes(), que deveria sanitizar aspas simples antes de passar dados para comandos shell. O buffer alocado nunca recebia um terminador nulo, fazendo com que o sistema continuasse lendo além do input sanitizado. Um atacante controla o que vem depois injetando payloads em campos JSON extras na mesma requisição ao endpoint /accessv2.

A correção foi cirúrgica: trocar a alocação por uma que zera o buffer e adicionar um terminador nulo explícito. Duas linhas de código que fecham o caminho para root. Syed Ibrahim Ahmed, da TrendAI Research, reportou a falha via ZDI em abril de 2026, e a watchTowr Labs publicou a análise técnica completa com PoC funcional. As versões GA v7.2.63.2 e LTSF v7.2.54.18 já contêm a correção.

Fontes:

• https://labs.watchtowr.com/citrixbleed-to-infinity-and-beyond-citrix-netscaler-pre-auth-memory-overread-cve-2026-8451/

• https://labs.watchtowr.com/its-37oc-and-all-we-can-think-about-is-coldfusion-adobe-coldfusion-security-bulletin-apsb26-68-cve-bonanza/

• https://thehackernews.com/2026/06/progress-kemp-loadmaster-flaw-could-let.html

Pesquisa em Vulnerabilidades

Quebrando a Criptografia do Rhysida: PRNG com Seed de Timestamp em 16 Versões

Por sigreturn

🔥 Uma falha criptográfica no ransomware Rhysida permitiu a recuperação completa de arquivos criptografados em todas as 16 versões conhecidas do malware. A falha foi encontrada em maio de 2023, poucas semanas após o surgimento do grupo, mas restrições de NDA impediram a publicação até agora.

O problema é clássico e devastador: a chave de criptografia de cada arquivo é derivada de um PRNG inicializado com srand(time(0)). O seed é o timestamp Unix do momento da execução. Sabendo o horário aproximado do ataque e o número de processadores lógicos da máquina da vítima (usado para paralelizar a geração de chaves em threads), é possível regenerar todas as chaves e descriptografar os arquivos. O número de processadores costuma ser previsível: 4, 8, 16, 32 ou 64.

O autor construiu um decryptor em C que lida com todas as variantes. A versão PowerShell do Rhysida corrige a falha usando um PRNG mais robusto, mas todas as versões compiladas em C/C++ permanecem vulneráveis. Considerando que o Rhysida já vitimou mais de 250 organizações em saúde, educação e governo, esta pesquisa tem potencial de recuperação real para vítimas que ainda possuam os arquivos criptografados e indicadores de horário do ataque.

Figura: Análise de desassembly x86 do ransomware Rhysida mostrando rotinas críticas de inicialização de mutex, manipulação de strings de diretório e derivação de chaves de criptografia com offsets de stack… Fonte: How I broke Rhysida ransomware encryption [crypto] [rev] [mal].

Type Confusion em Windows RPC: Três CVEs a Partir de Context Handles

Por k0shl (via core-jmp)

k0shl demonstrou um padrão de type confusion em servidores RPC do Windows que resultou em três CVEs: CVE-2025-48815 em ssdpsrv, CVE-2025-53143 em MQQM e CVE-2025-54104 em mpssvc. A causa raiz é consistente: definições IDL insuficientes combinadas com ausência de validação de tipo nas funções de interface RPC.

Um context handle no RPC funciona como um índice para uma região de memória que armazena um objeto servidor. Quando um servidor expõe múltiplos tipos de handle na mesma interface e o descritor IDL marca o handle como FC_BINDING_CONTEXT sem validação, o runtime do RPC entrega o objeto cru para um método que espera um tipo completamente diferente. No caso do ssdpsrv, passar um CONTEXT_HANDLE_TYPE para RemoveSyncHandle faz com que CloseHandle opere sobre um handle de processo arbitrário. A pesquisa inclui um método de hunting reprodutível usando NtObjectManager para varrer interfaces RPC em busca do mesmo padrão.

Hijacking da IDT no Windows 11 com VBS, HVCI e kCET Ativos

Por Exploit Pack (via core-jmp)

Uma pesquisa publicada via core-jmp demonstra execução de código no kernel do Windows 11 totalmente endurecido, com VBS, HVCI e kCET habilitados, usando uma técnica puramente data-only. A ideia central é nunca tocar na IDT (Interrupt Descriptor Table) ao vivo. Em vez disso, a página original da IDT é copiada para uma página física livre e gravável, um único gate é modificado na cópia, e o mapeamento da IDT do processador é brevemente apontado para o clone.

