Quando controles corretos ainda vazam: o que o CONTINUITY ensina sobre segurança de agentes de IA

Você pode reunir um rastreador de proveniência, uma camada de autorização, um motor de políticas, adaptadores de protocolo e guardas de execução — cada um correto por si só — e ainda assim entregar um sistema que permite a um agente de IA fazer algo que nunca foi autorizado. Essa é a descoberta desconfortável do framework de pesquisa CONTINUITY, e explica por que "temos todos os controles" não é o mesmo que "estamos seguros".

A falha mora nas junções

A ação de um agente não acontece em um único lugar. Ela viaja: uma instrução chega, a proveniência é marcada, a autorização é verificada, uma política é aplicada, um adaptador traduz e, por fim, algo é executado no mundo real. A cada fronteira entre componentes, o contexto de segurança crítico — o quem e o porquê da ação — pode ser perdido ou corrompido. Os autores chamam isso de descontinuidade de contexto de segurança.

Cada controle pode passar nos próprios testes isoladamente. A vulnerabilidade não vive dentro de nenhuma caixa, mas no espaço entre elas.

Quatro formas de quebrar o contexto

• Descartado: o quem e o porquê somem, e um componente posterior aprova às cegas.
• Ampliado: uma permissão de escopo estreito é tratada como mais ampla do que era.
• Religado: a ação é reatada a um alvo diferente daquele autorizado.
• Reinterpretado: o sentido do pedido muda ao ser traduzido entre camadas.

A correção: um contexto que viaja com a ação

O CONTINUITY trata a composição como um problema de primeira classe. Ele modela cada componente com um contrato do tipo assume-garante e carrega um contexto de segurança autenticado em cada transição, por meio de concessões raiz assinadas, compromissos de proveniência, recibos de transição ligados ao papel e permissões de execução atadas ao efeito. A propriedade garantida é a integridade de consequência: nenhum efeito externo real ocorre sem uma cadeia de autorização completa, verificável e atual por trás.

Os números importam

Em 2.560 instâncias de ataque parametrizadas por 128 classes de falha, a configuração completa não cometeu nenhum efeito externo nocivo, concluiu as 700 tarefas benignas e escalou os 200 casos ambíguos a um humano em vez de adivinhar. Um controle que bloqueia tudo é inútil; este deixou o trabalho real passar.

O que um líder de segurança deve levar

Não é preciso implementar o CONTINUITY para usar sua lição: pare de avaliar controles isoladamente e siga o caminho inteiro, da instrução ao efeito. Antes de conectar um agente aos seus sistemas, meça o risco do modelo com o scanner de risco de modelos e governe cada conector com a verificação de risco de servidores MCP. Um monte de controles corretos não é um sistema seguro: a segurança mora nos contratos entre eles.