RedHerring usa iscas falsas para desperdiçar o orçamento de agentes de IA que caçam vulnerabilidades em código aberto
O estudo documenta que agentes autônomos de LLM já realizam busca de vulnerabilidades em escala de repositório, gerando muitas hipóteses baratas mas só conseguindo verificar uma fração delas dentro de um orçamento finito. Explorando essa assimetria, os autores propõem o RedHerring, que insere iscas de vulnerabilidade certificadamente seguras — derivadas de CVEs reais mas com o caminho de exploração bloqueado — reduzindo em até 60% as vulnerabilidades reais encontradas pelo agente atacante.
O ponto de partida do artigo é uma constatação sobre como a descoberta autônoma de vulnerabilidades por agentes de LLM realmente funciona hoje: formular uma hipótese de vulnerabilidade é barato (o modelo apenas gera candidatos plausíveis), mas verificá-la de fato — análise de alcançabilidade, execução real, construção de uma prova de conceito — é caro. Sob um orçamento computacional finito, isso transforma a descoberta autônoma em um processo de 'verificação seletiva com recursos limitados', e os autores argumentam que esse esforço de verificação é, em si, uma superfície de defesa nova e pouco explorada.
O RedHerring ataca exatamente essa superfície inserindo iscas no código-fonte do repositório defendido. Cada isca combina uma cadeia de vulnerabilidade derivada de um CVE real conhecido (o que a torna atraente o suficiente para o agente decidir investir esforço de verificação) com uma 'ponte falsa' que mantém o sink perigoso, na prática, inalcançável. O truque assimétrico está em como cada lado verifica a segurança da isca: o defensor possui um certificado privado que permite confirmar rapidamente que aquele caminho é seguro, enquanto qualquer atacante que só tenha acesso ao repositório publicado precisa resolver um problema computacionalmente difícil para chegar à mesma conclusão. As iscas também são adaptadas ao estilo do repositório-alvo para parecerem lógica de programa comum, dificultando descarte trivial por heurística.
Os resultados, medidos em 33 projetos reais do OSS-Fuzz contra cinco modelos diferentes, mostram redução de 38,7% a 60,4% nas vulnerabilidades reais efetivamente descobertas pelo agente atacante. A análise de trajetória confirma o mecanismo: os agentes gastam entre 30,6% e 51,5% dos tokens de conclusão — e uma fração comparável do tempo de execução — verificando as iscas em vez de vulnerabilidades reais. De forma notável, a técnica se mantém eficaz mesmo quando o agente atacante é informado explicitamente de que iscas podem estar presentes: ajustando sua estratégia de busca, ele ainda assim descobre 37,2% menos vulnerabilidades reais do que uma linha de base informada, mostrando que a eficácia não depende de manter a existência das iscas em segredo.
O artigo é significativo em duas direções simultâneas: primeiro, confirma como fato estabelecido que a descoberta autônoma de vulnerabilidades em código aberto por agentes de IA já é uma capacidade ofensiva prática e operacional, não apenas hipotética; segundo, propõe o primeiro mecanismo de engano ativo (honeypot) pensado especificamente para esse tipo de atacante automatizado, abrindo um novo padrão de defesa — desperdiçar o orçamento de verificação do agente — que times de segurança de projetos open source de alta exposição podem considerar adotar à medida que scanners baseados em LLM se tornam mais comuns tanto do lado ofensivo quanto do defensivo.