Proposta conceitual de IDS para processos agenticos trata o proprio agente de IA como objeto monitorado
O artigo propoe A-IDS, uma camada conceitual de interpretacao de seguranca para monitorar em runtime nao apenas entradas ou acoes isoladas de um agente de IA, mas o processo inteiro -- incluindo recuperacao, delegacao, execucao de ferramentas e aprovacao humana -- comparando observacoes sustentadas por evidencia contra uma linha de base de expectativa versionada. Os autores tratam prompt injection tanto como problema de seguranca de entrada quanto como possivel origem de desvios posteriores no processo, mas deixam claro que a contribuicao e conceitual, sem validacao empirica de deteccao.
Implantacoes modernas de agentes combinam inferencia de LLM com recuperacao de informacao, delegacao para subagentes, execucao de ferramentas, acesso a sistemas externos e aprovacao humana. Desvios relevantes de seguranca podem emergir ao longo desse processo inteiro, e nao apenas em uma entrada ou acao isolada -- um ponto cego para abordagens de deteccao que ainda tratam cada prompt ou cada chamada de ferramenta como um evento independente.
O A-IDS compara observacoes sustentadas por evidencia contra uma linha de base de expectativa governada e versionada, cobrindo quatro dimensoes: estado do workflow, autorizacao, comunicacao e eventos obrigatorios. A contribuicao conceitual inclui uma 'correspondencia de tres valores' que separa visibilidade do resultado do casamento com a expectativa, e estados explicitos de 'observacao nao resolvida' em vez de forcar cada evento a um veredito binario de bom ou mau. O modelo tambem identifica a propria camada de monitoramento como superficie de ataque, quando conteudo adversarial alcanca os produtores de evidencia semantica atraves de caminhos de observacao que, isoladamente, parecem legitimos.
Os autores sao explicitos sobre os limites da proposta: o A-IDS nao infere intencao maliciosa a partir de comportamento anomalo, nao trata um evento nao observado como prova de que ele nao ocorreu, e nao assume observabilidade completa ou captura universalmente confiavel. A contribuicao e declarada como conceitual -- nao ha implementacao validada, nem desempenho empirico de deteccao, nem atribuicao causal demonstrada.
Isso importa porque, com a proliferacao de sistemas multiagente e com uso intensivo de ferramentas, tratar o processo agentico inteiro (e nao apenas os prompts) como objeto monitorado e um reenquadramento util para quem projeta defesas. Mas a honestidade dos proprios autores sobre a ausencia de validacao serve como um alerta para times de seguranca avaliando produtos comerciais que se autodenominam 'firewall de agente' ou equivalente: vale perguntar se essas ferramentas realmente superam a barra de evidencia que este artigo diz estar atualmente ausente na literatura.