A execução é roteada pelo caminho legado INT 0x2E para o motor de dispatch do kernel. Um payload de token-swap é executado uma vez, e tanto a entrada na tabela de serviço quanto o mapeamento original da IDT são restaurados. Nenhum código novo é injetado. Tudo opera via manipulação de estruturas de dados existentes, contornando as proteções de integridade de fluxo de controle. Esta técnica expande a linha de pesquisa da plataforma EP3 sobre Data-Only Gadgets (DOG), que já havia demonstrado hijacking de SSDT e Shadow SSDT.

Escape de Container via IPv6 Fragment e Dirty-Pagetable no RHEL 10

Por sgkdev (via core-jmp)

sgkdev publicou um PoC de escalação de privilégios e escape de container para CentOS Stream 10 e RHEL 10 (kernel 6.12.x) que transforma um overflow de um único byte em shell de root no host. A falha vive em __ip6_append_data(), onde um overflow linear in-slab permite controle sobre o campo nr_frags de uma estrutura skb_shared_info.

💡 A cadeia de exploit é composta por sete etapas encadeadas: overflow in-slab para page use-after-free, Dirty-Pagetable para leitura e escrita física arbitrária, varredura de trampolim SMP para derrotar KASLR sem syscall de info-leak, janela PTE autorreferente infinita para R/W ilimitado no kernel, resolução de offsets via BTF para roubar credenciais sem offsets hardcoded, patching inline de avc_denied() para silenciar o SELinux sem tocar no flag de enforcing, e finalmente hijack de core_pattern para retransmitir um shell de root via Unix socket. Um processo não privilegiado dentro de um container isolado de rede, com acesso a user namespaces, obtém shell interativo de root no host.

Fontes:

• https://sigreturn.com/blog/rhysida-analysis-decryption/

• https://core-jmp.org/2026/06/from-context-handle-to-type-confusion-windows-rpc-2/

• https://core-jmp.org/2026/06/idt-table-hijacking-vbs-hvci-kcet-windows-11/

• https://core-jmp.org/2026/06/ipv6-fragment-dirty-pagetable-container-escape-centos-rhel-10/

Evasão e Red Team

LLMs Contra EDRs: A SpecterOps Documenta o Colapso das Detecções Locais

Por Adam Chester (SpecterOps)

💡 Adam Chester, da SpecterOps, publicou o que pode ser o artigo mais importante do ano sobre evasão de EDR. Nos últimos meses, a equipe observou sinais claros de que os frameworks de endpoint security, especificamente os "Big 5" encontrados em assessments, são suscetíveis a engenharia reversa e evasão por LLMs. O mais preocupante: o harness necessário para desmontagem completa das detecções locais é "surprisingly simple".

A abordagem conecta um servidor MCP ao Binary Ninja para disassembly automatizado, permitindo que o LLM navegue pela lógica interna do EDR, identifique hooks de DLL em user-mode (como a cyinjct.​dll), extraia regras YARA offline dos arquivos locais e mapeie detecções comportamentais. As regras YARA e a lógica de allow/block list podem ser auditadas e comparadas offline sem acesso ao backend do EDR. Chester destaca que técnicas como remapeamento limpo de ntdll, syscalls diretos e restauração de prólogos patcheados são os alvos de maior valor no nível user-mode. A realidade é que a economia da evasão mudou: o que antes levava semanas de engenharia reversa manual agora pode ser feito em horas com LLMs e ferramentas de análise adequadas.

Figura: Terminal mostrando a inicialização do servidor FastMCP conectado ao BinaryNinja para análise automatizada de detecções de EDR. Fonte: Accelerating EDR Evasion with LLM-Driven Analysis.

ToddyCat e a Ferramenta Umbrij: Acesso ao Gmail Corporativo via OAuth Silencioso

Por Kaspersky (Securelist)

O grupo APT ToddyCat desenvolveu a ferramenta Umbrij para acessar contas Gmail corporativas sem ser detectado por soluções EPP/EDR. A técnica, batizada de Shadow Token via Remote Debug (STRD), conecta-se ao console de gerenciamento de navegadores Chromium em modo headless via porta de depuração remota, obtendo um código de autorização OAuth 2.0 que é trocado por um token de acesso à API do Gmail.

