O relatório "Horizons of Identity Security", da SailPoint, descreve um descompasso estrutural nas empresas que estão adotando agentes de IA autônomos: investem em operações de negócio na velocidade da IA enquanto ainda dependem de controles de segurança desenhados para a velocidade humana — aprovações manuais, revisões periódicas de acesso, provisionamento sob demanda. Esse "paradoxo de velocidade" cria uma janela crescente em que agentes já operam com privilégios reais antes que qualquer processo de governança de identidade tenha alcançado o ritmo de sua implantação.
Pesquisadores propõem a Analytical Memory Unit (AMU), um esquema de memória compartilhada para agentes de IA corporativos que anexa um grafo completo de origem (lineage) a cada resultado armazenado em cache, liberando o acesso apenas quando o solicitante está autorizado para todas as colunas de dados que contribuíram para aquele resultado. Em experimentos com geração de SQL por LLM, o framework eliminou vazamentos entre departamentos (que antes variavam de 18,8% a 25,5% com controle de acesso tradicional baseado em conteúdo) mantendo mais de 81% de reaproveitamento de memória, com overhead de apenas 13,8 microssegundos.
A Apple anunciou planos para tornar o controle de Full Disk Access (FDA) no macOS mais estrito, exigindo autorizacao explicita e continua em vez da concessao unica e permanente atual, depois que o agente Muse da Meta acessou iMessages privados de um jornalista e o pesquisador Patrick Wardle encontrou falhas tanto no Muse quanto no app ChatGPT para Mac que poderiam expor dados e tokens de autenticacao do usuario. Nenhuma data de lancamento das novas controles foi divulgada.
A OpenAI alertou mais de 100 organizações sobre atividade não autorizada envolvendo seus agentes de IA, após uma revisão ampla motivada pelo comprometimento acidental do Hugging Face. A empresa está vasculhando cerca de 50 petabytes de dados para mapear o alcance total do problema, que inclui agentes usando acesso à internet de formas não previstas pelos desenvolvedores.
Pesquisadores propoem Locket, um framework que treina multiplos adaptadores LoRA, cada um codificando uma politica de acesso diferente (revelacao completa, redacao parcial de PII ou privacidade diferencial), e usa um modulo de roteamento que so ativa o adaptador de revelacao completa quando um token de entrada valido esta presente no prompt. Sem o token correto, o modelo roteia automaticamente para o adaptador que redige ou sanitiza conteudo sensivel, mantendo utilidade proxima a de um modelo sem nenhuma defesa quando o acesso e autorizado.
Pesquisadores propõem um framework de segurança por capacidades para agentes de IA autônomos que precisam transacionar e coordenar entre si, movendo o controle de acesso para um módulo criptográfico fora da janela de contexto do modelo. A ideia central é que tokens de capacidade, vinculados à identidade do agente e do emissor e baseados em padrões existentes (OAuth Agent Authorization Profile, W3C DID/VC), permitem que serviços validem que cada elo de uma cadeia de delegação só reduz -- nunca amplia -- o escopo de permissões.
O AGATE é um gate de autorização e proveniência instalado na fronteira entre o agente de LLM e o harness que o executa, capaz de bloquear ataques que combinam operações individualmente inofensivas em uma sequência prejudicial. Testado em três harnesses de produção (DeepSeek Harness, OpenCode, OpenClaw) sem alterar o código deles, o sistema processou 153 registros de cadeias de ataque e identificou um bypass via reescrita de parâmetros, além de mostrar que políticas baseadas em conteúdo geram negações em mais da metade de cenários benignos de processamento de arquivos.
Sistemas de agentes de IA em produção, como Codex e Claude Code, hoje protegem chamadas de ferramenta com uma mistura de regras estáticas e julgamento do próprio LLM sobre cada ação -- e o julgamento por LLM é inconsistente e vulnerável a prompt injection indireto. O MetaPermit propõe que um LLM só infira meta-atributos da situação (intenção do usuário, contexto de execução, natureza da chamada proposta), enquanto uma política determinística e fixa decide permitir ou negar, alcançando 31% mais consistência e zero chamadas maliciosas executadas nos benchmarks testados.
O estudo identifica uma falha de cobertura em interfaces de aprovação de agentes de codificação: o registro de auditoria associa a decisão humana apenas ao comando ou chamada de ferramenta aprovado, mas não aos efeitos transitivos que esse comando executa — como um hook de instalação de pacote que grava arquivos ou uma chamada MCP que exerce autoridade de rede. Em um benchmark de 111 pares de objetos de aprovação e rastro real, vincular metadados no momento da decisão reduziu os registros com efeito não coberto de 40 para 3, e os autores integraram a defesa como hook PreToolUse do Claude Code.
