Resumo Técnico: O Limiar do Envelope de Custódia

Declaração do Problema

A infraestrutura institucional moderna depende fortemente de artefatos mantidos externamente (ex: dependências de pacotes, imagens de contêiner, ações de CI/CD, módulos Terraform, pesos de modelos). Embora esses artefatos sejam triviais para desenvolvedores individuais buscarem e comporem, as instituições lutam para admitir, governar, revogar ou defender esses itens após uma falha. Frameworks existentes como SLSA, NIST SSDF e o S2C2F da Microsoft focam na integridade do produtor, práticas de desenvolvimento seguro ou maturidade de consumo seguro. No entanto, eles falham em explicar um enigma empírico crítico: por que classes de artefatos comparáveis produzem resultados institucionais divergentes. Alguns artefatos são admitidos diretamente, outros são intermediados por proxy, mediados por política, mediados por fornecedores, internalizados ou rejeitados. O artigo argumenta que a literatura atual carece de um modelo descritivo-preditivo que explique por que diferentes classes de artefatos se vinculam a diferentes condições de custódia e como as instituições selecionam modos de governança em resposta.

Metodologia

O artigo propõe o Limiar do Envelope de Custódia, um modelo de admissão de artefatos escalonado por autoridade. A metodologia é estruturada da seguinte forma:

1. Linhagem Teórica: O modelo sintetiza a tradição do monitor de referência (privilégio mínimo, mediação completa) e a economia de custos de transação (modos de governança como escolhas institucionais comparativas).
2. O Instrumento: Um instrumento ordinal de quatro condições pontua artefatos em um contexto de uso específico:
   • Autoridade de Execução ($A$): O nível de privilégio que o artefato recebe (0: não executável a 3: produção/infraestrutura privilegiada).
   • Identidade do Objeto ($I$): A estabilidade e verificabilidade da identidade do artefato (0: instável/implícita a 3: verificável/vinculada a políticas).
   • Caminho de Ingressão ($G$): O controle sobre como o artefato entra na instituição (0: busca pública direta a 3: fronteira imposta por política).
   • Capacidade de Revogação ($R$): A habilidade de bloquear, remover ou substituir o artefato após a admissão (0: sem caminho a 3: revogação rápida auditável).
3. A Regra de Fechamento: A admissão institucional direta só é defensável se o elo mais fraco da custódia atender ao limiar de autoridade:
   $$\min(I, G, R) \ge A$$
   Se esta condição falhar ($D = A - \min(I, G, R) > 0$), existe um "déficit de custódia".
4. Heurística de Seleção de Governança: Quando a admissão direta falha, a instituição seleciona o modo de governança de menor ônus capaz de fechar o déficit. Esta seleção depende de:
   • Especificidade de Custódia Local ($S$): Quanto conhecimento específico da instituição é necessário para o uso seguro (0: commodity a 3: específico da instituição).
   • Disponibilidade de Fechamento Externo: Se um provedor externo pode fornecer a fronteira ausente.
   • Escrutínio Institucional ($Q$): O nível de pressão de revisão externa/interna.
5. Derivação e Validação: O modelo é aplicado a seis casos de derivação (dependências de pacotes, GitHub Actions, imagens de contêiner, provedores/módulos Terraform, extensões de desenvolvedor e artefatos de modelos abertos). Ele é testado contra fluxos curl | bash e avaliado contra evidências retidas de servidores do Model Context Protocol (MCP). Um design de validação é proposto envolvendo a codificação independente de entradas e resultados para testar quatro hipóteses relativas ao escalonamento de autoridade, déficits de vínculo, dependência de contexto e interação de escrutínio.

