AGATE usa proveniência de dados para barrar ataques composicionais contra agentes de LLM em tempo de execução

O problema que o AGATE ataca é o de ataques composicionais: uma sequência de chamadas de ferramenta que, isoladas, pareceriam operações rotineiras e legítimas (ler um arquivo, fazer uma requisição de rede, escrever um resultado), mas que combinadas produzem exfiltração de dados ou outra ação danosa. Bloquear isso exige responder a duas perguntas em conjunto: quem autorizou esta ação, e de onde veio o dado que ela está manipulando -- nenhuma das duas isoladamente basta para julgar se a sequência como um todo é segura.

Tecnicamente, o AGATE se posiciona como um gate determinístico (sem LLM na decisão final) nas fronteiras já instrumentadas do harness do agente. Do lado da autorização, usa “grants” concedidos por declarações do operador ou eventos de aprovação do host, vinculados a parâmetros exatos, com expiração e número limitado de usos -- ou seja, uma permissão não é um “sim” genérico, mas um “sim” específico e descartável. Do lado da proveniência, um mecanismo de registro de origem conecta cada input observado às transferências subsequentes que dele derivam, e um “ledger de efeitos” rastreia pedidos repetidos que, individualmente, pareceriam abaixo do radar. Os adapters para os três harnesses testados traduzem os pontos nativos de observação e veto de cada um para essa interface comum, sem exigir mudanças no código-fonte de nenhum deles -- um design pragmático para adoção incremental.

A avaliação combina 153 registros de cadeias de ataque exercitadas com experimentos de deployment, utilidade e reconstrução forense. Um dos achados mais relevantes é justamente um bypass encontrado durante o próprio deployment: um atacante conseguiu contornar o gate reescrevendo parâmetros da chamada de ferramenta, evidenciando que a granularidade de vinculação de parâmetros no grant precisa ser cuidadosamente desenhada para não deixar espaço de manobra semântica. Outro achado é o custo de utilidade: em 6 de 11 cenários benignos de processamento de arquivos, a política baseada em proveniência de conteúdo gerou eventos de negação -- ou seja, quase metade das operações legítimas testadas esbarrou em falsos positivos, o que é uma fricção real para adoção em produção. Em 252 execuções sobre 63 cenários sanitizados, o replay forense concordou integralmente com as projeções de grafo ao vivo nas duas plataformas testadas.

O valor prático do AGATE é demonstrar que defesa determinística e auditável contra ataques composicionais é viável sem colocar um LLM no caminho crítico da decisão (o que introduziria a mesma fragilidade que se está tentando evitar), mas o preço dessa robustez é a taxa de falsos positivos em cenários legítimos que dependem de reutilização de dados de formas não previstas pela política -- um trade-off central que qualquer equipe avaliando esse tipo de gate para produção vai precisar calibrar caso a caso.