💻 computer science

ISVEX: A method for the assessment of the risk exposure of intelligent systems

Este artigo apresenta o ISVEX, um método abrangente de pontuação de vulnerabilidade que apresenta variantes "Strong" e "Lite", projetadas para abordar as limitações específicas dos padrões existentes ao quantificar riscos únicos de IA, como manipulação de modelos, envenenamento de dados e vulnerabilidades agentes, por meio de uma estrutura multimétrica personalizada.

Autores originais: Eduardo Arriols-Núñez, Mary Luz Mouronte-López

Publicado 2026-07-06

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Eduardo Arriols-Núñez, Mary Luz Mouronte-López

Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você esteja tentando classificar o quão perigoso é um novo tipo de carro. Por décadas, usamos uma lista de verificação padrão (chamada CVSS) para avaliar carros comuns. Essa lista pergunta: "Um ladrão consegue quebrar a janela? Eles conseguem fazer a ligação direta do motor? Se roubarem o carro, qual será o tamanho do dano?"

Mas hoje, temos Carros Autônomos (Sistemas Inteligentes). Eles não são apenas caixas de metal; eles podem conversar com outros carros, alterar seu próprio software, tomar decisões por conta própria e até enganar seus sensores com adesivos em placas de pare. O antigo checklist não funciona aqui porque não sabe como medir um carro que pode "alucinar" um sinal verde ou um robô que pode hackear seus próprios freios.

Este artigo apresenta o ISVEX, um novo "medidor de perigo" especializado, projetado especificamente para esses sistemas inteligentes e autônomos.

O Problema: A Régua Antiga Não se Ajusta

Os autores argumentam que as ferramentas atuais para avaliar riscos são como tentar medir uma nuvem com uma régua.

CVSS (O Padrão Antigo): Ótimo para softwares comuns, mas trata um chatbot da mesma forma que um carro autônomo. Ele ignora coisas como "injeção de prompt" (enganar a IA com palavras) ou "envenenamento de dados" (alimentar a IA com informações erradas para fazê-la aprender lições incorretas).
AIVSS (A Tentativa Mais Recente): Este foi um primeiro passo para corrigir o CVSS para a IA, mas os autores dizem que é como uma "medida incompleta". Ele faz a média das pontuações, o que muitas vezes dilui o perigo. Se um sistema possui uma falha minúscula, mas um potencial catastrófico e massivo, a pontuação média o faz parecer de "risco médio", quando deveria ser "crítico".

A Solução: ISVEX (O Medidor de Perigo da IA)

O ISVEX é um sistema de pontuação que atribui um número de 0 a 10 para representar o quão arriscado é um sistema de IA. Ele vem em dois formatos:

1. A Versão "Forte" (O Exame Completo)

Esta é uma investigação profunda, como um check-up médico completo. Utiliza 38 perguntas diferentes agrupadas em 7 categorias.

O Básico: Ainda verifica as coisas antigas (alguém consegue hackear a rede?).
O Núcleo da IA: Pergunta: "Alguém consegue enganar o cérebro da IA?" (Injeção de prompt) ou "Podem roubar os segredos da IA?"
A Camada de Agente: Esta é a parte nova. Pergunta: "Esta IA pode conversar com outras IAs e dar ordens erradas?" ou "Ela pode alterar seu próprio código?" Trata a conexão entre robôs (protocolos como MCP e A2A) como uma zona crítica de segurança.
O Contexto: Pergunta: "Quantas pessoas são afetadas?" e "Podemos desfazer o dano?" (Se uma IA espalha um vídeo falso de um CEO, esse dano é permanente. Se um site comum sai do ar, você pode simplesmente reiniciá-lo).

O Truque da "Anti-Diluição":
O artigo destaca um truque matemático inteligente. Nos sistemas antigos, se você tivesse uma falha "Crítica" e nove falhas "Baixas", a média faria todo o sistema parecer "Médio". O ISVEX diz: "Não." Se uma parte é crítica, o sistema inteiro recebe um alerta alto, mesmo que o restante seja seguro. Ele também possui "pisos" (mínimos) para garantir que, se um sistema controla algo perigoso (como um robô hospitalar), ele não possa receber uma pontuação baixa apenas por ser difícil de hackear.

