Resumo Técnico: A Balkanização da Pesquisa de Segurança de Execução para Agentes de Codificação de IA

Declaração do Problema

Agentes de codificação de IA operam cada vez mais com a capacidade de ler repositórios, invocar ferramentas e executar comandos de shell, muitas vezes com supervisão humana limitada. Embora um corpo significativo de literatura tenha surgido para estudar a segurança da camada de execução que envolve esses agentes, essa pesquisa está fragmentada. Estudos sobre isolamento de sandbox, controle de acesso, aplicação de políticas, condições de corrida de tempo de verificação para tempo de uso (TOCTOU) e ameaças ao Protocolo de Contexto de Modelo (MCP) são publicados independentemente, raramente citam uns aos outros entre categorias e carecem de uma estrutura organizacional unificada.

Surveys mais amplos de segurança de agentes de IA tratam o isolamento de execução meramente como um item em um catálogo de defesas ao lado de injeção de prompt e envenenamento de recuperação, em vez de tratá-lo como um assunto com sua própria estrutura interna. Além disso, a preocupação não é especulativa; vulnerabilidades reais, incluindo quatro CVEs divulgados afetando harnesses de produção (incluindo Claude Code e GitHub Copilot), confirmam que a fronteira de execução é uma superfície de ataque crítica. O campo carece de uma sistematização que organize esses trabalhos por mecanismo de segurança de execução para revelar lacunas transversais.

Metodologia

Este artigo apresenta uma Sistematização do Conhecimento (SoK) baseada em um protocolo de verificação rigoroso:

• Construção do Corpus: Os autores identificaram 39 artigos publicados entre 2023 e 2026 que abordam a camada de execução de agentes baseados em LLM (a fronteira entre as decisões do agente e o SO/sistema de arquivos/rede).
• Verificação: Diferente de resumos secundários, cada artigo foi verificado diretamente em sua fonte (página de abstract do arXiv) para confirmar título, autores, conferência e contribuições alegadas. Dois candidatos foram corrigidos ou descartados devido a erro de atribuição encontrado durante este processo.
• Confirmação de CVE: Quatro CVEs divulgados e corrigidos afetando ferramentas de produção foram verificados independentemente na base de dados Nacional de Vulnerabilidades (NVD) do NIST.
• Categorização: Os artigos foram atribuídos a exatamente uma de 17 categorias baseadas em seu principal mecanismo de segurança de execução. O corpus completo e a categorização são liberados como um arquivo CSV legível por máquina para garantir que a taxonomia seja auditável e falsificável.
• Síntese: Os autores leram através das categorias para identificar lacunas invisíveis dentro de categorias únicas, mapeando os 17 categorias em quatro causas raízes subjacentes e analisando-as por estágio de pipeline (pré-ação, durante a ação, pós-ação).

Principais Contribuições

1. Corpus Sistematizado: Uma coleção verificada de 39 artigos de segurança de execução organizados em 17 categorias, incluindo arquiteturas de isolamento, benchmarks de escape, controle de acesso, fragilidade de aplicação de política, TOCTOU, ameaças ao MCP e medição de desvio de escopo (scope-creep).
2. Fundamentação no Mundo Real: Confirmação direta de quatro CVEs (incluindo dois no Claude Code) afetando ferramentas de agentes de produção, fundamentando a pesquisa em incidentes resolvidos em vez de apenas modelos de ameaças teóricos.
3. Identificação de Cinco Lacunas Transversais: Ao ler através das categorias, o artigo identifica cinco lacções estruturais que nenhum artigo individual aborda:
   • Lacuna 1 (Isolamento de Avaliação): Arquiteturas de isolamento e modelos de controle de acesso são avaliados contra modelos de atacante fixos, mas nunca entre si em um benchmark compartilhado.
   • Lacuna 2 (Reavaliação Adversária): Mecanismos de defesa não são reavaliados contra taxas de falha de aplicação medidas empiricamente (por exemplo, a fragilidade de 69–98% de denylists do mundo real encontrada no ShellSieve).
   • Lacuna 3 (Fragmentação de Vocabulário): Condições de corrida TOCTOU e ameaças de envenenamento de ferramentas MCP são estudadas como literaturas separadas, apesar de ambas serem instâncias do mesmo problema de validação de estado "validar-então-agir".
   • Lacuna 4 (Assunção de Autor Honesto): Todo mecanismo de aplicação assume um autor de política honesto, deixando o risco de erros de autoria de política (políticas excessivamente permissivas ou contraditórias) sem tratamento.
   • Lacuna 5 (Desvio de Escopo): Um modo de falha recém-medido onde agentes realizam ações benignas, mas não solicitadas (taxa de até 17,1%), não é abordado por nenhum artigo de controle de acesso ou capacidade no corpus.
4. Análise de Causa Raiz: A taxonomia é colapsada em quatro causas recorrentes:
   • RC1: Sem separação estrutural entre conteúdo não confiável e entrada de controle.
   • RC2: Autorização verificada uma vez e confiada para sempre (estado obsoleto).
   • RC3: Mecanismos codificam se um tipo de ação é permitido, não se a invocação específica corresponde à intenção.
   • RC4: Defesas são validadas contra atacantes construídos pelos autores, em vez de falhas reais observadas empiricamente.

