CARE: verificador que analisa comandos de shell antes de agentes de IA executá-los
Pesquisadores propõem o CARE, um verificador que intercepta comandos de shell gerados por agentes de IA de codificação antes da execução, combinando análise estática determinística com escalonamento seletivo para um juiz baseado em LLM apenas nos casos ambíguos. O sistema atinge 85,64% de F1 com apenas 0,91% de falsos positivos e latência média de 2,32 milissegundos, reduzindo o dano realizado em um benchmark de comandos maliciosos (RedCode-gen) para 37,33%.
Agentes de IA para tarefas de codificação e automação de terminal ganharam a capacidade de despachar comandos de shell diretamente, o que torna esse ponto de dispatch um dos momentos de maior risco em todo o ciclo de vida do agente: um único comando mal filtrado pode apagar arquivos, exfiltrar dados ou instalar persistência. O CARE (Canonicalization, Attribution, and Resolution Engine), aceito para a conferência ISSRE 2026, ataca esse problema com uma arquitetura em três estágios pensada para ser rápida no caso comum e cautelosa no caso raro.
O primeiro estágio canonicaliza o comando gerado pelo agente, normalizando variações sintáticas para um alvo de verificação estável. O segundo deriva evidências determinísticas cruzando sintaxe do shell, semântica do comando, contexto de caminho de arquivos e padrões de risco vindos de proveniência (por exemplo, se o comando foi sugerido por uma fonte não confiável). Somente quando essas evidências não bastam para uma decisão clara, o terceiro estágio escala o caso a um juiz baseado em LLM, que é mais caro e mais lento, mas reservado apenas para a fração ambígua dos comandos.
Os números reportados são expressivos para uma ferramenta de gate em tempo real: no split principal balanceado, o CARE atinge 85,64% de F1 com taxa de falso positivo de apenas 0,91% e latência média de 2,32 milissegundos — baixa o suficiente para não travar o fluxo de trabalho de um agente interativo. No perfil de aplicação puramente estática (sem chamar o LLM), a ferramenta ainda mantém 84,99% de F1 a 0,34 ms, reduzindo o dano efetivamente realizado em cenários de teste controlados em sandbox Docker no benchmark RedCode-gen para 37,33% dos casos.
O valor prático do trabalho está em reconhecer que guardrails genéricos e juízes LLM sempre ativos são soluções incompletas: os primeiros não modelam a estrutura real do shell com profundidade suficiente, e os segundos são caros e variáveis demais para rodar em cada comando. Ao reservar o custo computacional de um LLM apenas para os casos verdadeiramente ambíguos, o CARE aponta para um padrão de design que provavelmente será replicado em outras camadas de mediação de ações de agentes, não só em shell.