Transformações naturais de código conseguem "confundir" agentes de IA usados para descobrir vulnerabilidades em escala
Pesquisadores descobriram que agentes de IA de ponta, como o Codex, produzem resultados muito inconsistentes ao analisar commits de código reais que carregam a mesma vulnerabilidade e a mesma funcionalidade, apenas escritos de forma ligeiramente diferente. A partir disso, propõem usar transformações de código que preservam a funcionalidade — mineradas de padrões reais de desenvolvimento — como uma defesa deliberada para atrasar agentes atacantes que buscam vulnerabilidades em massa.
O ponto de partida do estudo é uma preocupação defensiva concreta: se agentes de IA já são bons em automatizar a descoberta de vulnerabilidades, os mesmos agentes podem ser usados por atacantes para varrer código-fonte publicamente disponível em busca de falhas exploráveis, em uma escala que times de segurança humanos não conseguem acompanhar. Os autores observam, ao analisar as trajetórias desses agentes, um fenômeno inesperado: o desempenho do agente varia dramaticamente entre commits reais que implementam exatamente a mesma funcionalidade e contêm exatamente a mesma categoria de vulnerabilidade — ou seja, pequenas diferenças superficiais no código, sem relação com a vulnerabilidade em si, já bastam para confundir o raciocínio do agente.
A partir dessa observação, o time construiu um corpus de transformações de código "naturais", ou seja, mineradas de padrões recorrentes observados em commits reais de desenvolvimento de software (refatorações comuns, reorganizações de estrutura, mudanças de nomenclatura idiomáticas), e que preservam integralmente a funcionalidade e a vulnerabilidade originais. Isso é tecnicamente distinto de obfuscação artificial: como as transformações imitam o que desenvolvedores humanos já fazem naturalmente, o código transformado não levanta suspeita de estar sendo deliberadamente disfarçado.
Aplicando essas transformações ao código antes de submetê-lo a um agente atacante baseado em modelos de ponta (como Codex com GPT-6 Sol), os autores demonstram que mesmo uma única transformação já reduz significativamente a taxa de sucesso do agente em encontrar a vulnerabilidade, e que compor múltiplas transformações amplia essa proteção. Os autores também investigam o cenário adversarial reverso, em que o atacante tenta identificar e desfazer essas transformações antes de analisar o código.
O valor prático dessa pesquisa está em abrir uma nova classe de defesa de "atrito computacional" direcionada especificamente a atacantes automatizados por IA: ao invés de tentar eliminar vulnerabilidades (que é caro e lento), times de segurança poderiam aplicar transformações de baixo custo que aumentam o tempo e o custo computacional necessário para um agente atacante encontrar a mesma falha, ganhando a janela de tempo necessária para corrigi-la antes de ser explorada em massa. É um lembrete de que a própria infraestrutura de desenvolvimento de software pode precisar se adaptar à existência de atacantes agenticos automatizados, não só de atacantes humanos.