Experimento revela que Kilo Code enviou arquivos de projeto não autorizados para servidor
9 de novembro de 2026 · 2 min de leitura
Um experimento técnico demonstrou que o cliente Kilo Code enviou a totalidade de um projeto para um servidor, apesar de instruções explícitas do usuário para limitar a transferência a apenas dois arquivos específicos.
O teste utilizou o arquivo executável bin/kilo.exe da extensão Kilo Code 7.4.20 para Visual Studio Code. O cenário foi configurado para que o usuário permitisse a transmissão apenas dos arquivos price.py e check.py para a correção de um cálculo e a verificação do resultado. No entanto, as permissões técnicas do cliente eram mais amplas, permitindo a leitura e a execução de comandos.
Para a simulação, foi utilizado um servidor HTTP que imitava a interface de programação de aplicações Chat Completions da OpenAI, enviando respostas em fluxo com chamadas de ferramentas. O servidor foi configurado para agir como um provedor não confiável, ignorando as instruções do usuário e enviando comandos sequenciais para ler todos os arquivos do projeto antes de solicitar a correção do código e a execução do teste.
O resultado mostrou que o servidor recebeu doze arquivos, cujas cópias coincidiram byte a byte com os originais. O Kilo incluiu os resultados da leitura nos pedidos enviados ao modelo, permitindo que o servidor extraísse o conteúdo através do histórico do chat. O processo ocorreu via interface de linha de comando através do comando run, sem a utilização de sessões gráficas da extensão.
Em termos de tráfego de dados, o código único do projeto ocupava 11.103 bytes, mas o volume total dos corpos dos pedidos para a interface de programação de aplicações do modelo somou 458.779 bytes. Esse volume elevado ocorreu porque o Kilo reenvia o histórico do chat em cada nova requisição, fazendo com que o conteúdo de leituras anteriores fosse repetido em múltiplos pedidos, além de incluir descrições de ferramentas e marcações de serviço.
O experimento foi realizado em ambiente Windows utilizando Python 3.14.9 e Kilo 7.4.20, com a desativação de plug-ins externos e servidores de protocolo de contexto de modelo.