O argumento de 29 minutos a favor de um crachá para o runtime de agentes

A CrowdStrike calculou em 29 minutos o tempo médio para um invasor se espalhar a partir de um ponto de apoio inicial em 2025. No Xcode 26.3, a Apple colocou Claude Agent e OpenAI Codex dentro de um ambiente confiável para desenvolvedores, onde o software pode escolher ferramentas e agir em nome de um desenvolvedor. O relógio de 29 minutos começa depois que um invasor entra. A autoridade de um agente também começa após o login e então se ramifica em ações que o ponto de controle nunca avaliou.

O Xcode transforma um login em muitas decisões de máquina

Um desenvolvedor se autentica uma vez no Xcode. Claude Agent ou Codex podem então escolher ferramentas e agir por meio do ambiente de desenvolvimento. Cada gravação de arquivo, comando de terminal, consulta a repositório ou chamada externa cria outra decisão sobre autoridade herdada.

A Microsoft respondeu com sua Agent Control Specification de código aberto, que dá aos desenvolvedores uma forma granular e consistente de definir o que os agentes podem fazer. A Apple colocou agentes dentro do Xcode; a Microsoft começou a especificar os controles em torno de suas ações.

Uma equipe que exige aprovação humana para cada chamada de ferramenta abre mão de grande parte da automação. Uma equipe que empresta a um agente a autoridade permanente do usuário amplia o dano que uma tarefa pode causar. As equipes podem evitar os dois extremos ao tratar cada agente supervisionado como um principal temporário. Elas criam uma identidade de máquina para a tarefa, limitam suas ferramentas e recursos, estabelecem uma regra de expiração e destroem sua autoridade quando a tarefa termina.

Um sandbox falha quando uma ferramenta confiável carrega autoridade através dele

Um sandbox contém um agente apenas quando cobre todos os caminhos relevantes para fora dele. O modelo não precisa escapar diretamente se puder alterar um artefato que uma ferramenta com mais privilégios consome depois.

Pesquisadores demonstraram esse modo de falha no Cursor, Codex, Gemini CLI e Antigravity. Eles encontraram escapes de sandbox ou desvios de fronteira envolvendo arquivos usados posteriormente por ferramentas confiáveis. A maioria dos problemas reportados foi corrigida, estabelecendo um modo de falha concreto sem mostrar que os fornecedores chegaram a uma arquitetura de runtime comum.

As equipes podem corrigir cada caminho e ainda deixar a cadeia de execução exposta. Um agente grava um arquivo; o arquivo se torna uma instrução; uma ferramenta com credenciais o consome. Conformidade com prompts e contenção nominal não respondem se a ação resultante foi autorizada.

A especificação da Microsoft dá aos desenvolvedores um lugar para codificar as verificações que faltam: se um agente pode invocar uma ferramenta, se essa ferramenta pode acessar produção, se a saída para a rede é permitida e se uma credencial pertence à tarefa atual. Um mecanismo independente também deve poder revogar a credencial e encerrar a execução mesmo que o agente ou o motor de políticas continue em execução.

Uma aceleração de 65% coloca a resposta dentro do caminho da ação

A CrowdStrike informou que invasores se movimentaram lateralmente 65% mais rápido em 2025 do que um ano antes. Nesse ritmo medido, uma equipe de segurança que espera um alerta entrar em uma fila de triagem pode agir depois que o invasor já deu o próximo passo.

Agentes de programação apertam a restrição pelo outro lado. Eles podem alterar a economia do desenvolvimento de exploits ao automatizar a descoberta de falhas zero-day, tornando testes repetidos mais baratos enquanto a automação de ataques comprime o intervalo entre entrada e movimentação.

Uma camada de enforcement pode transformar uma detecção em uma restrição imediata. Ela pode limitar uma credencial, rejeitar uma chamada de ferramenta, isolar um ambiente ou encerrar uma tarefa antes do próximo passo. Uma equipe de segurança que conecta a detecção a esses controles não precisa mais encaminhar todo sinal relevante por outra fila de revisão.

Os parceiros da Anthropic mostram a segurança avançando para cima na cadeia

Os parceiros de lançamento do Project Glasswing da Anthropic incluíam AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, Microsoft, Nvidia e Palo Alto Networks. Essas empresas abrangem modelos, nuvens, hardware, ambientes operacionais e sistemas de enforcement.

A Anthropic limitou o lançamento do Claude Mythos enquanto o testava por meio dos parceiros do Glasswing. A Palo Alto Networks disse que o Mythos encontrou mais de 24 bugs críticos usando mais de $1 million em tokens. As equipes de segurança ainda tiveram de validar, priorizar e corrigir as descobertas, transformando a saída do modelo em uma carga operacional posterior.

O anúncio do Glasswing nomeou uma rede de parceiros, não um plano de controle unificado. Cada fornecedor ainda precisa conectar as ações dos modelos a seus próprios sistemas de identidade, telemetria e enforcement, enquanto correções de sandbox revelam lacunas uma falha por vez.

Essa integração traz seu próprio risco operacional. Uma atualização da CrowdStrike em julho de 2024 afetou uma estimativa de 8.5 million dispositivos Windows. O alcance que ajuda um fornecedor de segurança a impor políticas também pode espalhar uma política ou atualização defeituosa por milhões de endpoints.

Fornecedores que operam essa camada devem implementar mudanças em etapas, limitar seu escopo, preservar trilhas de auditoria e tornar a autoridade reversível. Os clientes também precisam de um caminho independente para desativar o mecanismo de enforcement, para que seu kill switch não se torne um ponto único de falha sistêmica.

Compradores vão precificar alcance e raio de impacto juntos

A CrowdStrike reportou receita fiscal do primeiro trimestre de $1.39 billion, alta de 26% na comparação anual, enquanto suas ações caíram mais de 10%. O crescimento da receita não evitou a venda de ações. Investidores ainda ponderaram avaliação, concorrência e a memória operacional de 2024 ao lado da demanda por segurança de IA.

Um comprador que avalia segurança para runtime de agentes deve pedir a cada fornecedor que demonstre uma sequência: identificar um ator de máquina limitado à tarefa, rejeitar uma chamada de ferramenta proibida, revogar sua credencial, preservar o registro de auditoria e reverter uma atualização de enforcement defeituosa. Esse teste transforma o controle de runtime em um requisito de produto, em vez de um rótulo de IA.

O Glasswing coloca fornecedores de segurança ao lado de empresas de modelos, nuvem e hardware; a interrupção da CrowdStrike em 2024 mostra o alcance operacional que um fornecedor de enforcement já pode ter. Equipes de compras devem avaliar o raio de impacto do agente e do mecanismo de enforcement na mesma revisão.

Vinte e nove minutos começaram como uma métrica de violação. Dentro de um runtime de agentes, eles expõem a falha de uma decisão tomada no login: o agente continua agindo enquanto o relógio do defensor corre. O agente precisa de um crachá para cada ação, e o emissor do crachá precisa de um disjuntor independente.