O FedTrust-CVDv2 propõe uma arquitetura de divulgação coordenada de vulnerabilidades que separa validação de evidência, coordenação entre organizações, governança humana e auditoria permissionada, respondendo ao problema de ferramentas de IA gerarem achados de vulnerabilidade plausíveis mais rápido do que mantenedores conseguem verificar. Na implementação de referência, o sistema aceitou corretamente todos os 25 casos válidos e rejeitou todos os 650 inválidos, mas ablações mostraram que remover qualquer salvaguarda isolada já deixa passar entre 25 e 75 casos inválidos.
O framework anota cada afirmacao armazenada na memoria de um agente com rotulos de tipo, autoridade e escopo, e usa esses rotulos para decidir se a memoria pode influenciar uma resposta -- em vez de filtrar conteudo de forma generica. Em quatro modelos base e dois benchmarks, o SAFE-Mem reduz o sucesso de ataques em pelo menos 77% em relacao a melhor defesa comparavel, mantendo ate 15% mais acuracia de resposta.
A OX Security analisou 15.465 servidores do Model Context Protocol (MCP) indexados em cinco registros públicos e encontrou 5.095 hostnames únicos com problemas estruturais de governança: servidores hospedados em jurisdições de risco, instâncias rodando em máquinas pessoais via túneis como ngrok, e domínios expirados que podem ser registrados por qualquer pessoa por poucos dólares e assumir a identidade de um servidor MCP já confiado por agentes configurados.
O OWASP GenAI Security Project divulgou a edição 2026 do Top 10 para Aplicações LLM, agora fundamentada em milhares de incidentes reais em vez de apenas consenso de especialistas. Junto com a lista, o projeto lançou o Agent Control Standard, dedicado à governança de identidade, permissões e testes de segurança para agentes autônomos, e elevou o risco de 'Excessive Agency' à terceira posição do ranking.
O artigo argumenta que treinar segurança via RLHF ou Constitutional AI é estruturalmente insuficiente para agentes que executam código e mudam sistemas reais, propondo em vez disso um contrato de execução com uma face preventiva (sandboxes, permission gates, monitores de trajetória) e uma face evidencial (exigir prova verificável de que a ação boa realmente aconteceu). Os autores sustentam a posição com uma pesquisa de 52 incidentes documentados de agentes de IA e uma análise de 28.560 artigos de conferências mostrando desequilíbrio de 8 a 12 vezes entre pesquisa de segurança em treino versus em produção.
O artigo introduz a "vulnerabilidade de postura agêntica" (APV), uma abstração de gestão de vulnerabilidades voltada a agentes de codificação de IA que permanecem implantados de forma persistente e acumulam privilégios ao longo de muitas tarefas distintas. Diferente de uma falha de código que um CVE consegue descrever com precisão em uma versão específica de um produto, a APV documenta um descompasso contínuo entre o mandato dado ao agente numa tarefa e a autoridade real que ele mantém entre tarefas, algo que não é corrigido por um patch pontual.
Um artigo de opinião argumenta que times de segurança avançaram na descoberta e inventário de agentes de IA dentro das organizações, mas ainda falham em impor limites reais sobre suas ações. A proposta central é migrar de um modelo de permissões estáticas para um enforcement contextual, que correlacione identidade, permissões e intenção antes de autorizar uma ação específica do agente.
Pesquisadores propõem o Neural Cryptographic Services (NCS), uma camada de governança que separa o planejamento feito por um LLM, sem autoridade de execução, de um controlador simbólico determinístico que só libera ações previamente assinadas e encadeadas por hash. Em testes no benchmark AgentDojo e em um benchmark próprio de sequestro de argumentos, a taxa de sucesso de ataques de prompt injection caiu a quase zero.
A Microsoft publicou um guia técnico descrevendo como agentes de IA autônomos tendem a acumular privilégios além do necessário e como a integração entre múltiplas ferramentas cria combinações de acesso que nenhum sistema avalia isoladamente. O documento propõe um modelo de identidade dedicada por agente, RBAC granular por tarefa, concessão de privilégios just-in-time e auditoria fim a fim como resposta a esses riscos.