2. A Versão "Lite" (A Triagem)

Imagine um segurança em um aeroporto movimentado. Eles não têm tempo para um exame médico completo em cada passageiro. Eles precisam de uma varredura rápida.

O ISVEX Lite utiliza apenas 12 perguntas principais.
Leva cerca de 3 minutos para ser executado.
É projetado para equipes de emergência (SOCs) decidirem rapidamente: "Isso é um erro menor ou precisamos chamar toda a equipe?"
Se a pontuação Lite for alta, eles mudam para a versão "Forte" para uma investigação completa.

Como Funciona na Vida Real (Os Cenários)

Os autores testaram seu novo medidor contra 10 diferentes cenários de "e se" para provar que funciona melhor que os antigos. Aqui estão alguns exemplos:

A "Placa Enganosa" (Ataque Adversário): Alguém coloca um adesivo em uma placa de pare que parece normal para humanos, mas diz para um carro autônomo que é uma placa de limite de velocidade.
- Medidor Antigo: Diz "Risco Médio".
- ISVEX: Diz "Crítico (10/10)" porque vidas estão em jogo e o dano é irreversível.
O "CEO Falso" (Deepfakes): Criminosos usam IA para criar um vídeo falso de um CEO ordenando uma transferência bancária.
- Medidor Antigo: Diz "Risco Médio" (apenas um vazamento de dados).
- ISVEX: Diz "Alto Risco" porque o dano à reputação é permanente e afeta toda a empresa.
A "Falha Irrelevante" (DoS Interno): Um funcionário insatisfeito derruba um pequeno chatbot interno usado por 50 pessoas por 2 horas.
- Medidor Antigo: Diz "R risco Médio" (é uma interrupção padrão).
- ISVEX: Diz "Baixo Risco (1.3/10)" porque afetou apenas 50 pessoas e foi facilmente corrigido. O medidor antigo era assustador demais aqui; o ISVEX acalma as coisas.

A Conexão com o "Red Teaming"

O artigo também explica como realmente encontrar esses riscos. Ele sugere o uso de Red Teaming de IA.

Pense no Red Teaming como contratar um grupo de "hackers éticos" para tentar quebrar sua IA.
O ISVEX atua como o placar para esses hackers. Em vez de apenas dizerem "Nós a quebramos", o Red Team usa o ISVEX para dizer: "Nós a quebramos com uma pontuação de 8.5 porque enganamos a IA para revelar segredos."
Isso transforma reclamações vagas em números concretos que as equipes de segurança podem usar para priorizar correções.

A Conclusão

O artigo afirma que o ISVEX é uma atualização necessária. Argumenta que não podemos mais usar a mesma régua de segurança para uma torradeira que usamos para um robô autônomo. Ao adicionar perguntas específicas sobre o comportamento da IA, a comunicação de agentes e as consequências reais de uma falha, o ISVEX fornece uma maneira mais precisa, justa e acionável de medir o risco na era das máquinas inteligentes.

Resumo Técnico: ISVEX – Um Método para a Avaliação da Exposição de Risco de Sistemas Inteligentes

1. Declaração do Problema

Sistemas de Inteligência Artificial (IA), que variam de Grandes Modelos de Linguagem (LLMs) a agentes autônomos e arquiteturas multiagentes, transitaram de protótipos de pesquisa para ambientes de produção. No entanto, os padrões existentes de avaliação de vulnerabilidades, especificamente o CVSS v4.0 e o OWASP AIVSS v0.5, carecem das métricas específicas necessárias para quantificar os riscos inerentes a esses sistemas.