Se o usuário mantiver sessão ativa no navegador, o atacante herda o contexto autenticado sem interação da vítima. Não há necessidade de credenciais em texto claro. A persistência era garantida por uma tarefa agendada disfarçada com nome de produto Kaspersky. Trata-se de uma evolução significativa no acesso a serviços de nuvem corporativos, pois opera inteiramente dentro de fluxos legítimos do OAuth, tornando a detecção via telemetria de rede extremamente difícil.

GlueGate: Operações de Memória Proxiadas pela mozglue.​dll da Mozilla

Por sbousseaden

O projeto GlueGate demonstra como operações de memória do Windows (alocação, escrita e proteção) podem ser proxiadas através da mozglue.​dll, uma biblioteca assinada digitalmente pela Mozilla. Na prática, isso faz com que callbacks do kernel atribuam as operações a um módulo confiável em vez do código do operador.

A técnica é relevante tanto para red teams quanto para a construção de detecções baseadas em call stack. Do lado ofensivo, permite que alocações de memória suspeitas pareçam originar-se de um processo legítimo do Firefox. Do lado defensivo, serve como referência para construir detecções que não confiem cegamente na origem aparente de chamadas de API. É mais uma adição ao arsenal de técnicas que abusam de binários assinados por vendors confiáveis.

Melhorias no ShadowDumper: Dump de LSASS Sem Tocar no Disco

Por Practical Security Analytics

Enquanto integrava técnicas de dump de LSASS ao módulo de dump do SpecterInsight, o autor identificou várias limitações no ShadowDumper original do Offensive-Panda que facilitavam a detecção por EDR: escrita em caminho hardcoded, XOR de byte único e escrita em disco mesmo quando o dump era coletado via callbacks em memória.

A principal melhoria foi eliminar completamente a escrita em disco. O callback IoStartCallback retorna S_FALSE, redirecionando toda a I/O para IoWriteAllCallback, que escreve em uma List<byte> gerenciada. O dump permanece inteiramente na memória e é exfiltrado diretamente pelo C2. Para satisfazer a validação do MiniDumpWriteDump no Windows 10, que rejeita handle nulo, o autor usa um handle temporário com FILE_ATTRIBUTE_TEMPORARY | FILE_FLAG_DELETE_ON_CLOSE, que nunca recebe dados. Outras melhorias incluem XOR rolling e eliminação da dependência de dbghelp.​dll em variantes nativas.

Fontes:

• https://specterops.io/blog/2026/06/29/llm-powered-edr-analysis/

• https://securelist.com/toddycat-apt-umbrij-tool-and-oauth/120251/

• https://github.com/sbousseaden/gluegate

• https://practicalsecurityanalytics.com/dumping-lsass-without-touching-disk-improvements-to-shadowdumper/

Ferramentas Ofensivas

Raphael Mudge Retorna e Abre o Tradecraft de Evasão do Crystal Palace

Por Raphael Mudge

Raphael Mudge, criador do Cobalt Strike, que havia deixado a indústria em 2021, retornou e está publicando abertamente todo o seu conhecimento sobre tradecraft de evasão. O projeto Tradecraft Garden separa o tradecraft de evasão da capacidade ofensiva em si, enquanto o Crystal Palace é o linker que viabiliza essa separação na prática. O Crystal Palace permite construir código position-independent modular a partir de objetos COFF, com hooks, ofuscação de sleep e stomping de módulos componíveis de forma independente.

A publicação aberta e gratuita desse material representa uma democratização significativa de técnicas avançadas que antes eram restritas a ferramentas comerciais de alto custo. Para operadores ofensivos, isso significa acesso a técnicas de evasão de nível profissional sem depender de tooling proprietário.

GitLab CI Runners como Framework de C2

Por vrls

Uma pesquisa demonstrou o abuso de GitLab CI Runners como infraestrutura de comando e controle. O runner do GitLab para Windows é assinado digitalmente, roda como serviço, comunica-se via HTTPS na porta 443 para gitlab.​com e possui zero detecções no VirusTotal. O modelo operacional do runner, que busca comandos, executa e retorna resultados, espelha exatamente o comportamento de um C2 tradicional.

A PoC chamada GitRunner C2 transforma uma instância pública do GitLab em infraestrutura de C2 funcional usando pipelines. Todo o tráfego parece atividade legítima de CI/CD, dificultando a detecção via análise de rede. Para blue teams, o takeaway é que a presença de runners do GitLab em ambientes que não utilizam CI/CD deveria levantar alertas imediatos.

