Chainguard lança Workspaces e Checks para proteger agentes de programação com IA

Um agente de programação com IA pode criar uma solução útil e, ainda assim, provocar um incidente de segurança no processo. Ele pode instalar uma dependência comprometida, seguir instruções inseridas em conteúdo não confiável ou executar um comando com credenciais que lhe dão muito mais acesso do que a tarefa exige. À medida que as equipes colocam mais agentes para trabalhar em paralelo, proteger o código que eles produzem é apenas parte do problema.

Chainguard está enfrentando essa exposição mais ampla com três anúncios feitos no Assemble London: Workspaces, ambientes isolados para desenvolvedores e agentes de programação; Checks, um mecanismo de verificação projetado para funcionar dentro do ciclo de desenvolvimento do agente; e proteções ampliadas do Libraries, que abrangem linguagens de programação adicionais e a correção de vulnerabilidades.

Os lançamentos se relacionam a três perguntas que as empresas precisam responder cada vez mais: onde um agente é executado, como seu trabalho é verificado e quais softwares externos ele pode trazer para a organização. Workspaces e Checks estão sendo lançados em versão beta, enquanto as novas ofertas do Libraries para Go e .NET estão entrando em acesso antecipado.

Criando um limite de segurança para cada agente de programação

Chainguard Workspaces fornece a cada desenvolvedor e agente uma microVM remota separada. O ambiente sincroniza a árvore de trabalho local do desenvolvedor, permitindo que ele continue usando seu editor e fluxo de trabalho do Git enquanto a execução ocorre fora de sua máquina. Ambientes separados também permitem que vários agentes tentem fazer alterações em paralelo sem compartilhar o mesmo ambiente de trabalho.

Essa distinção é importante porque os recursos úteis de um agente — executar comandos, instalar pacotes e acessar serviços — também podem ser vias para uma invasão. Uma política incluída nas instruções do agente depende de que ele a siga. Um limite imposto pelo ambiente de execução pode restringir o que acontece mesmo quando o modelo toma uma decisão inadequada.

Segundo o comunicado, as credenciais reais são injetadas fora do espaço de trabalho. Ferramentas que exigem uma credencial armazenada em disco recebem uma credencial substituta criptografada e de curta duração. Políticas de saída opcionais restringem as conexões a destinos aprovados, reduzindo a capacidade de uma dependência comprometida ou de um agente alvo de injeção de prompt de enviar dados para outros lugares.

Esses controles enfrentam riscos diferentes. O isolamento por hardware separa as cargas de trabalho; a intermediação de credenciais mantém segredos reutilizáveis fora do alcance do agente; e a política de rede limita os locais com os quais ele pode se comunicar. A eficácia desses controles ainda depende das permissões e dos destinos aprovados pela organização. O isolamento não torna inofensiva toda ação autorizada.

Os ambientes usam Chainguard OS Packages e verificam as dependências em relação ao arquivo de bloqueio durante a execução. A oferta já existente de OS Packages da Chainguard fornece pacotes mantidos continuamente, compila-os a partir do código-fonte e inclui listas de materiais de software. Esse contexto explica a abordagem da empresa: estender sua base de software controlada ao local onde os agentes são executados.

Workspaces também gera registros assinados que abrangem o ambiente, as alterações no código e os resultados das verificações. Para as equipes de segurança, isso oferece uma forma de investigar o que um agente fez, em vez de depender exclusivamente do resumo da sessão feito pelo próprio agente.

Levando a verificação para o ciclo de trabalho do agente

A geração de código pode ser rápida, enquanto o caminho até um código verificado continua lento. Um agente faz uma alteração, envia-a para a integração contínua, espera a inicialização de um executor e, em seguida, recebe uma falha quando o contexto de trabalho já mudou. Repetir esse processo com muitos agentes pode aumentar as filas e duplicar o trabalho de configuração.

Chainguard Checks integra a verificação a esse ciclo na forma de uma chamada de ferramenta. Quando usado com Workspaces, a sessão do agente é suspensa enquanto as verificações são executadas e, depois, retomada com registros estruturados de falhas em seu contexto. O fluxo de trabalho previsto é iterativo: fazer uma alteração, executar as verificações, analisar a falha e tentar novamente antes de encaminhar o resultado.

Snapshots pré-aquecidos contêm dependências pré-instaladas e são recriados quando o arquivo de bloqueio muda. Cada etapa do fluxo de trabalho é executada em sua própria microVM isolada por hardware. O comunicado também descreve a injeção de credenciais de curta duração pelo host nas solicitações de saída e políticas declarativas para o acesso à rede.

Uma execução bem-sucedida gera um atestado assinado que vincula o ambiente, o resultado do teste e o commit. Segundo a Chainguard, etapas posteriores de controle do merge podem verificar essas evidências e aceitar o resultado sem repetir a mesma bateria de testes.

