Harness lança agentes de IA para escanear, triagem e correção de vulnerabilidades em velocidade de máquina

A Harness, empresa de plataforma de entrega de software de São Francisco, lançou um conjunto de agentes de segurança de IA em 19 de agosto de 2026 — AI SAST, triagem e remediação agenticas, um Agente Zero-Day dedicado e correção virtual — projetado para reduzir a lacuna entre a descoberta de uma vulnerabilidade e a entrega de uma correção de semanas para horas.

O argumento baseia‑se em uma assimetria que os defensores continuam perdendo. No post de engenharia da Harness detalhando o lançamento, a empresa cita o Relatório de Estatísticas de Vulnerabilidades Edgescan 2026, que aponta uma média de 55 dias para remediar uma vulnerabilidade, contra cronogramas de atacantes (monitorados pelo Zero Day Clock) que chegam a explorar a falha em apenas seis horas após a divulgação. Mesmo depois que uma correção é escrita, o Relatório DORA 2025 coloca o tempo de commit‑para‑produção em mais de uma semana. Os defensores estão tentando fechar uma janela medida em horas com um processo medido em semanas.

Modelos de ponta agora pressionam ambos os lados dessa lacuna. A varredura baseada em LLM revela muito mais achados do que a análise estática tradicional — parceiros no Project Glasswing da Anthropic, que dá acesso a parceiros de segurança ao modelo Claude Mythos Preview para caçar vulnerabilidades em softwares críticos, observaram cerca de 10 vezes mais vulnerabilidades durante os testes. Mas visibilidade sem processamento gera apenas um backlog maior: a Comcast, participante do Glasswing, constatou que 44 % dos achados críticos e de alta severidade de LLM eram falsos positivos, e apenas 36 % dos críticos e 33 % dos de alta severidade foram confirmados como exploráveis.

“Estamos em um ponto em que os mesmos modelos de IA que ajudam nossos clientes a entregar software mais rápido são também o que os atacantes usam para encontrar e explorar vulnerabilidades mais rapidamente”, disse Rahul Sood, Gerente Geral de Segurança de Aplicações da Harness, no anúncio da empresa. “A única forma de fechar essa lacuna é tornar a segurança uma parte de primeira classe do próprio pipeline de entrega.”

O que os agentes realmente fazem

A camada de varredura divide deliberadamente a diferença entre análise determinística e probabilística, uma escolha de design notável dado o entusiasmo atual da indústria em apontar LLMs para bases de código. O AI SAST da Harness combina um motor de fluxo de dados determinístico com uma camada de confiança de IA que classifica cada achado como risco confirmado, risco potencial ou seguro contextualmente. A própria benchmark da empresa contra o corpus OWASP Java afirma que a camada reduziu falsos positivos em 79 % (de 454 para 95) e elevou a precisão de 74 % para 93 % mantendo 91 % de recall. Em referência a insegurança de referência direta a objeto (uma classe de controle de acesso quebrado que a análise de fluxo de dados não consegue ver estruturalmente, pois não há entrada malformada para combinar), a Harness afirma 71 % de recall com 99 % de precisão em um corpus de 390 casos em Go, Java e Python. Esses são benchmarks de fornecedor, auto‑relatados, mas o argumento subjacente é sólido: um scanner probabilístico que devolve achados diferentes no mesmo código duas vezes, cobrando por token a cada varredura, não se encaixa em um controle contínuo de CI/CD. Em vez disso, a Harness posiciona a varredura LLM para caça pontual e oferece Orquestração de Varredura LLM para equipes que desejam executar seus próprios scanners LLM nativamente no pipeline.

Na sequência, o Agente de Triagem prioriza os achados combinando CVSS, EPSS e análise de alcançabilidade: a Harness agora traça caminhos de chamada até a função vulnerável específica, de modo que uma dependência seja sinalizada somente se aquela função exata for alcançável. O Agente de Remediação então escreve uma correção, valida‑a no pipeline para evitar que quebre builds e abre um pull request revisado por humanos. Os desenvolvedores mantêm a autoridade de merge.

O Agente Zero-Day é a peça direcionada diretamente ao problema de seis horas. Ele monitora novas divulgações de zero‑days, identifica cada artefato e pipeline afetados no ambiente do cliente (o mapeamento de raio de explosão que a empresa afirma reduzir de dias para segundos) e produz uma correção validada pronta para revisão, pulando totalmente a fila de triagem. A correção virtual cobre a janela residual: quando testes de API descobrem uma vulnerabilidade, a Harness implanta uma regra protetora em sua camada de proteção de aplicações web e API sem alterações de código, protegendo a produção em minutos enquanto a correção permanente é escrita, e remove o patch assim que a correção é enviada.

Todas as seis capacidades já estão disponíveis dentro da plataforma Harness, com os agentes de remediação e zero‑day operando sobre a governança existente do pipeline: portões de política, aprovações e cadeia de custódia em cada artefato.

Construção da Harness rumo ao AppSec agentico

O lançamento amplia um arco de segurança que começou quando a Harness se fundiu com a empresa de segurança de API Traceable em fevereiro de 2025, um acordo que colocou o co‑fundador da Traceable, Sanjay Nagaraj, à frente do negócio de segurança de aplicações da empresa combinada. Em julho de 2026 a empresa lançou o Agent DLC, uma camada de governança para o ciclo de vida de desenvolvimento de agentes de IA: varredura primitiva, lista de materiais de IA, descoberta de agentes e firewall de IA que impõe políticas contra injeção de prompts e uso indevido de ferramentas em tempo de execução. Dias depois, a Harness expandiu sua parceria com a Kong para levar descoberta e proteção de IA ao Kong AI Gateway, inventariando cada modelo, servidor MCP e ferramenta roteada por ele.

A Unite.AI tem acompanhado a mesma aceleração no lado ofensivo, desde Claude transformar um benchmark cibernético em três intrusões reais até a descoberta da IBM de que a IA desempenhou um papel em um em cada quatro incidentes maliciosos, e no lado defensivo, os modelos de defesa cibernética Daybreak da OpenAI chegando ao Amazon Bedrock. A aposta da Harness é que o pipeline de correção, não apenas a detecção, é onde a velocidade de máquina precisa chegar a seguir.

Se os agentes que escrevem suas próprias correções conquistarão a confiança empresarial dependerá da validação em torno deles, lição reforçada quando o Copilot Autofix abriu uma injeção de shell no pipeline CI/CD da Snowflake. A resposta da Harness é arquitetural: os agentes propõem, o pipeline valida e um humano faz o merge.