O que muda com o Prempti na segurança de agentes?
O TL;DR desta análise: Agentes de codificação com IA, como o Claude Code, operam como caixas-pretas com acesso a sistema de arquivos e comandos shell. O Prempti é um novo projeto experimental do ecossistema Falco que atua como uma camada de política e observabilidade, interceptando chamadas de ferramentas antes de sua execução. Ele permite definir guardrails (como bloquear pipes para shells ou acessos indevidos a chaves SSH/AWS) para garantir que a automação por IA não comprometa a segurança da estação de trabalho.
Agentes de codificação tornaram-se parte vital do fluxo de trabalho de engenharia moderno. Ferramentas que residem diretamente no terminal — lendo arquivos, executando comandos shell e realizando requisições de rede em nome do desenvolvedor — trazem uma eficiência sem precedentes, mas também uma nova superfície de ataque. A grande questão estratégica é: temos visibilidade absoluta sobre o que esses agentes estão executando em nossas máquinas?
O lançamento do Prempti pela equipe do Falco tenta endereçar esse gap. Ao estender o modelo de detecção baseada em políticas do Falco para o ciclo de vida de tool-calls desses agentes, a solução resolve uma falha crítica de segurança: a falta de governança estruturada sobre ações automatizadas iniciadas via LLMs.
Como os agentes se tornam caixas-pretas?
Os agentes utilizam suas credenciais de usuário (filesystem, chaves SSH, variáveis de ambiente). Se uma dependência maliciosa ou uma sugestão de código comprometida induzir o agente a ler seu diretório ~/.aws/ ou ~/.ssh/, você pode não ter visibilidade alguma até que o dano já tenha ocorrido. O Prempti atua exatamente na interceptação dessas chamadas antes que o SO as processe.
Qual a arquitetura do Prempti e por que ela importa?
O Prempti opera como um serviço de user-space. Ao contrário da instrumentação profunda do Falco (via eBPF), ele não exige root ou mudanças profundas no kernel. O fluxo é simples e eficaz:
- Intercepção: O hook do Prempti é disparado antes de cada tool-call.
- Envio: O interceptador envia o evento via socket Unix para o Falco.
- Avaliação: O motor de regras (familiar para quem já usa Falco/Kubernetes) avalia o contexto do comando.
- Verdict: O Prempti entrega um veredito:
Allow(continuar),Deny(bloquear) ouAsk(pedir permissão interativa).
Monitoramento vs. Guardrails: A abordagem consultiva
Recomendamos que, ao iniciar a adoção em equipes de engenharia no Brasil, a transição ocorra de forma faseada:
- Modo Monitor: Utilize
--mode monitorpara entender o comportamento dos agentes em seu ambiente. Quais arquivos ele acessa? Quais comandos ele frequentemente executa? Isso é essencial para evitar falsos positivos que bloqueiem a produtividade. - Modo Guardrails: Após validar os logs, ative o enforcing. Regras de
CRITICALdevem bloquear automaticamente o disparo de pipes para shell (um vetor recorrente de ataques de cadeia de suprimentos).
O uso de field-sets como tool.name e tool.input_command permite que as equipes de SOC ou DevSecOps criem políticas granulares que protegem contra o vazamento de segredos de forma muito mais inteligente do que firewalls de host tradicionais.
Limitações e o papel no ecossistema
É fundamental entender que o Prempti não substitui o sandboxing. Ele intercepta a intenção do agente (a tool-call), não a syscall resultante. Para uma proteção de segurança de alto rigor, o uso concomitante do Falco (eBPF) é indispensável para prevenir que um binário escrito por um agente malicioso execute ações de baixo nível no sistema.
O Prempti é uma camada de governança, não uma solução de isolamento total. Para empresas brasileiras que crescem rapidamente, integrá-lo ao pipeline de CI/CD e padronizar o uso desses agentes representa um salto na maturidade de segurança operacional.
Perguntas Frequentes
-
O Prempti substitui a observabilidade ao nível de SO do Falco?
Não. O Prempti funciona na camada de agente (interceptando tool-calls), enquanto as ferramentas tradicionais de infraestrutura do Falco usam eBPF/kmod para visibilidade profunda em syscalls. Eles são complementares. -
Como o Prempti lida com comandos perigosos?
Ele utiliza o motor de regras do Falco para avaliar o comando antes da execução. Se o comando violar uma policy, o Prempti pode bloquear a ação, solicitar aprovação do usuário ou apenas logar para auditoria. -
O Prempti exige privilégios de root para rodar?
Não. Ele opera como um serviço de user-space leve, sem a necessidade de módulos de kernel ou containers com privilégios elevados, facilitando a adoção em ambientes de desenvolvimento.
Artigo originalmente publicado por Leonardo Grasso, Falco Maintainer em Cloud Native Computing Foundation.
