Diagnóstico de agentes ofensivos de LLM aponta gargalos em movimento lateral e uso de credenciais em cenários corporativos
Pesquisadores avaliaram um sistema de "Adversário Autônomo" com LLMs atuando como orquestrador, executor e validador em cenários simulados de movimento lateral corporativo, testando seis modelos de ponta em três modos de autonomia. O estudo conclui que os validadores baseados em LLM tendem a ser relevantes e embasados em evidência, mas frequentemente imprecisos e otimistas demais, com gargalos concentrados em tarefas de credenciais e movimento lateral que se agravam conforme a autonomia do agente aumenta.
O trabalho foge da métrica mais comum em pesquisa de agentes ofensivos — taxa de sucesso do ataque — para investigar por que e onde esses agentes falham ou desperdiçam recursos mesmo quando completam o objetivo. O sistema avaliado usa três papéis de LLM (orquestrador, que planeja; executor, que roda comandos; e validador, que decide se um passo funcionou) em cenários corporativos de movimento lateral, testando seis modelos de fronteira em três modos: com passos definidos por especialista, com o próprio agente montando o plano (self-scaffolded) e totalmente autônomo.
A métrica mais reveladora é a consistência do validador: o estudo mostra que os validadores LLM tendem a ser relevantes e a basear suas decisões em evidência de fato disponível, mas com frequência são inespecíficos e excessivamente otimistas sobre o que de fato foi alcançado — um eco do problema documentado em outros papers desta leva sobre juízes de IA que confiam demais em relatos de sucesso em vez de evidência bruta. Os autores também propõem uma métrica de custo condicionada à subtarefa, penalizando uso anormal de tokens, retentativas excessivas e tempo de execução, para capturar ineficiência que uma métrica binária de sucesso esconde.
Os gargalos identificados se concentram em duas categorias específicas — tarefas envolvendo credenciais e movimento lateral propriamente dito — e essa concentração se espalha (fica mais difícil de isolar) conforme a complexidade do cenário aumenta. No modo totalmente autônomo, sem scaffolding de especialista, a variação de desempenho entre execuções também aumenta, sugerindo que dar mais liberdade ao agente troca previsibilidade por capacidade, sem necessariamente melhorar o resultado final.
Para equipes que avaliam ferramentas de red team automatizado ou de teste de penetração contínuo baseado em agentes, o artigo é um lembrete de que uma alta taxa de sucesso reportada por esses sistemas pode mascarar validação frouxa e uso ineficiente de recursos — e que avaliação confiável desse tipo de ferramenta precisa checar não só se o objetivo foi atingido, mas como o agente interpretou a evidência de sucesso ao longo do caminho.