MATE: auditor condicionado por política em linguagem natural detecta violações de segurança em trajetórias de agentes móveis
Pesquisadores apresentam o MATE, um auditor leve para agentes móveis baseados em modelos de fundação que verifica, a partir da sequência de ações do agente e de uma política de segurança escrita em linguagem natural, se houve violação e por quê. Tratando a política como texto editável em vez de parâmetro fixo do modelo, o sistema evita retreinamento a cada nova regra e atingiu mais de 95% de acurácia ao auditar agentes de produção reais como o AutoGLM (Zhipu) e o Mobile-Agent (Alibaba).
Agentes móveis controlados por modelos de fundação já automatizam fluxos completos em aplicativos reais — compras, pagamentos, alterações de configuração sensível —, e o problema que o MATE ataca é que as defesas existentes de nível de trajetória dependem de prompting genérico de LLM ou de regras rígidas, nenhuma das duas escalando bem para políticas específicas de cada app, cada tarefa e potencialmente cada usuário.
A solução técnica é codificar conjuntamente a trajetória do agente (a sequência de ações realizadas na tela e no app) e a política de segurança em linguagem natural em um único modelo de auditoria, que decide se houve violação e explica o motivo. O ponto central é que a política entra como texto editável, não como peso do modelo: trocar ou adicionar uma regra não exige retreinar o auditor, o que resolve o principal obstáculo de manutenção de defesas baseadas em regras fixas. Para treinar esse auditor, os autores extraíram descrições, fluxos e políticas de centenas de apps populares e sintetizaram mais de 140 mil trajetórias realistas via um pipeline multi-estágio, além de lançar o MATEBench, benchmark com subconjuntos sintéticos e um subconjunto real coletado manualmente.
Os resultados reportados — mais de 95% de acurácia no MATEBench, desempenho mantido em benchmarks externos de segurança, e mais de 95% de acurácia ao auditar trajetórias reais do AutoGLM e do Mobile-Agent, superando métodos anteriores em mais de 20 pontos — sugerem que a abordagem generaliza para agentes que o sistema nunca viu durante o treino, o que é o requisito prático para um auditor de terceira parte ser útil em produção.
O trabalho foi aceito na USENIX Security 2026 e testado contra agentes reais, não só em simulação, o que reforça a validade prática do resultado. Ainda assim, o MATE continua sendo fundamentalmente um classificador estatístico treinado em trajetórias sintéticas e reais conhecidas; o artigo não tem como foco avaliar robustez contra trajetórias desenhadas deliberadamente para escapar da auditoria, então tratá-lo como controle suficiente e definitivo, sem camadas adicionais de defesa, seria prematuro.