Estudo expõe lacunas de autorização em frameworks multiagente como LangGraph, CrewAI, AutoGen e MCP
Um estudo empírico avalia frameworks populares de agentes de IA sob a premissa de que o modelo que dirige um agente pode ser sequestrado por um atacante, mostrando que a arquitetura padrão de credenciais amplas e autorização decidida 'dentro' do modelo falha contra as quatro ameaças centrais de delegação multiagente. Os autores implementam e testam um broker de autorização externo que bloqueia essas ameaças e reduz drasticamente as ações alcançáveis por um subagente comprometido.
O ponto de partida do trabalho é reconhecer que agentes autônomos de LLM cada vez mais mantêm credenciais, chamam ferramentas e serviços, e geram subagentes que agem em nome do usuário original — o que transforma o clássico problema de sistemas distribuídos ('quem está autorizado a fazer o quê, sob autoridade de quem') em algo urgente e ainda sem solução, porque o componente que decide cada ação é um modelo de linguagem que um atacante pode manipular via prompt injection.
Os autores defendem que a segurança de agentes precisa ser avaliada sob a premissa de 'modelo não confiável': um sistema correto é aquele em que um agente totalmente comprometido por injeção de prompt ainda assim não consegue exceder a autoridade explicitamente delegada a ele. A partir disso, propõem um modelo de ameaças com quatro adversários centrais — deputado confuso, roubo e replay de token, escalonamento de privilégio via injeção de prompt, e subagentes comprometidos — derivando oito requisitos de segurança que um sistema de agentes governado precisa cumprir.
Ao avaliar um runtime de agente que modela a prática comum (credenciais portadoras amplas, autorização decidida dentro do próprio modelo), o sistema falha nas quatro categorias de ameaça. Entre quatro frameworks amplamente usados — LangGraph, CrewAI, AutoGen e o modelo de autorização do Model Context Protocol (MCP) — três não oferecem nenhum confinamento nativo e um oferece apenas confinamento parcial; nenhum padrão isoladamente cobre o conjunto completo de requisitos propostos.
Os autores então implementam um broker de autorização externo ao modelo e o testam adversarialmente: ele bloqueia as quatro categorias de ameaça, resiste a 11 ataques diretos contra seu próprio design, rejeita a totalidade de 200 mil tokens forjados em testes, e confina um subagente comprometido a uma média de 1,5 ações alcançáveis contra as 8.100 possíveis sob delegação por credencial portadora ampla, em 2.000 cenários aleatorizados — com custo de aplicação de cerca de 2,6 microssegundos por decisão, desprezível frente ao custo de inferência do modelo. O achado prático mais direto é que confinar a autoridade de um agente precisa acontecer fora do modelo, em uma camada de infraestrutura que não confia na saída do LLM — algo que nenhum dos frameworks populares hoje garante por padrão.