Resumo Técnico: Framework CyberLLM para Cibersegurança Automotiva

1. Declaração do Problema

A transição para Veículos Definidos por Software (SDVs) expandiu significativamente a superfície de ataque automotiva, introduzindo vulnerabilidades em códigos-fonte, logs de tempo de execução e topologias de implantação. Embora os Grandes Modelos de Linguagem (LLMs) ofereçam o potencial de raciocinar sobre esses artefatos heterogêneos e propor remediações, sua aplicação em ambientes críticos de segurança enfrenta dois desafios primários:

1. Natureza Probabilística: LLMs podem alucinar descobertas ou omitir problemas, tornando-os não confiáveis como base exclusiva para decisões de segurança.
2. Restrições de Segurança: Agentes autônomos atuando em veículos nunca devem executar ações inseguras ou não autorizadas, mesmo quando as entradas são manipuladas adversariamente (ex: via injeção de prompt ou envenenamento de memória).

As ferramentas atuais tipicamente abordam essas camadas de forma isolada, utilizando scanners baseados em regras ou revisões manuais, carecendo da capacidade de raciocinar entre camadas ou agir autonomamente com supervisão. Há uma necessidade de um framework que equilibre a detecção autônoma com um envelope de segurança determinístico e auditável.

2. Metodologia: O Framework CyberLLM

O CyberLLM é um framework multiagente, orquestrado por LLM, projetado para detectar vulnerabilidades autonomamente e executar remediações sob um guarda de segurança de tempo de execução formal. O sistema opera em um pipeline orientado por esquemas, onde cada agente deriva de um BaseAgent comum, garantindo a proveniência obrigatória para todas as entradas.

A. Arquitetura de Detecção em Camadas

A fase de detecção funde análise determinística com refinamento por LLM para alcançar alta revocação (recall) sem sacrificar a precisão:

• Piso Determinístico: Uma camada "sempre ativa" composta por:
  • Regras de Regex: Padrões multilinhas e insensíveis a maiúsculas/minúsculas para código.
  • Analisadores AST: Execução em sandbox de ferramentas como Bandit (Python) e Semgrep (outras linguagens).
  • Verificações de Grafo de Topologia: Análise estática de YAMLs de implantação contra invariantes (ex: atores externos detendo arestas de escrita para a memória).
  • Analisadores de Log: Detectores temporais/estatísticos para anomalias como tentativas de força bruta ou canais codificados via DNS.
• Passagem de Refinamento por LLM: Os acertos determinísticos são injetados como contexto nos scanners de LLM. O LLM é estritamente instruído a refinar, explicar ou estender descobertas existentes em vez de inventar novas. Uma passagem de "crítico de completude" visa especificamente defeitos semânticos (ex: condições de corrida de dados, TOCTOU) que o regex não consegue detectar.
• Fusão: As descobertas são deduplicadas; a camada determinística atua como a verdade fundamental (ground truth), com o LLM adicionando valor apenas quando identifica novos loci genuínos.

B. Mecanismo de Decisão e Resposta

Um Agente de Decisão agrega descobertas, rotula-as usando uma taxonomia de ativos centrada no humano (sete categorias) e seleciona uma resposta em níveis (nenhuma/suave/moderada/forte).

• Memória e Feedback: O agente consulta um armazenamento de memória assinado entre sessões para incidentes passados semelhantes. Precedentes podem elevar o nível da resposta, mas nunca diminuí-lo. Se uma tentativa anterior foi recusada, o sistema aumenta automaticamente o nível.
• Geração de Ação: Um Gerador de Ação constrói um plano de remediação. Ele depende de um playbook baseado em ID de regra para servir de piso. Um seletor de ferramentas opcional por LLM pode adicionar etapas de um registro de ferramentas estilo MCP, mas apenas ferramentas de leitura, observação ou verificação são permitidas; ações destrutivas são proibidas.

C. Guarda de Segurança de Tempo de Execução

Antes de qualquer ação ser executada, um SecurityGuard impõe quatro propriedades de segurança contextual (derivadas de Siu et al. [1]) e um oráculo de alinhamento de ação independente:

1. Alinhamento de Tarefa: O objetivo está dentro do conjunto permitido.
2. Alinhamento de Ação: O tipo de ação é compatível com o objetivo.
3. Autorização de Origem: Todas as entradas originam-se de fontes autenticadas.
4. Isolamento de Dados: As ações escrevem apenas em destinos confiáveis.