O artigo identifica várias lacunas críticas nos padrões atuais:

Vetores Específicos de IA Ausentes: Eles falham em abordar manipulação de modelos (prompt injection, jailbreaking), envenenamento de dados (data poisoning), ataques adversários e roubo de modelos.
Falta de Diferenciação de Autonomia: Eles tratam chatbots passivos e agentes autônomos (que podem executar código, invocar APIs e tomar decisões) de forma idêntica, ignorando a "amplificação agêntica", onde um agente escala privilégios através de múltiplas ferramentas.
Cegueira de Protocolo: Eles não contabilizam vulnerabilidades em protocolos de comunicação entre agentes, como MCP (Model Context Protocol) e A2A (Agent-to-Agent).
Granularidade e Contexto: Eles falham em diferenciar a escala de afetação (ex: 50 usuários vs. 50 milhões), ignoram a reversibilidade do dano e carecem de métricas para detectabilidade de ataque e impactos em cascata em sistemas interconectados.
Falhas de Cálculo: O AIVSS v0.5 utiliza uma fórmula de média simples que dilui pontuações críticas quando um componente é baixo, e carece de pisos de impacto para garantir que sistemas críticos de segurança recebam classificações de severidade apropriadas.

2. Metodologia: ISVEX

Os autores propõem o ISVEX (Índice de Exposição de Vulnerabilidade de Sistemas Inteligentes), um método de pontuação de vulnerabilidade projetado para capturar todo o espectro de riscos de IA. O método é oferecido em duas alternativas: Strong (abrangente) e Lite (triagem rápida).

2.1 A Alternativa Strong

A versão Strong utiliza 38 métricas organizadas em 7 grupos e um pipeline de cálculo de 8 etapas.

Grupos de Métricas:

Base – Explorabilidade (5 métricas): Herdadas do CVSS v4.0 (Vetor de Ataque, Complexidade, Requisitos, Privilégios, Interação do Usuário).
Base – Impacto (6 métricas): Herdadas do CVSS v4.0 (Confidencialidade, Integridade, Disponibilidade tanto para sistemas vulneráveis quanto para sistemas subsequentes).
AI-Core (6 métricas): Específicas para o modelo, incluindo Evasão de Comportamento do Modelo (MBE), Integridade do Pipeline de Dados (DPI), Risco de Explicabilidade, Nível de Autonomia, Roubo de Modelo e Violação de Fronteira de Confiança.
Agêntica & Protocolo (8 métricas): Específicas para agentes autônomos e protocolos, cobrindo Integridade de Ferramenta & Canal (TCX), Interação Multiagente, Automodificação, Planejamento Orientado a Objetivos, Persistência de Memória, Identidade Dinâmica, Protocolo de Comunicação Segura e Não-Determinismo. Estas utilizam uma escala de 5 níveis (N/L/M/H/C).
AI-Extended (3 métricas): Qualidade dos Dados de Treinamento, Detectabilidade e Impacto em Cascata.
Ambiental (6 métricas): Contexto organizacional, incluindo requisitos de Confidencialidade/Integridade/Disponibilidade, Criticidade do Sistema de IA (ASC), Maturidade do Exploit e Controles de Mitigação.
Modificadores de Contexto (4 métricas): Escala de Afetação, Reversibilidade, Impacto Governamental/Social e Operacionalização do Ataque.

Pipeline de Cálculo:

Explorabilidade & Impacto: Calculados usando fórmulas do CVSS v4.0.
Pontuação de IA: Computada como uma soma ponderada das métricas de AI-Core e Agêntica & Protocolo. Uma inovação crítica é a regra do piso de 85%: a pontuação final de IA não pode cair abaixo de 85% da métrica individual mais alta, evitando que vulnerabilidades críticas sejam diluídas por métricas de baixo risco.
Pontuação Combinada: Utiliza uma fórmula de peso máximo ( $0.6 \times \text{máximo} + 0.4 \times \text{média}$ ) para combinar as pontuações Base, IA e Ambiental. Isso evita o efeito de diluição de médias simples, mantendo a informação contextual.
Amplificação: Multiplicadores são aplicados para criticidade (até $\times 2.0$ para sistemas críticos de segurança), ataques furtivos e impactos em cascata.
Pisos de Impacto Graduados: Um conjunto de regras (R1–R5) e bônus (B1–B7) garante que combinações de alto risco específicas (ex: sistemas críticos de segurança com comprometimento de integridade) recebam uma pontuação mínima (ex: 8.0), independentemente da baixa explorabilidade.
Pontuação Final: Multiplicadores contextuais (Escala, Reversibilidade, Governança, Operacionalização) são aplicados, limitados ao teto de 10.0.