Principais Contribuições

• Modelo Descritivo-Preditivo: Diferente de frameworks de maturidade prescritivos (ex: S2C2F), este artigo oferece um modelo que prevê por que as instituições escolhem modos de governança específicos (proxied, mediados por política, mediados por fornecedor, internalizados, em quarentena) com base na interação entre a autoridade do artefato e o fechamento da custódia.
• Custódia Escalonada por Autoridade: O artigo estabelece que os requisitos de custódia não são estáticos; eles escalam com a autoridade de execução delegada ao artefato. Um artefato de baixa autoridade exige controles modestos, enquanto um de alta autoridade demanda identidade forte, ingressão controlada e revogação rápida.
• Taxonomia de Modos de Governança: Define seis resultados de governança distintos não como rótulos arbitrários, mas como respostas econômicas a déficits de custódia sob autoridade delegada.
• Instrumento Operacional: Fornece uma rubrica de pontuação determinística (0–3) para identidade, ingressão, revogação e especificidade, permitendo a previsão mecânica dos principais modos de governança.
• Evidência Retida (MCP): O artigo introduz servidores do Model Context Protocol (MCP) como uma classe de artefato retida, demonstrando que superfícies de governança emergentes (registros, gateways, autorização com escopo) estão se materializando exatamente como o modelo prevê para ferramentas de IA de alta autoridade.

Resultados e Observações

A aplicação do framework aos seis casos de derivação produz os seguintes padrões:

• Dependências de Pacotes: Tipicamente exibem déficits de ingressão e resolução de namespace. O modo previsto e observado é Proxied (feeds internos, espelhos).
• GitHub Actions: Frequentemente enfrentam déficits de identidade mutável e de alta autoridade. O modo previsto é Policy-Mediated (fixação de SHA total, listas de permissões) ou Quarantined.
• Imagens de Contêiner: Frequentemente sofrem de déficits de revogação e ingressão. O modo é Proxied com controles de tempo de execução curados.
• Provedores Terraform: Apesar da alta autoridade, a forte identidade (assinatura) e ingressão (espelhos) permitem a Admission com distribuição assinada/travada.
• Módulos Terraform: Vinculam-se à especificidade de custódia local (conhecimento arquitetônico). O modo é Internalized (copiados/envoltos internamente).
• Extensões de Desenvolvedor: Enfrentam déficits de autoridade de endpoint e controle de atualização. O modo é Policy-Mediated ou Catalog-Mediated.
• Artefatos de Modelos Abertos: Frequentemente carecem de mecanismos de carregamento seguros e caminhos de revogação para contextos de alta autoridade. O modo é Vendor-Mediated (catálogos gerenciados) ou Quarantined.
• Servidores MCP (Evidência Retida): Evidências iniciais sugerem que servidores MCP de alta autoridade estão se movendo em direção à governança Vendor-Mediated (gateways, catálogos) conforme o ecossistema amadurece.

O artigo observa que o "curl | bash" persiste em contextos de baixo escrutínio, mas é transformado ou bloqueado em ambientes de alto escrutínio, confirmando a previsão do modelo de que o escrutínio impulsiona a convergência para uma custódia mais forte.

Significância e Alegações

O artigo alega mudar a unidade de análise de "aprovação de código aberto" para "admissão de classe de artefato". Sua significância central reside em fornecer um framework falsificável que explica a divergência institucional:

1. Falsificabilidade: O modelo é enfraquecido se instituições de alto escrutínio rotineiramente admitem artefatos de alta autoridade com fraco fechamento de custódia sem mediação. Inversamente, ele é enfraquecido se o forte fechamento de custódia não correlacionar com a admissão.
2. Economia da Governança: Reenquadra as decisões de segurança como escolhas econômicas onde as instituições selecionam modos de governança para minimizar o ônus de fechar déficits de custódia em relação à tolerância ao risco.
3. Poder Preditivo: O framework prevê que a busca pública direta diminuirá em caminhos de produção sérios, sendo substituída por proxies, registros curados e gateways, mesmo que o uso de artefatos públicos aumente.
4. Distinção de Trabalhos Anteriores: Distingue-se do SLSA e NIST SSDF ao focar na decisão de admissão e na divergência de resultados entre classes de artefatos, em vez de apenas integridade do produtor ou práticas de desenvolvimento seguro.

O artigo conclui que as instituições não admitem artefatos externos simplesmente porque são úteis; elas os admitem apenas quando a utilidade pode ser convertida em custódia escalonada por autoridade a um ônus de governança aceitável.