Resumo Técnico: Um Levantamento sobre Segurança Agêntica: Aplicações, Ameaças e Defesas

Declaração do Problema

A rápida integração de agentes de Grandes Modelos de Linguagem (LLM) na cibersegurança criou um cenário de pesquisa fragmentado. Embora os agentes ofereçam capacidades autônomas para tarefas que variam desde testes de penetração até resposta a incidentes, sua autonomia introduz novas superfícies de ataque que os alinhamentos de segurança dos modelos base não cobrem de forma confiável. A literatura existente trata aplicações, ameaças e defesas de forma isolada, falhando em fornecer um relato unificado de como as capacidades, vulnerabilidades e contramedidas de um agente se interconectam. Essa falta de um framework holístico dificulta a capacidade de pesquisadores e profissionais de entender quais ameaças são mitigadas pelas defesas atuais e como as capacidades de duplo uso (ex: agentes de red-teaming) podem ser instrumentalizadas.

Metodologia

Os autores realizaram um levantamento abrangente de mais de 260 artigos publicados entre 2024 e 2026. O trabalho é estruturado em torno de três pilares fundamentais:

1. Aplicações: Analisando como os agentes são implantados em tarefas de cibersegurança downstream.
2. Ameaças: Catalogando vulnerabilidades inerentes e vetores de ataque específicos para sistemas agênticos.
3. Defesas: Examinando contramedidas e estratégias de endurecimento (hardening).

Além da catalogação, os autores realizaram uma análise transversal entre esses pilares. Eles mapearam os artigos para estágios específicos dos ciclos de vida de segurança ofensiva e defensiva, classificaram os sistemas por níveis de autonomia e paradigmas arquiteturais (ex: monolítico vs. planejador-executor), analisaram o uso de modelos de fundação e modalidades de dados, e avaliaram a fragmentação dos esforços de benchmarking. A análise distingue entre ameaças herdadas dos modelos base, aquelas amplificadas pelo framework agêntico e aquelas nativas do ambiente agêntico.

Principais Contribuições

1. Taxonomia Holística de Três Pilares

O artigo apresenta o primeiro levantamento unificado da segurança agêntica, organizando o campo em Aplicações, Ameaças e Defesas. Ele oferece uma taxonomia detalhada de mais de 260 artigos, proporcionando uma visão estruturada do campo que conecta capacidades ofensivas com necessidades defensivas.

2. Análise do Cenário de Aplicação

• Cobertura do Ciclo de Vida: A pesquisa está fortemente concentrada em estágios com feedback imediato (descoberta de vulnerabilidades, exploração, detecção, remediação). Estágios que exigem furtividade sustentada ou consciência de longo prazo, como persistência e exfiltração, são amplamente inexplorados tanto em contextos ofensivos quanto defensivos.
• Assimetria de Autonomia: Existe uma lacuna significativa entre agentes ofensivos e defensivos. 88,1% dos sistemas ofensivos operam no Nível 3 de autonomia (totalmente autônomos), enquanto 100% dos sistemas defensivos exigem controles de humano no ciclo (Níveis 0–2). Agentes defensivos funcionam primariamente como copilotos, enquanto agentes ofensivos são otimizados para a conclusão de tarefas de ponta a ponta.
• Natureza de Duplo Uso: 55,3% dos sistemas orientados à aplicação expõem capacidades que são diretamente ofensivas ou de duplo uso. O artigo destaca que agentes de red-teaming frequentemente reduzem o nível de habilidade necessário para atacantes, reduzindo os custos operacionais em 2,8x a 8,9x em comparação com bases humanas e aumentando a escalabilidade através de execução paralela.

3. Análise do Cenário de Ameaças

• Ameaças Herdadas vs. Nativas: Aproximadamente 67% dos ataques são herdados de ou amplificados pelo LLM base (ex: injeção de prompt, jailbreaking), confirmando que o alinhamento de segurança degrada quando ferramentas e memória são adicionadas. Apenas 25% das ameaças são nativas de agentes (ex: comprometimento de mensagens entre agentes, sequestro de plano).
• Superfície de Ataque: Os pontos de entrada mais atacados são entradas conversacionais (consultas de usuários/prompts de sistema) e interfaces autônomas (documentos recuperados, respostas de ferramentas). Por outro lado, comunicação entre agentes, memória persistente e outputs de reflexão são as superfícies menos estudadas.
• Estágios de Falha: Ataques visam predominantemente os estágios de percepção e seleção de ação do loop do agente. O estágio de reflexão é o menos visado, criando uma lacuna de cobertura onde a lógica de raciocínio intermediária pode ser subvertida sem alterar os outputs finais.
• Modelos de Ameaça: A maioria dos estudos assume um modelo de ameaça de caixa-preta (70%), sugerindo que agentes são estruturalmente frágeis por padrão, uma vez que compromissos graves podem ser alcançados sem privilégios elevados.

