Além dos sinks predefinidos: análise de dependências sensível a segurança para agentes LLM
Pesquisadores propõem o AgentSecGraph, um framework de análise estática que avalia o contexto de risco de operações sensíveis em agentes LLM (execução de comandos, acesso a arquivos, rede, navegador), em vez de apenas identificar a operação em si. Usando um corpus de 67 repositórios reais com mais de 37 mil arquivos, a ferramenta mapeou quase 24 mil candidatos a operações sensíveis e confirmou pelo menos uma vulnerabilidade real. Em testes comparativos, a abordagem reteve 91,1% do contexto de referência, contra 20% de uma visão baseada apenas em sinks.
O artigo parte de uma limitação prática da análise de segurança em agentes baseados em LLM: olhar apenas para a identidade de uma operação sensível, como "isso é uma chamada de exec", não diz muito sobre o risco real, porque o que importa é de onde vêm os dados que alimentam aquela chamada, se existe alguma barreira de confiança no caminho, e se há validação aplicada antes da execução. Para resolver isso, os autores propõem o AgentSecGraph, que constrói um grafo de dependência centrado em cada operação candidata, agregando evidências de origem dos dados, limites de confiança, presença de validações e efeitos externos.
Tecnicamente, a técnica funciona como uma análise estática em larga escala: para cada ocorrência de uma operação potencialmente sensível no código de um agente, o framework gera um artefato que amarra a operação à cadeia de dados que a alimenta e ao contexto de confiança em que ela ocorre. Os autores testaram isso em um corpus próprio, com 67 repositórios reais de agentes LLM distribuídos em 11 ecossistemas diferentes, processando mais de 23 mil candidatos em menos de uma hora. Uma camada de validação com reprodução prática confirmou pelo menos uma vulnerabilidade real e identificou outra pendente de divulgação, além de vinte comportamentos sensíveis que já tinham alguma proteção.
A relevância prática está em oferecer uma ferramenta de triagem mais inteligente para quem precisa auditar agentes de IA que executam ações no mundo real. Hoje, muitas ferramentas tratam qualquer chamada a uma API sensível como alerta igualmente crítico, gerando ruído excessivo ou, pior, ignorando o contexto que tornaria um alerta genuinamente perigoso. Ao incorporar evidência de dependência e de proteção existente, a abordagem ajuda equipes de segurança a priorizar o que realmente precisa de atenção em bases de código de agentes que crescem rapidamente.
Como se trata de um framework de análise estática aplicado a um corpus de repositórios públicos, sem demonstração de exploração em produção com alto impacto generalizado, o risco é mais relevante como ferramenta de defesa e triagem do que como ataque de alto impacto imediato.