MetaPermit separa inferência de intenção e enforcement para tornar mais consistente o controle de acesso de agentes de IA
Sistemas de agentes de IA em produção, como Codex e Claude Code, hoje protegem chamadas de ferramenta com uma mistura de regras estáticas e julgamento do próprio LLM sobre cada ação -- e o julgamento por LLM é inconsistente e vulnerável a prompt injection indireto. O MetaPermit propõe que um LLM só infira meta-atributos da situação (intenção do usuário, contexto de execução, natureza da chamada proposta), enquanto uma política determinística e fixa decide permitir ou negar, alcançando 31% mais consistência e zero chamadas maliciosas executadas nos benchmarks testados.
O artigo parte de uma observação sobre como sistemas agentic já em produção lidam com autorização de ferramentas: uma combinação de políticas estáticas grosseiras (regras fixas de permissão) e decisões dinâmicas tomadas pelo próprio LLM sobre se uma ação proposta parece segura no contexto. O problema de cada abordagem isolada é conhecido: políticas estáticas não escalam para tarefas abertas porque teriam que antecipar todas as intenções de usuário possíveis, enquanto autorização feita pelo próprio LLM, apesar de mais flexível, produz decisões inconsistentes entre execuções similares e é vulnerável a ataques de Indirect Prompt Injection, já que o mesmo modelo que decide “isso é seguro?” é o mesmo modelo cujo contexto pode ter sido corrompido pelo conteúdo malicioso que motiva a pergunta.
A proposta central do MetaPermit é desacoplar essas duas funções que hoje estão fundidas: inferência semântica e enforcement de segurança. Em vez de pedir ao LLM “esta ação é segura, sim ou não?”, o framework deriva de interações reais um conjunto compacto de meta-atributos independentes de tarefa -- características que capturam a relação entre a intenção do usuário, o contexto de execução corrente e a chamada de ferramenta proposta. O LLM só precisa inferir os valores desses meta-atributos (uma tarefa de classificação mais restrita e menos manipulável do que “julgar segurança”), e uma política fixa e determinística avalia esses valores para permitir ou negar a chamada -- cada decisão fica auditável porque tanto os valores inferidos quanto a regra aplicada ficam registrados.
A avaliação nos benchmarks AgentDojo e AgentDyn, cobrindo sete suites de tarefas e cinco métodos de ataque distintos em dois LLMs abertos amplamente usados, mostra ganhos em duas dimensões que normalmente competem entre si: consistência de decisão 31% maior do que autorização puramente por LLM, e desempenho superior às defesas de estado da arte CaMeL e IPIGuard tanto em conclusão de tarefa (melhorias de até 109%) quanto em robustez contra ataques de IPI, com zero chamadas de ferramenta maliciosas executadas nos cenários testados.
A relevância prática do MetaPermit está em endereçar diretamente um ponto cego de arquiteturas de agentes hoje em produção real (o artigo cita Codex e Claude Code como exemplos): a camada de decisão “isso é seguro?” continua sendo o próprio modelo potencialmente comprometido pelo contexto que está avaliando. Separar “o que está acontecendo aqui” (inferência, feita pelo LLM) de “isso é permitido” (enforcement, feito por uma política fixa e auditável) é uma mudança arquitetural que reduz a superfície de manipulação sem exigir abrir mão da flexibilidade de agentes que operam em tarefas abertas, e o ganho simultâneo em usabilidade (menos tarefas legítimas bloqueadas) e segurança é um resultado que vale a pena replicar em outras implementações de controle de acesso para agentes.