AgenticRepair usa múltiplos subagentes de IA para corrigir vulnerabilidades de segurança automaticamente
AgenticRepair usa três subagentes LLM especializados para reunir contexto de código, de execução em runtime e de histórico de commits, e um quarto subagente para sintetizar patches de segurança a partir desse contexto combinado. Avaliado em 300 vulnerabilidades reais, o framework atingiu 73% de sucesso, superando o melhor baseline anterior por 29 pontos percentuais. Os autores mostram que as três fontes de contexto e a arquitetura multiagente são todas necessárias para o resultado.
Pesquisadores (Michael Fu, Qiyue Mei, Patanamon Thongtanunam e Kla Tantithamthavorn), em artigo submetido à IEEE Transactions on Software Engineering, apresentaram o AgenticRepair, um framework agêntico que gera correções automaticamente a partir de relatórios de triagem de vulnerabilidades.
Corrigir uma vulnerabilidade de segurança exige contexto mais rico do que reparo de bugs genéricos: fluxo de dados entre arquivos e padrões de manipulação de memória (contexto de estrutura de código), semântica do crash e origem da memória corrompida (contexto de execução em runtime), e como aquele trecho frágil foi introduzido no histórico de commits. O AgenticRepair orquestra três subagentes LLM especializados, cada um responsável por reunir uma dessas facetas de contexto, e injeta o resultado combinado na memória de um quarto subagente dedicado a sintetizar o patch final.
Isso importa porque, avaliado no SEC-Bench, um conjunto de 300 casos reais verificados por sanitizers, o framework atingiu 73% de sucesso, 29 pontos percentuais acima do melhor baseline anterior — um salto considerável numa tarefa historicamente difícil de automatizar, já que reparo de segurança normalmente exige entendimento fino de memória e superfícies de ataque, não apenas correção de sintaxe. Isso é relevante tanto do ponto de vista defensivo, acelerando a correção de vulnerabilidades encontradas em programas C/C++, quanto do ponto de vista de risco: patches gerados por agentes ainda precisam de revisão humana e verificação formal antes de produção, já que uma correção incorreta ou incompleta pode criar falsa sensação de segurança.
O estudo de ablação confirma que as três fontes de contexto são complementares — nenhuma isolada é suficiente — e que tanto a orquestração multiagente quanto a capacidade do modelo-base contribuem para o resultado, um dado útil para quem avalia construir ferramentas semelhantes internamente, já que simplificar para um único agente ou usar um modelo mais fraco reduz a eficácia de forma mensurável.