2.2 A Alternativa Lite

Projetada para Centros de Operações de Segurança (SOC) e equipes de resposta a incidentes, a ISVEX Lite reduz a avaliação para 12 métricas de alta discriminação (selecionadas da versão Strong). Ela utiliza uma fórmula simplificada para produzir uma pontuação em aproximadamente três minutos. A validação mostra que ela desvia em $\pm 0.8$ pontos da versão completa em 80% dos casos, embora possa subestimar o risco em cenários multiagentes complexos.

3. Principais Contribuições

O artigo reivindica as seguintes contribuições primárias:

Arquitetura de Métrica Abrangente: Um framework de 38 métricas cobrindo riscos tradicionais de TI, riscos específicos de modelos de IA e a emergente camada "Agêntica & Protocolo" (MCP/A2A).
Lógica de Cálculo Inovadora:
- Uma combinação de peso máximo (divisão 60/40) para evitar a diluição da pontuação.
- Pisos de Impacto Graduados para garantir a severidade mínima em cenários críticos de segurança.
- Multiplicadores Contextuais para escalar as pontuações com base no impacto ao usuário, reversibilidade e contexto regulatório.
Integração Operacional: Um protocolo formal ligando as métricas ISVEX aos frameworks de Red Teaming de IA (HarmBench, garak, AutoRedTeamer, AART, MITRE ATLAS), permitindo que os achados de Red Team preencham diretamente os valores das métricas.
Utilidade de Duplo Modo: Uma versão "Lite" para triagem rápida e uma versão "Strong" para análise exaustiva.

4. Resultados e Validação

O método foi validado contra 10 cenários hipotéticos cobrindo um espectro de risco de 0 a 10, incluindo prompt injection, ataques adversários em direção autônoma, backdoors na cadeia de suprimentos, escalonamento de privilégios multiagente e envenenamento de dados.

Descobertas Comparativas:

vs. AIVSS v0.5: Em 9 de 10 cenários, o ISVEX obteve pontuações superiores ao AIVSS, com um aumento médio de +2.3 pontos em cenários de alto risco. O maior delta foi de +3.4 pontos em um cenário de escalonamento de privilégios multiagente, atribuído às métricas de protocolo específicas e aos pisos de impacto do ISVEX.
vs. CVSS v4.0: O CVSS consistentemente subestimou os riscos específicos de IA, frequentemente classificando-os como "Médio" quando o ISVEX os classificou como "Alto" ou "Crítico". Por outro lado, em um cenário de baixo impacto (DoS em um chatbot interno com 50 usuários), o ISVEX pontuou 2.7 pontos abaixo do CVSS, demonstrando sua capacidade de reduzir o risco quando o contexto (reversibilidade, pequena escala) justifica.
Precisão: O método conseguiu diferenciar cenários que os padrões anteriores tratavam de forma idêntica (ex: distinguindo um vazamento de chatbot passivo de uma escalação de agente autônomo).

5. Significância e Alegações

Os autores posicionam o ISVEX como uma evolução necessária para a gestão de vulnerabilidades na era da IA autônoma. O artigo afirma que:

Os padrões atuais são insuficientes: CVSS e AIVSS carecem da granularidade e das métricas específicas para quantificar os riscos únicos de manipulação de modelos, autonomia de agentes e ataques ao nível de protocolo.
O ISVEX preenche a lacuna: Ao incorporar métricas específicas para comportamento agêntico e protocolos de comunicação, e ao usar um pipeline de cálculo que evita que riscos críticos sejam diluídos, o ISVEX fornece um reflexo mais preciso do risco real de IA.
Relevância Operacional: O método é projetado para ser acionável, ligando-se diretamente aos outputs de Red Teaming e fluxos de trabalho de segurança existentes (SIEM, ticketing), e oferecendo uma opção de triagem rápida para ambientes com tempo limitado.

O artigo conclui que o ISVEX oferece uma abordagem mais precisa, escalável e consciente do contexto para a avaliação de riscos, capaz de lidar com todo o espectro de ameaças modernas de IA, desde ferramentas internas de baixo impacto até sistemas autônomos críticos de segurança.