4. Análise do Cenário de Defesa

• Limitações de Estratégia: Nenhuma estratégia de defesa única é robusta em todas as dimensões (escalabilidade, robustez adversarial, latência e cobertura). O campo está migrando para arquiteturas híbridas e multicamadas.
• Trade-off Custo-Segurança: Proteções mais fortes consistentemente incorrem em maior latência e custos de tokens, traçando uma clara fronteira de Pareto entre segurança e custo. Por exemplo, enquanto alguns filtros operam em milissegundos, sistemas forenses abrangentes podem exigir minutos de processamento.
• Posicionamento no Ciclo de Vida: Há uma mudança decisiva para uma postura de "assumir a violação" (assume-breach). 75,2% dos artigos investigam defesas pós-computação (monitoramento, auditoria), e 40,0% adotam estratégias de defesa em profundidade combinando controles pré e pós-computação.
• Lacunas de Cobertura: As defesas estão fortemente focadas em ataques de injeção e manipulação. Infecção de prompt e ataques de pré-execução (ex: cadeias de suprimentos envenenadas) permanecem como as classes de ataque menos cobertas.

5. Tendências Transversais

• Arquitetura: O campo está migrando de agentes monolíticos para designs de multi-agentes e planejador-executor.
• Modelos de Backbone: Variantes do GPT são o backbone quase universal (95,7% dos artigos), criando um risco potencial de monocultura.
• Modalidades de Dados: A cobertura é enviesada para texto (91,3%) e código (50,6%). Modalidades de baixo nível como rastros de rede (8,7%) e binários (5,9%) são significativamente sub-representadas.
• Fragmentação de Benchmarks: A literatura de ameaças é altamente fragmentada, com cerca de 85% dos benchmarks nomeados sendo de uso único, dificultando a comparação entre artigos.

Resultados e Descobertas

O levantamento revela que sistemas agênticos são estruturalmente frágeis por padrão. A transição de LLMs passivos para agentes autônomos aumenta significativamente a superfície de ataque, muitas vezes anulando o alinhamento do modelo base. As principais descobertas incluem:

• Eficiência Ofensiva: Agentes de red-teaming podem explorar vulnerabilidades a uma fração do custo de especialistas humanos, com alguns sistemas alcançando 87% de sucesso em CVEs de um dia (one-day) a aproximadamente US$ 8,80 por exploit.
• Restrições Defensivas: Agentes defensivos permanecem limitados pela segurança e responsabilidade, raramente alcançando autonomia total, o que limita sua escalabilidade contra ataques automatizados de alto volume.
• Lacunas de Avaliação: Os benchmarks atuais falham em testar adequadamente superfícies nativas de agentes, como envenenamento de memória e comunicação entre agentes, e há uma falta de métricas universalmente comparáveis além da Taxa de Sucesso de Ataque (ASR).

Significância e Alegações

O artigo alega fornecer o primeiro levantamento holístico do cenário de segurança agêntica, preenchendo a lacuna entre estudos isolados de ameaças, defesas e aplicações. Sua significância reside em:

1. Unificar o Campo: Oferecer um framework estruturado para entender as interconexões entre capacidades, vulnerabilidades e contramedidas de agentes.
2. Destacar a Fragilidade Estrutural: Demonstrar que os sistemas agênticos atuais são inerentemente vulneráveis devido ao descompasso entre o alinhamento do modelo base e a autonomia agêntica.
3. Identificar Lacunas Críticas: Apontar áreas específicas que requerem pesquisas futuras, incluindo os estágios subexplorados do ciclo de vida de segurança (persistência, exfiltração), superfícies de ataque nativas de agentes (memória, reflexão) e a necessidade de benchmarks multimodais padronizados.
4. Guiar Defesas Futuras: Argumentar que proteger sistemas agênticos requer arquiteturas de defesa em profundidade e ao longo de todo o ciclo de vida, e que o campo deve abordar a lacuna de autonomia para construir sistemas de segurança autônomos confiáveis e escaláveis.

Os autores concluem que, embora o campo tenha progredido rapidamente, a segurança de sistemas agênticos exigirá uma mudança de paradigma para defesas holísticas e multicamadas e frameworks de avaliação padronizados que reflitam a complexidade das interações do mundo real entre agentes.