Execution-bound advisory automation for agentic AI: a reproducible AIBOM-driven CSAF-VEX framework

Resumo Técnico: Automação de Consultoria Vinculada à Execução para IA Agêntica

Declaração do Problema
A segurança da cadeia de suprimentos de software atual depende fortemente de SBOMs (Software Bills of Materials) estáticas e de frameworks de correlação de vulnerabilidades como o CSAF (Common Security Advisory Framework) e o VEX (Vulnerability Exploitability eXchange). Embora esses mecanismos melhorem a visibilidade das dependências de componentes, eles permanecem fundamentalmente estáticos. Eles enumeram componentes declarados, mas carecem de um vínculo verificável com estados de execução em tempo de execução, restrições de política operacional ou as características comportamentais dos sistemas nos quais os componentes são implantados.

Esta limitação é crítica no contexto de sistemas de IA Agêntica, que não são artefatos de software monolíticos, mas ambientes dinâmicos e multiagentes compostos por modelos de fundação, templates de prompts, conectores de ferramentas, lógica de orquestração e dependências conteinerizadas. Nesses sistemas, o comportamento é moldado por inputs contextuais, memória, comunicação entre agentes e políticas de execução impostas. Os fluxos de trabalho tradicionais baseados em SBOM falham em capturar o linhagem do modelo, dependências de prompts ou cadeias de invocação de ferramentas. Consequentemente, as avaliações de explorabilidade derivadas de inventários estáticos superestimam frequentemente o risco operacional, gerando esforços de remediação com excesso de falsos positivos. Embora os AIBOMs (Artificial Intelligence Bills of Materials) emergentes estendam a transparência para artefatos específicos de IA, eles carecem atualmente de um mecanismo reproduzível para vincular a telemetria de tempo de execução e o contexto de execução à geração de avisos (advisories).

Metodologia
O artigo propõe um framework orientado a protocolos que transforma a automação de avisos de vulnerabilidade de um processo de enumeração estática em um fluxo de trabalho computacional consciente de contexto e vinculado à execução. A metodologia integra três camadas coordenadas para vincular artefatos SBOM e AIBOM a uma captura de ambiente determinística e telemetria de tempo de execução estruturada:

1. Captura de Ambiente Determinística (Model Context Protocol - MCP): Esta camada captura estados pré-execução, incluindo digests de imagens de contêiner, hashes de artefatos de modelos, identificadores de commit de templates de prompts, definições de endpoints de ferramentas e políticas de segurança impostas (ex: controles de egress de rede). Todos os artefatos são selados criptograficamente para criar um envelope de execução reproduzível.
2. Observação e Coordenação em Tempo de Execução (Protocolo Agent2Agent - A2A): Agentes sidecar seguros ou processos envolvidos por init-wrapper coletam telemetria estruturada de tempo de execução. Isso inclui rastreios de chamadas de sistema, carregamentos de bibliotecas dinâmicas, conexões de rede externas, eventos de invocação de ferramentas e níveis de privilégio. A telemetria é carimbada com tempo (timestamp), possui hash e é assinada na origem para garantir a integridade sem instrumentação intrusiva.
3. Governança e Rastreabilidade (AGNTCY): Esta camada de orquestração valida identidades de agentes, impõe restrições de política e gerencia a assinatura e disseminação de avisos CSAF-VEX. Ela vincula avisos a UUIDs de jobs específicos e DOIs de datasets dentro de uma camada de transparência federada.

O mecanismo de inferência de explorabilidade opera em uma lógica de três condições:

• Presença: O componente vulnerável está declarado no SBOM/AIBOM?
• Ativação: O componente é realmente invocado ou alcançável durante o tempo de execução (verificado via telemetria)?
• Viabilidade: As restrições ambientais (ex: políticas de rede, restrições de privilégio) permitem que o exploit ocorra?

Uma vulnerabilidade é classificada como Afetada apenas se todas as três condições forem satisfeitas. Caso contrário, é classificada como Não Afetada. O framework gera avisos CSAF-VEX criptograficamente assinados contendo hashes de evidência de tempo de execução e referências de proveniência, que são então validados através de replay determinístico.