Fontes:

• https://x.com/cr3ghost/status/2071941829474545868

• https://vrls.ws/posts/abusing-gitlab-ci-runners-as-c2/

Ameaças e Campanhas

Boss Scam: CEO Fraud com DLL Sideloading e Sequestro de WhatsApp Web

Por I4C

O Indian Cybercrime Coordination Centre (I4C) detalhou uma campanha que combina engenharia social de CEO fraud com comprometimento técnico de endpoint. Executivos recebem mensagens falsas de reguladores como o RBI, executam um payload compactado em .zip contendo loader e DLL maliciosa via sideloading, e o atacante assume o WhatsApp Web da vítima para autorizar transferências fraudulentas.

A convergência de BEC tradicional com DLL sideloading e sequestro de sessão do WhatsApp Web torna esse esquema particularmente perigoso para empresas na Índia e em outras regiões onde o WhatsApp é ferramenta de negócios. O ataque não exige sofisticação técnica extraordinária, mas a combinação de vetores dificulta a detecção por controles isolados.

Mustang Panda Ataca Governo e Energia da Índia com SHARDLOADER e Zoho WorkDrive

Por Acronis TRU

A Acronis TRU documentou duas campanhas do Mustang Panda contra o governo e o setor de energia da Índia, utilizando o loader SHARDLOADER com DLL sideloading para implantar dois novos malwares: ZOHOMURK, que abusa do Zoho WorkDrive como C2 e canal de exfiltração, e MINIRECON, derivado do TONESHELL.

A escolha do Zoho WorkDrive é estratégica. A plataforma é amplamente adotada no governo indiano, o que significa que o tráfego C2 se mistura com atividade legítima de produtividade. Esse nível de reconhecimento prévio do ecossistema de software do alvo demonstra maturidade operacional crescente do grupo. Para equipes de defesa, o indicador relevante é o uso de serviços de nuvem legítimos e localmente populares como infraestrutura de C2.

Fontes:

• https://ministryofcyberaffairs.com/news/emerging-boss-scam-how-threat-actors-leverage-dll-sideloading-to-hijack-whatsapp-web-and-defraud-enterprises-06fe2b94-8ff0-48ae-9618-15e8d4f4483b

• https://www.acronis.com/en/tru/posts/mustang-panda-targets-indias-government-and-energy-sectors/

AppSec e Segurança de Código

DuneSlide: Duas RCEs Críticas via Prompt Injection Zero-Click no Cursor IDE

Por Itay Ravia (Cato AI Labs)

⚠️ O Cato AI Labs descobriu duas vulnerabilidades críticas de RCE no Cursor IDE, o editor de código com IA que, segundo a empresa, é utilizado por mais da metade das Fortune 500. Ambas receberam CVSS 9.8 e foram classificadas como CVE-2026-50548 e CVE-2026-50549. O ataque é zero-click: o desenvolvedor faz um prompt inocente que involuntariamente ingere um payload do atacante vindo de um servidor MCP ou resultado de busca web.

A primeira falha explora a manipulação do parâmetro working_directory para redirecionar a política de sandbox para um diretório controlado pelo atacante, permitindo escrita arbitrária de arquivos. A segunda abusa de uma race condition no monitoramento de alterações de arquivo para substituir o binário cursorsandbox entre a gravação e o reload. Ambas convertem comandos sandboxed em execução não-sandboxed com acesso total ao sistema. As correções estão no Cursor 3.0. Todas as versões anteriores à 3.0 são afetadas. Se você usa Cursor em ambiente corporativo, atualize agora.

Claude Code: Sandbox Escape via Confusão de Worktree e gitdir

Por Metnew

Uma prompt injection em um repositório clonado explora confusão de gitdir e misconfigurações de worktree para acionar execução de código em nível de host fora da sandbox do macOS. O ataque escala para comprometimento persistente via sobrescrita de ~/.zshenv, que é executado automaticamente em cada nova sessão de terminal.

A vulnerabilidade recebeu classificação de alta severidade e foi corrigida no Claude Code 2.1.163. O vetor é particularmente relevante porque não exige interação do usuário além de clonar um repositório malicioso. Para equipes de desenvolvimento que utilizam o Claude Code, a atualização é prioritária.

