Radar Tech: A Segurança na Cadeia de Suprimento de Agentes de IA — Codex Security, Aguara e o Novo Ecossistema

O que aconteceu esta semana?

Três grandes movimentos sacudiram o ecossistema de segurança para agentes de IA nos últimos dias:

OpenAI lançou o Codex Security (466 pontos no HN), um CLI e SDK open-source para encontrar, validar e corrigir vulnerabilidades de segurança em código. A ferramenta, que exige Node.js 22+ e Python 3.10+, faz varreduras estáticas, integração com CI e tracking histórico de achados. O repositorio já ultrapassou 2.800 estrelas no GitHub.

Aguara (85 estrelas) foi apresentado como um motor de segurança open-source para cadeia de suprimento de agentes de IA — analisa lockfiles, scripts de instalação, configurações MCP, skills de agente e workflows de CI/CD antes que qualquer código seja executado. Funciona sem telemetria, sem chamadas de LLM e com intel de ameaças assinada criptograficamente.

DriftCop e VellaVeto completam o ecossistema: o primeiro é um SAST especializado em servidores MCP com verificação de assinatura via SigStore; o segundo é um gateway de políticas MCP que bloqueia chamadas inseguras a ferramentas por agentes de IA, com descoberta de topologia e auditoria.

Por que isso importa para arquitetura de software?

O paradigma de agentes de IA introduziu uma nova superficie de ataque que arquitetos de software precisam entender e mitigar. Diferente de aplicações tradicionais, onde a cadeia de suprimento se limitava a bibliotecas e frameworks, agentes de IA adicionam três novas camadas de confiança:

1. Servidores MCP — expoem ferramentas diretamente ao modelo de IA. Um servidor MCP desonesto pode ler arquivos, enviar dados para a internet ou executar comandos no ambiente do agente.
2. Arquivos de instrução do agente — AGENTS.md, CLAUDE.md, .cursorrules e .hermes.md podem conter prompt injection que altera o comportamento do modelo, incluindo instruções para desabilitar verificações de segurança.
3. Skills e plugins — pacotes de prompt que estendem as capacidades do agente, mas podem conter instruções maliciosas disfarçadas de funcionalidade legitima.

OWASP LLM Top 10 se torna referência obrigatória

A OWASP já incluiu a segurança de cadeia de suprimento em sua lista de vulnerabilidades críticas para aplicações LLM. Entre os itens mais relevantes:

• LLM06 — Supply Chain Vulnerabilities: dependências, modelos pré-treinados e plugins de terceiros podem carregar vulnerabilidades
• LLM01 — Prompt Injection: instruções maliciosas em arquivos de configuração podem alterar o comportamento do agente
• LLM02 — Insecure Output Handling: agentes que executam ações baseadas em saídas não validadas

Como arquitetos podem se preparar

1. Trate MCP como qualquer outra superficie de rede — exija autenticação OAuth 2.0, TLS 1.3 e auditoria de chamadas. Use ferramentas como VellaVeto para aplicar políticas de segurança.
2. Lockfiles não são opcionais — se seu agente instala dependências, ela precisa de lockfile commitado com hashes verificaveis. Aguara pode validar isso em CI.
3. Revise arquivos de instrução como código — AGENTS.md e equivalentes devem passar por code review e SAST. O Codex Security da OpenAI já consegue escanear esses arquivos.
4. Implemente um policy engine — defina regras como "nenhum servidor MCP remoto sem autenticação" e "nenhum AGENTS.md com flags --no-verify". Automatize o bloqueio.

A oportunidade para Architecture Decision Records

Cada mitigação identificada deve ser registrada como um ADR (Architecture Decision Record). Isso cria um rastro auditável de decisões de segurança que pode ser usado para compliance, revisão periódica e onboarding de novos membros do time.

O pacote de prompt que publicamos hoje no marketplace (categoria Segurança) contem exatamente isso: um pipeline completo que vai da análise da superficie de ataque até a geração de ADRs prontos para commit.

Radar Tech é uma curadoria diária de noticias e tendências de tecnologia com foco em arquitetura de software. Hoje: Codex Security (OpenAI), Aguara, DriftCop, VellaVeto e o ecossistema emergente de segurança para agentes de IA.