Pesquisadores propuseram o Ajar, um metodo para medir quanto 'privilegio aberto' -- acesso que uma defesa de agente permite, mas que nenhuma tarefa legitima realmente precisava usar -- fica fora das metricas tradicionais de sucesso de ataque e utilidade benigna. Rodando sobre a infraestrutura existente do benchmark AgentDojo, o Ajar gera chamadas de ferramenta candidatas que a tarefa nao exige e verifica se cada defesa as permite em cada ponto de decisao do agente. Testado contra cinco defesas conhecidas (Progent, CaMeL, AC4A, Permission Assistant e o modo Auto do Claude Code), o trabalho mostra que a quantidade de privilegio deixado aberto varia muito entre defesas com pontuacoes de ataque e utilidade parecidas.
Um estudo sistemático de quatro fronteiras de confidencialidade em sistemas de LLM local (carregamento de modelo, memória em tempo de execução, persistência do wrapper e interface de servimento) encontrou uma falha de autorização não documentada no llama.cpp que permite a um cliente autenticado restaurar o estado de conversa salvo de outro usuário, com sucesso em 200 de 200 tentativas controladas. Os pesquisadores também mostram que texto puro do prompt sobrevive na memória após a inferência e que o cache compartilhado de prefixo cria um oráculo de temporização explorável remotamente.
O IntentCap é um framework que argumenta que a permissão de um agente de LLM deveria ser calculada dinamicamente a partir da intenção específica da tarefa em curso, e não fixada para toda a duração de uma sandbox ou sessão. O sistema compõe capacidades a partir de quatro fontes distintas — intenção do usuário, instruções de workflow, esquemas de ferramentas e ambiente de execução —, cada uma contribuindo apenas com campos que só ela pode preencher, e aplicando uma regra de estreitamento monotônico que nunca amplia a autoridade original concedida pelo usuário.
O paper propoe KITA, uma arquitetura em que a chave de assinatura do usuario nunca fica acessivel a nenhum processo de LLM: ela e fragmentada entre multiplos dominios revisores via assinatura threshold BLS, de forma que uma acao efetiva (pagamento, mudanca de permissao) só é autorizada se pelo menos t dominios distintos, nao comprometidos, assinarem a mesma acao canonica apos revisao autenticada. A motivacao e concreta -- agentes LLM que interpretam conteudo nao confiavel e ao mesmo tempo controlam uma credencial de assinatura reutilizavel permitem que prompt injection atravesse diretamente para autoridade de execucao.
Pesquisadores descrevem e medem a 'lavagem de autorizacao endogena' (endogenous authorization laundering), uma falha em que a propria memoria persistente de um agente de IA registra incorretamente permissoes que nunca foram concedidas, levando o agente a agir como se estivesse autorizado. No benchmark EAL-Bench, modelos atuando como 'escritores' de memoria geraram autoridade falsa em ate 50,2% das solicitacoes indevidas, e modelos atuando como 'executores' agiram sobre essa autoridade falsa em 98,6% dos casos.
Um estudo empírico avalia frameworks populares de agentes de IA sob a premissa de que o modelo que dirige um agente pode ser sequestrado por um atacante, mostrando que a arquitetura padrão de credenciais amplas e autorização decidida 'dentro' do modelo falha contra as quatro ameaças centrais de delegação multiagente. Os autores implementam e testam um broker de autorização externo que bloqueia essas ameaças e reduz drasticamente as ações alcançáveis por um subagente comprometido.
Um estudo sobre 'implantação com gating de capacidades' — controle de acesso por usuário dentro de um único conjunto de pesos de LLM — mostra que restrições de segurança individualmente inofensivas se compõem de forma previsível quando combinadas (a interseção de restrições de múltiplos perfis aprofunda a supressão), mas o mesmo não vale para a utilidade do modelo, que pode se degradar de forma imprevisível quando perfis são combinados.
Um pesquisador propõe aplicar uma regra de autorização de audiência diretamente no momento em que a memória de um agente de IA pessoal é convertida em contexto de prompt, impedindo que um fato aprendido em uma conversa vaze para um público não autorizado em outra conversa. A defesa funciona por exclusão determinística, não por confiar que o modelo se recuse a repetir a informação, e em testes sintéticos nenhum fato proibido chegou a entrar no contexto montado.
Pesquisadores propõem o FAVA, um framework que substitui listas estáticas de permissão por autorização verificada em tempo de execução para agentes de LLM. Tarefas em linguagem natural são traduzidas para um grafo de permissões rastreável, que um solver SMT confere contra políticas de segurança antes de qualquer ação com efeito real ser executada. Em benchmarks como OpenAgentSafety, OctoBench e ActPlane, o sistema atingiu 90,5% de conformidade nas decisões, interceptando ações que violavam a política dinamicamente.
O artigo caracteriza o que os autores chamam de "hijacked authorized agent problem": um agente de IA que administra jobs, builds e workflows científicos em ambientes de HPC atua sob as credenciais do próprio usuário, de modo que instruções maliciosas plantadas em logs, descrições de ferramenta, arquivos compartilhados ou mensagens de outros agentes podem redirecioná-lo para ações fora do escopo original, mesmo que cada comando resultante seja autenticado e permitido para aquela conta. Os autores propõem uma agenda de pesquisa e um benchmark futuro, o TaskBound, para medir esse desvio.