• Oráculo ($H_a$): Um juiz LLM independente verifica se a ação proposta serve genuinamente ao objetivo declarado. Este oráculo só pode restringir a decisão (aprovar $\to$ recusar), nunca afrouxar, garantindo que um scanner subvertido não possa forçar uma ação insegura.
• Tratamento de Recusa: Se uma ação for recusada, o sistema dispara o replanejamento com um nível elevado em vez de executar uma correção potencialmente insegura.

D. Pipeline de Ataque Simétrico

Para avaliar a qualidade da defesa, o CyberLLM inclui um pipeline de red-team que espelha os agentes de defesa. Ele gera scripts de exploração não destrutivos e apenas para canários (ex: injeção de shell, path traversal) baseados na mesma base de regras. Isso permite que tanto o ataque quanto a defesa sejam medidos em cenários idênticos sem executar exploits reais.

3. Principais Contribuições

O artigo descreve quatro contribuições primárias:

1. Design de Detecção em Camadas: Um fluxo unificado fundindo analisadores de regex, AST e grafos de topologia com uma passagem de refinamento por LLM, onde o piso determinístico fundamenta e restringe o LLM.
2. Mecanismo de Decisão e Resposta: Um mecanismo que seleciona mitigações em níveis, aumenta a confiança via memória assinada e feedback de replanejamento, e executa planos através de um registro de ferramentas com verificação por etapa e rollback.
3. Guarda de Segurança de Tempo de Execução: Uma camada de imposição formal que aplica quatro propriedades de segurança contextual e um oráculo de alinhamento de ação independente para evitar ações inseguras, mesmo que os componentes anteriores sejam subvertidos.
4. Pipeline de Ataque Simétrico e Benchmark: Um sistema para gerar e reproduzir exploits para medição lado a lado, avaliado em um corpus rotulado manualmente de módulos de ECU automotiva.

4. Resultados Experimentais

O framework foi avaliado em um benchmark independente e com verdade fundamental (ground-truth) consistindo em nove módulos originais de ECU automotiva (C, C++, Rust) contendo 47 vulnerabilidades em camadas, além de dois módulos de controle limpos.

• Camada Determinística (Modo Rápido): Cobriu 34,0% (16/47) das vulnerabilidades rotuladas com 100% de precisão (zero falsos positivos em controles limpos).
• Camada Aumentada por LLM (Modo Profundo): Ao adicionar o refinamento por LLM e passagens de completude, a cobertura aumentou para aproximadamente 70% (33/47) com um F1 score de 0,83.
• Manutenção de Precisão: O Modo Profundo manteve 100% de precisão nos controles limpos. O refinamento por LLM não introduziu falsos positivos; ele principalmente melhorou a revocação em defeitos de lógica de severidade média e DoS (ex: races sutis, erros de off-by-one) que os padrões de regex perderam.
• Quebra por Linguagem: As melhorias foram consistentes em C, C++ e Rust, com a passagem de LLM aumentando significativamente a detecção de defeitos semânticos complexos.

5. Significância e Alegações

O artigo afirma que o CyberLLM demonstra que agentes de LLM podem realizar defesa cibernética autônoma útil quando envoltos em um envelope de segurança determinístico e auditável.

• Equilibrando Autonomia e Segurança: O framework resolve a tensão entre a autonomia do LLM e as restrições de segurança ao garantir que nenhuma ação seja executada a menos que satisfaça propriedades de segurança formais e contextuais.
• Contribuição Quantificável: Os resultados quantificam o valor específico do LLM: ele aproximadamente dobra a revocação do piso determinístico sem introduzir um único falso positivo em código benigno.
• Robustez: O sistema é projetado de modo que, mesmo se um scanner for subvertido por entradas adversárias, o guarda independente e os mecanismos de memória impedem o compromisso de ações inseguras.
• Perspectiva Futura: Os autores observam que, embora a abordagem atual focada em estático seja eficaz, o trabalho futuro integrará servidores de ferramentas vivos, grounding via RAG sobre CVEs e validação contra testbenches de SDV de alta fidelidade (ex: CARLA).

O artigo conclui que a combinação de refinamento de LLM fundamentado, memória à prova de violação e imposição formal em tempo de execução fornece um caminho viável para a cibersegurança automotiva autônoma e segura.