A ferramenta `exec shell interact()` (alias `exec interact()`) retorna incorretamente `ApprovalRequirement::Auto` para seu requisito de aprovação. Este comportamento substitui a aprovação obrigatória padrão para ferramentas que executam código, permitindo que a entrada padrão (stdin) controlada por LLM seja gravada em um shell interativo de longa duração já aprovado, como um REPL `python3 -i`, `mysql`, `ssh` ou sessão `sudo -i`, sem solicitar aprovação. Um invasor pode explorar isso injetando instruções por meio de conteúdo não confiável ingerido pelo agente, como uma página recuperada, resultado de MCP ou arquivo de repositório, resultando na execução de comandos no nível de privilégio do processo aprovado.