Evidência de nível de kernel melhora detecção de ataques a agentes de IA que a telemetria de aplicação sozinha não enxerga
Pesquisadores construíram o ACE (Agent Cross-Layer Evidence), um corpus pareado de 4.047 sessões cobrindo 17 modelos de ameaça e 14 das 25 categorias de ameaça agentic da OWASP para LLM, combinando telemetria de aplicação (prompt, mensagens do modelo, manifesto de ferramentas) com rastros de syscall em nível de kernel. Em quatro famílias distintas de detector, a evidência de kernel se mostrou discriminativa por si só, e compô-la com evidência de aplicação superou consistentemente qualquer visão de camada única, com generalização confirmada para famílias de ataque não vistas e para um runtime de agente diferente.
Agentes baseados em LLM hoje operam com autoridade ampla sobre o host onde rodam — leem e escrevem arquivos, executam comandos, chamam ferramentas externas — mas praticamente todos os benchmarks e defesas de segurança de agentes existentes monitoram apenas a camada de telemetria de aplicação: o manifesto de ferramentas servido ao modelo, o prompt do usuário e as mensagens trocadas com o modelo. O artigo parte de uma observação simples e incômoda: algumas classes de ataque conseguem contrabandear instruções e ações maliciosas para além dessa fronteira de aplicação, tornando-as literalmente invisíveis para quem só olha esse nível de telemetria.
Para testar isso, os autores construíram o ACE, um corpus de evidência pareada — a mesma sessão de agente capturada simultaneamente em telemetria de aplicação e em rastro de syscall de kernel — com 4.047 sessões cobrindo 17 modelos de ameaça distintos, organizados em seis famílias de vetor de entrega e mapeados para 14 das 25 categorias de ameaça agentic e de LLM da OWASP, agrupados em 12 mecânicas de ataque com caracterização própria de onde a evidência mais discriminativa se concentra em cada uma.
O resultado central, testado em quatro famílias diferentes de detector, é que a evidência de kernel é discriminativa por conta própria — ou seja, mesmo sem olhar nada da camada de aplicação, rastros de syscall já carregam sinal suficiente para separar sessões comprometidas de sessões limpas em boa parte dos casos — e que compor evidência de kernel com evidência de aplicação supera, de forma geral, qualquer visão de camada única isolada, revelando sinais complementares que uma análise restrita a uma só camada simplesmente não enxerga. Os autores também demonstram que essa vantagem generaliza para famílias de ataque não vistas no treino dos detectores e transfere para um runtime de agente diferente do usado para construir o corpus.
Para equipes de segurança que hoje monitoram agentes de IA apenas via logging de aplicação (prompts, respostas, chamadas de ferramenta declaradas), o resultado sugere uma lacuna de visibilidade concreta e endereçável: instrumentar a camada de sistema operacional (syscalls) onde o agente de fato executa amplia a superfície de detecção para mecânicas de ataque desenhadas justamente para escapar da telemetria que o próprio harness do agente expõe — um argumento a favor de EDR/monitoramento de kernel como complemento, não substituto, de guardrails no nível do prompt e do modelo.