Principais Contribuições

• Geração de Avisos Vinculada à Execução: O artigo redefine a geração de avisos como um processo determinístico fundamentado no comportamento observado do sistema, em vez de uma enumeração estática de dependências.
• Integração de AIBOM: Estende o conceito de SBOM para incluir artefatos específicos de IA (modelos, prompts, ferramentas) e os vincula à telemetria de tempo de execução, criando um pipeline unificado impulsionado por AIBOM.
• Reproducibilidade via Replay Determinístico: O framework garante que os avisos CSAF-VEX sejam reproduzíveis sob condições de execução idênticas, selando envelopes de execução e verificando saídas via comparação de hash durante replays de auditoria.
• Filtragem Consciente de Contexto: Ao integrar telemetria de tempo de execução e restrições de política, o sistema filtra vulnerabilidades que estão presentes, mas não são ativáveis, reduzindo significativamente os falsos positivos.

Resultados
O framework foi avaliado utilizando aproximadamente 10.000 entradas de componentes através de cargas de trabalho sintéticas de IA Agêntica (variando de 50 a 5.000 componentes) e dados de contêineres do mundo real, incorporando inteligência de ameaças do OSV, GitHub Advisory, CISA KEV e FIRST EPSS.

• Métricas de Desempenho: Sob condições experimentais controladas, o framework alcançou um F1-score de 0,93 (precisão 0,96, recall 0,92). Isso representa uma melhoria significativa em relação ao pareamento estático SBOM–CVE, que alcançou um F1-score de 0,78.
• Redução de Falsos Positivos: A abordagem vinculada à execução reduziu os falsos positivos em 37% a 42% em relação às bases estáticas, principalmente ao excluir vulnerabilidades que exigem egress de rede, escalonamento de privilégios ou caminhos de execução dinâmica que não foram observados durante o tempo de execução.
• Impacto do AIBOM: A integração de artefatos AIBOM alterou os resultados de explorabilidade em 31% dos casos de artefatos específicos de IA. Especificamente, 54% das instâncias de vulnerabilidade de IA específica foram reclassificadas como não-ativáveis devido ao isolamento de rede ou roteamento de prompt inalcançável.
• Reproducibilidade: O replay determinístico de envelopes de execução selados resultou em 100% de consistência de hash ao longo de 100 ciclos de geração de avisos, confirmando que os resultados de explorabilidade são estáveis sob condições idênticas.
• Escalabilidade: O sistema demonstrou características de processamento quase lineares, processando 1.000 entradas de SBOM em menos de quatro minutos em instâncias otimizadas para computação, com a telemetria de tempo de execução introduzindo um overhead médio de 8,4%.

Significância e Alegações
O artigo posiciona este trabalho como uma contribuição de sistemas e framework com validação empírica estruturada baseada em simulação, em vez de um estudo de modelagem preditiva puramente orientado a dados. Os autores alegam que sua metodologia aborda uma lacuna metodológica crítica na segurança da cadeia de suprimentos de IA ao mover a automação de avisos de "transparência descritiva" para "inteligência de segurança operacionalmente fundamentada e consciente de contexto".

A significância reside em demonstrar que a explorabilidade em sistemas de IA Agêntica não pode ser inferida apenas de grafos de dependências estáticas. Ao vincular artefatos AIBOM à telemetria de tempo de execução, o framework transforma a geração de CSAF-VEX de uma divulgação estática em uma avaliação de explorabilidade fundamentada na execução. Isso permite que as organizações distingam entre vulnerabilidades que estão meramente presentes e aquelas que são realmente exploráveis sob restrições de política específicas. Os autores enfatizam que, embora os resultados demonstrem viabilidade e validade interna sob condições controladas, eles não pretendem uma generalização preditiva universal para todas as implantações heterogêneas do mundo real, reconhecendo limitações relativas à observabilidade parcial e ao uso de dados sintéticos para testes de escalabilidade.