Fontes:

• https://www.catonetworks.com/blog/duneslide-two-critical-rce-vulnerabilities/?es_id=44fa444bfe

• https://github.com/Metnew/write-ups/tree/main/claude-code-worktree-sandbox-escape

⚡ Quicklinks

Série sobre Hypervisors em Game Cheats: EPT, NPT e Split Memory Views

Por @kernullist

Segunda parte da série sobre cheats de jogos baseados em hypervisor. Cobre EPT e NPT como tradução de segundo estágio, split memory views, EPT violations, AMD nested page faults, TLB stale views, large page splitting, PML, SPP, TDX e SEV SNP. Leitura essencial para quem trabalha com virtualização ofensiva ou análise de rootkits que abusam dessas primitivas.

GRAPE: Scanner de Padrões de Código que Varreu o Chromium em 12 Minutos

Por Han Zheng (HexHive, EPFL)

Han Zheng apresentou o GRAPE, scanner cross-context de padrões de código que varre o codebase inteiro do Chromium em 12 minutos. A ferramenta rendeu US$ 17.500 em bounties por 24 bugs de variante encontrados no Chrome VRP. Paper aceito no USENIX WOOT 2026 com todas as três badges de avaliação de artefatos.

Claude Code Marca Requisições com Esteganografia no System Prompt

Por thereallo

Análise do Claude Code v2.1.196 revela que o editor codifica informações de roteamento de requisição via alterações sutis de data e pontuação no system prompt, baseadas em variáveis de ambiente, timezone e hostname ofuscado. A descoberta levanta questões sobre telemetria oculta em ferramentas de desenvolvimento assistidas por IA.

SpotifyC2: Comando e Controle via Playlists do Spotify

Por NirvanaOn

O SpotifyC2 é uma ferramenta de pesquisa para Windows que usa títulos de playlists públicas do Spotify como sinais de comando, executando instruções localmente e enviando resultados via Telegram. Projetado para emulação de ameaças e pesquisa de canais C2 que abusam de serviços legítimos.

Fontes:

• https://x.com/kernullist/status/2071531192621645923

• https://x.com/wootsecurity/status/2071564242466001173

• https://thereallo.dev/blog/claude-code-prompt-steganography

• https://github.com/NirvanaOn/SpotifyC2/

🤖 Out of Curiosity

Anthropic Relibera Modelos Fable e Mythos Após Saga Regulatória nos EUA

Por AiDrop News

Após semanas de idas e vindas regulatórias, incluindo bloqueio em órgãos governamentais e denúncia da Amazon, a Anthropic liberou novamente os modelos Fable (SFW) e Mythos (NSFW) para todos os usuários globais do Claude. O filtro de segurança atualizado promete bloquear ameaças de cibersegurança em mais de 99% dos casos. No mesmo dia, a Anthropic anunciou o Claude for Science (automação de biologia e química conectada a mais de 60 databases) e o Claude Sonnet 5, descrito como o modelo mais agêntico da empresa. Trump assinou ordem executiva exigindo que labs de IA concedam ao governo acesso antecipado de aproximadamente 30 dias para avaliação de riscos antes da liberação pública.

Fontes:

• https://www.aidrop.news/p/fable-liberado-de-novo

// EOF

Três detalhes técnicos desta edição merecem releitura calma antes de fechar o terminal.

CitrixBleed virou infoleak de verdade. O overread do NetScaler termina em NULL ou >, permitindo sintonizar o tamanho do vazamento por requisição. Um dos leaks observados incluía o que parece ser um ponteiro válido (0xa10ca7ed), promovendo o bug de info disclosure trivial para primitiva de bypass de ASLR.

Flush de TLB sem privilégio no escape do RHEL 10. Sem acesso a INVLPG em ring 3, o exploit abusa do threshold tlb_single_page_flush_ceiling chamando mprotect em range grande, forçando flush completo do mm corrente. Uma limitação arquitetural transformada em vantagem, com coerência garantida das PTEs forjadas.

Sandbox do Claude Code cai antes do payload rodar. O zsh faz sourcing de ~/.zshenv antes do perfil seatbelt ser aplicado, então qualquer init file controlado pelo atacante executa fora do boundary. Sandboxar apenas o comando final é teatro. A fronteira precisa envolver o startup do shell.

Se algo desta edição merece ação imediata na sua organização, comece pelo patch. Sempre pelo patch.

Curadoria:
The Old Pirate, que sabe que srand(time(0)) não é entropia de verdade