OpenAgentFlow: uma camada de segurança para frotas de agentes de IA

Segurança como decisão no momento da ação

À medida que os agentes de IA deixam de ser assistentes isolados e passam a operar como frotas heterogêneas — múltiplos agentes, planejadores e backends de execução atuando sobre o mesmo ambiente corporativo —, a segurança deixa de ser uma questão de cada agente e vira um problema de governança de ações em nível de sistema. É essa a tese do OpenAgentFlow, apresentado em pré-print no arXiv.

O trabalho parte de uma constatação: as salvaguardas atuais cobrem prompts, chamadas de ferramenta, ações de interface e comportamento local de cada agente, mas deixam a aplicação fragmentada. Riscos que emergem em fluxos de múltiplos passos passam despercebidos, e a auditabilidade é limitada.

Uma camada de controle no “ponto de commit”

A proposta é uma arquitetura de plano de controle / plano de ação que aplica a segurança exatamente no limite em que uma ação vai ser executada e modificar estado compartilhado. Em vez de cada agente decidir por si, o OpenAgentFlow normaliza ações de GUI, chamadas de API, tool calls e invocações geradas por LLM em um fluxo unificado chamado AgentEvent.

Cada evento passa por um Policy Enforcement Point compartilhado antes da execução. O plano de controle mantém procedência, estado de sessão, registros de auditoria e políticas atualizáveis — de modo que novas regras entram em vigor sem tocar nos agentes, nos prompts, nos modelos ou nos caminhos de execução.

Resultados reportados

Em um benchmark de 300 casos, o sistema alcançou 94,0% de acurácia e uma taxa de bloqueio de ataques de 95,3%. Em um conjunto de 30 casos de política dinâmica, atendeu ao comportamento esperado em 27 casos após a instalação de novas regras. Em 98 casos rastreados de um emulador Android, registrou 90,8% de acurácia bruta.

O experimento foi instanciado no Android, mas a arquitetura é apresentada como agnóstica de plataforma. Trata-se, ainda assim, de um pré-print: os números dependem de validação independente, e a generalização para outros ambientes continua aberta.

A relevância é prática: com agentes autônomos ganhando acesso real a sistemas de empresas, uma fronteira de governança única e auditável tende a se tornar requisito, e não diferencial.