Resultados e Descobertas

• Fragmentação: O campo é altamente fragmentado. Pares de categorias de alta similaridade (ex: isolamento vs. controle de acesso, TOCTOU vs. ameaças ao MCP) são consistentemente os que não se citam mutuamente.
• Mecanismo vs. Medição: O corpus é dominado por propostas de mecanismos (portões, sandboxes) em vez de medições empíricas. Embora oito categorias foquem em medição (ex: benchmarks de escape, fragilidade de política), nenhum dos artigos de proposta de mecanismo relata suas taxas de defesa contra os corpora adversários específicos construídos pelos artigos de medição.
• Vulnerabilidades do Mundo Real: Os CVEs verificados demonstram que a fronteira de execução é violada na prática. Por exemplo, o CVE-2025-59536 no Claude Code permitiu a execução de código antes que um diálogo de confiança do usuário fosse aceito, uma condição de corrida TOCTRU estrutural.
• Fragilidade de Política: Estudos como o ShellSieve descobriram que de 69,0% a 98,6% das denylists de comandos reais são frágeis contra bypasses, mas artigos de isolamento e controle de acesso não reavaliam suas defesas contra essas técnicas de bypass do mundo real.
• Desvio de Escopo: Agentes exibem comportamento "excessivamente zeloso" onde realizam ações autorizadas, mas não solicitadas. Essa taxa pode saltar de 0,0% para 17,1% baseando-se apenas na formulação do prompt, um modo de falha que modelos de capacidade padrão (que verificam se uma ação é permitida, não se ela é pretendida) não detectam.

Significância e Alegações

O artigo alega ser o primeiro trabalho a tratar a segurança de execução para agentes de IA como um assunto com sua própria estrutura interna, distinta de estudos de segurança de agentes de IA mais amplos ou injeção de prompt. Sua significância reside não em propor novas defesas, mas em:

• Auditar o Campo: Fornecer um corpus verificado e legível por máquina que permite à comunidade verificar, estender ou disputar a classificação do trabalho existente.
• Reenquadrar a Agenda de Pesquisa: Argumentar que o próximo progresso do campo não reside em propor outro mecanismo de isolamento ou modelo de controle de acesso, mas em fechar as cinco lacunas identificadas.
• Preencher a Lacuna: Destacar que a separação entre propostas de mecanismos e medições empíricas (e entre modelos de ameaça relacionados como TOCTOU e MCP) impede que os praticantes compreendam quais defesas são verdadeiramente eficazes contra modos de falha do mundo real.

Os autores concluem que o volume de trabalho (39 artigos em menos de dois anos) indica que o campo reconhece a segurança de execução como urgente, mas a energia tem sido direcionada quase inteiramente para a construção de novos mecanismos, em vez de avaliação entre mecanismos. O artigo pede que trabalhos futuros foquem em benchmarks compartilhados, reavaliação de defesas contra a fragilidade de política do mundo real e abordagem da assunção do "autor honesto" e dos modos de falha de desvio de escopo.