Essa é uma distinção útil entre transportar evidências e simplesmente transportar a alegação de um agente de que os testes foram aprovados. Um atestado pode estabelecer quais verificações foram executadas para determinado commit em determinado ambiente. Não pode estabelecer que os testes cobriram todos os comportamentos importantes nem que uma alteração aprovada atende a todos os requisitos de segurança. As equipes ainda precisam de testes adequados, políticas de verificação confiáveis e revisão humana quando o julgamento é importante.

A Chainguard afirma que o projeto retorna resultados em segundos e reduz a computação redundante. Os materiais de lançamento não apresentam um benchmark validado de forma independente que comprove uma melhoria universal de velocidade ou custo em diferentes repositórios.

Protegendo as dependências incorporadas pelos agentes

O terceiro anúncio amplia Chainguard Libraries, seu catálogo gerenciado e seus endpoints para dependências de linguagens de código aberto. O serviço existente foi projetado para se integrar a gerenciadores de artefatos e fluxos de trabalho de desenvolvimento, com informações de proveniência e listas de materiais de software assinadas para pacotes desenvolvidos pela Chainguard.

O novo endpoint para Go inclui verificação de malware e grayware, políticas configuráveis para pacotes e remediação de CVEs. O endpoint para .NET oferece uma alternativa ao consumo direto pelo NuGet, com controles de verificação e de políticas. Ambos estão entrando em Acesso Antecipado.

A Chainguard também está adicionando remediação de CVEs para JavaScript e Go, incluindo correções retroportadas para vulnerabilidades críticas e de alta gravidade. A retroportabilidade é importante quando uma equipe não pode migrar imediatamente para uma versão principal mais recente sem fazer alterações no aplicativo ou testes extensivos. Ela pode reduzir a exposição enquanto a atualização mais ampla é planejada.

Para Java e Python, a empresa afirma que a Athena, sua coalizão do setor, fornecerá artefatos com vulnerabilidades corrigidas no mesmo dia em que vulnerabilidades descobertas por modelos de IA de fronteira se tornarem públicas. Trata-se de uma afirmação sobre a resposta no momento da divulgação pública, não de uma garantia de que não existam falhas ainda não divulgadas.

Uma pesquisa mostra por que a aplicação de patches está sob pressão

Junto com os produtos, a Chainguard está divulgando The AI Exploit Gap, uma pesquisa encomendada à Wakefield Research. A pesquisa coletou respostas em setembro de 2026 de 1.300 líderes de cibersegurança em nove mercados. Os participantes ocupavam cargos de diretor ou superiores e, em geral, trabalhavam em organizações com pelo menos 500 funcionários; o mínimo era de 250 funcionários em Singapura e nos Emirados Árabes Unidos/Arábia Saudita.

Nessa pesquisa, 54% afirmaram que suas organizações deixam conscientemente vulnerabilidades de alta ou crítica gravidade sem correção pelo menos às vezes, e 93% manifestaram preocupação com a capacidade de remediar exploits impulsionados por IA com rapidez suficiente. Cerca de 76% relataram um ataque impulsionado por IA confirmado ou suspeito no ano anterior.

O último número combina incidentes confirmados com suspeitas. Ele não deve ser interpretado como uma medida verificada de forma independente dos ataques causados por IA. De modo mais amplo, são relatos e expectativas dos participantes, não dados de telemetria que comprovem a frequência com que uma determinada técnica de ataque é bem-sucedida.

Os resultados operacionais são reveladores. Entre as empresas com receita de pelo menos US$ 1 bilhão, 66% relataram deixar vulnerabilidades de alta ou crítica gravidade sem correção pelo menos às vezes, em comparação com 27% das empresas com receita inferior a US$ 250 milhões. Organizações maiores citaram contrapartidas comerciais, como interrupções e prioridades concorrentes para produtos. Portanto, a diferença diz respeito tanto à capacidade de implementar mudanças quanto à de descobrir falhas.

Mais autonomia exige um controle mais verificável

Os três lançamentos da Chainguard compõem uma abordagem coerente: restringir o ambiente de execução, oferecer aos agentes uma verificação rápida e atribuível e controlar as dependências que eles consomem. Cada um aborda uma parte diferente do mesmo fluxo de trabalho de desenvolvimento.

O teste prático será verificar se esses controles se encaixam em repositórios reais, integrações de serviços e políticas de lançamento sem se tornarem mais um gargalo. O fato de estarem em fase beta e de Acesso Antecipado significa que esse trabalho ainda está por fazer. A direção, porém, é clara: à medida que os agentes de programação ganham capacidade de agir, as empresas precisam de controles de segurança que continuem aplicáveis e verificáveis ao longo de todo o trabalho.