RuleAutoPilot usa agentes de IA para transformar tráfego de malware em regras Suricata prontas para produção
O framework RuleAutoPilot gera automaticamente regras de detecção Suricata a partir de capturas de tráfego de malware, sem depender de inteligência de ameaças prévia, filtrando primeiro o ruído de tráfego benigno e depois corrigindo iterativamente as regras que falham em testes de sintaxe ou geram falsos positivos. Usando o modelo aberto gpt-oss-120b, o sistema chega perto da qualidade do Claude Code a 52x menos custo em tokens, e o supera quando usa Claude Opus 5 como backbone.
Escrever regras de IDS como as do Suricata hoje depende de analistas humanos traduzindo manualmente indicadores de comprometimento em assinaturas, um processo que não escala com o volume de malware novo. Abordagens anteriores baseadas em LLM tentaram automatizar isso, mas ou dependiam de relatórios de inteligência de ameaças já elaborados por humanos (que só existem depois que o tráfego malicioso já é conhecido) ou geravam regras sem controle de qualidade suficiente, resultando em muitos falsos positivos ou regras que nunca disparam.
O RuleAutoPilot ataca o problema construindo um pipeline agentic completo: primeiro, uma etapa de "Benign Traffic Fingerprinting" remove do PCAP os fluxos de tráfego benigno já conhecidos, isolando o que é potencialmente relevante antes de qualquer chamada ao LLM -- isso reduz tanto o custo em tokens quanto o ruído que atrapalha o raciocínio do modelo. Em seguida, o agente gera regras candidatas que passam por um ciclo de verificação executável: checagem de sintaxe, teste se a regra realmente dispara no tráfego de origem, e teste de falso positivo contra um corpus de tráfego benigno. Regras que falham em qualquer etapa voltam ao LLM com feedback estruturado para reparo automático, em vez de serem descartadas.
Os números comprovam que esse ciclo de verificação importa mais do que o modelo de base usado: em 1.296 PCAPs de malware, a verificação executiva elevou o F1 de 0,443 para 0,539. Comparando com o Claude Code operando como agente genérico de segurança, o RuleAutoPilot rodando sobre o modelo aberto gpt-oss-120b chegou a 0,524 F1 contra 0,623 do Claude Code, mas gastando 52 vezes menos tokens; trocando apenas o backbone para Claude Opus 5, o RuleAutoPilot ultrapassou o Claude Code (0,656 contra 0,623) usando 40 vezes menos tokens -- evidência de que o scaffold agentic, e não só o modelo, é responsável pelo ganho.
Para equipes de segurança, o resultado prático é uma via de automação de triagem de malware que não depende de esperar um relatório de threat intel manual: a regra de detecção pode nascer minutos depois da captura do tráfego, com controle de qualidade automatizado embutido. O custo-benefício de 40-52x em tokens também torna viável rodar esse pipeline em escala contínua, algo proibitivo com agentes genéricos caros.