AWS Security Agent code review: Continuum corrige 89% das falhas

Segurança em TI

Continuum usa IA para identificar e corrigir automaticamente vulnerabilidades em código na plataforma AWS.

Leia também: Docker aposta em sandboxes para segurar agentes de IA

A AWS lançou o Continuum, um agente de segurança com inteligência artificial que analisa repositórios de código, encontra vulnerabilidades e propõe correções automáticas por meio de pull requests, com foco em falhas de memória em C e C++, após liderar um benchmark independente.

Continuum supera rivais em teste de segurança de código

No benchmark CyberGym-E2E, usado para avaliar agentes de IA em segurança de software, o Continuum concluiu com sucesso 819 das 920 tarefas, uma taxa de 89,0% de êxito de ponta a ponta. O resultado supera o melhor desempenho público anterior, que ficava bem abaixo desse patamar, e colocou o agente da AWS na frente de outros sistemas avaliados.

O teste coloca o agente diante de 139 projetos open source com vulnerabilidades de segurança relacionadas à memória, escritos em C e C++. Em cada tarefa, o sistema tem até 90 minutos para identificar uma falha real, reproduzir o bug, interromper o crash e entregar um patch que mantenha todos os testes existentes passando, sem receber descrição prévia do problema, prova de conceito, log de erro ou patch conhecido.

Nos quatro estágios cumulativos do exame, o Continuum encontrou e reproduziu um bug em 92,5% das tarefas, conseguiu parar o crash em 89,6% e manteve os testes passando em 89,0%. Quando o tempo de execução é estendido além dos 90 minutos padrão, a taxa de sucesso geral sobe para 93,7%, segundo os dados divulgados pela AWS.

Limitações: bug histórico e escopo restrito

O CyberGym-E2E também verifica se o patch gerado pelo agente corrige um bug histórico específico escolhido pelo benchmark em cada repositório — informação que não é revelada ao sistema. Nessa etapa, o Continuum resolveu o problema-alvo em 37,8% das tarefas, embora sempre corrigindo uma falha real de segurança existente no código.

A diferença entre o índice de 89,0% de sucesso end-to-end e os 37,8% sobre o bug histórico indica que o agente frequentemente corrige outras vulnerabilidades, não necessariamente a que está sendo avaliada. A própria AWS argumenta que, em repositórios com múltiplas falhas, consertar um problema diferente não torna o trabalho inútil, mas expõe uma limitação na precisão em relação a uma vulnerabilidade específica.

O teste cobre apenas falhas de segurança de memória em C e C++, deixando de fora outras linguagens e tipos de vulnerabilidades comuns no mercado. Até agora, não há resultados independentes em cenários mais diversos, nem números sobre o desempenho do Continuum quando recebe a tarefa direta de corrigir uma vulnerabilidade já identificada por uma equipe de segurança.

Como o Continuum funciona nos repositórios

Na prática, o Continuum se conecta aos repositórios de código, escaneia os projetos em busca de comportamentos suspeitos, tenta reproduzir os bugs e, quando encontra uma correção viável, abre pull requests com os patches propostos. O agente opera sob limites de acesso à internet definidos pelas regras do benchmark e respeita a suíte de testes já existente, o que reduz o risco de que uma correção aparente quebre funcionalidades em produção.

A AWS afirma ter verificado que o sistema não se apoia em correções públicas já conhecidas, o que significaria que o agente realmente analisa o código e produz patches originais. A empresa diz ainda que o serviço consegue cruzar o que encontra no repositório com o ambiente do cliente em nuvem, para evitar correções que entrem em conflito com a configuração de infraestrutura.

O que é o AWS Security Agent code review Continuum?

O Continuum é um agente de segurança da AWS baseado em IA, voltado para code review automatizado com foco em encontrar e corrigir vulnerabilidades de forma autônoma, principalmente em projetos C e C++ com bugs de memória. Ele se integra ao fluxo de desenvolvimento, atua como um analista de segurança virtual e tenta reduzir o esforço manual de desenvolvedores e equipes de segurança ao abrir pull requests já validados por testes.

Por enquanto, o alcance do serviço é mais forte em cenários parecidos com o do benchmark CyberGym-E2E: projetos em linguagens suportadas, com boa cobertura de testes e vulnerabilidades técnicas claras de exploração. Setores de tecnologia, fornecedores de software e times de segurança que mantêm grandes bases de código nessas linguagens tendem a ser os primeiros beneficiados.

Entenda o contexto

O lançamento do Continuum acontece em meio a uma corrida da indústria para usar IA na automação de tarefas de segurança, de análise de logs a caça a vulnerabilidades em código. Casos recentes, como o do PHP2Shell, mostraram que ferramentas inteligentes estão tornando mais fácil localizar falhas, mas que corrigir essas vulnerabilidades de forma segura e definitiva continua sendo um desafio técnico complexo.

A AWS conduziu internamente os testes no CyberGym-E2E e afirma que o agente seguiu as regras do benchmark, incluindo restrições de acesso à internet. As ferramentas usadas no exame são públicas, o que abre espaço para que, a partir de agora, pesquisadores independentes repliquem os experimentos e validem — ou questionem — os números divulgados.

Debate sobre maturidade e transparência

Ao comentar os resultados, o CEO da AWS, Matt Garman, escreveu em uma rede social que a inteligência artificial é “genuinamente transformadora para os defensores” e ressaltou que o Continuum obteve a melhor pontuação entre os agentes já avaliados no teste. A fala vai na linha de posicionar o produto como um avanço relevante para times de segurança pressionados por prazos e escassez de profissionais.

Nem todos, porém, estão convencidos de que o serviço já está no ponto ideal. O economista-chefe de nuvem e cofundador da Duckbill, Corey Quinn, reagiu ao anúncio levantando a hipótese de que o lançamento possa ter sido adiantado, em vez de ficar para um grande evento da companhia. Ele não apresentou provas de que a AWS mudou o cronograma, mas vocalizou uma preocupação recorrente no mercado: o risco de prometer mais do que a tecnologia atual consegue entregar.

Enquanto o Continuum chega aos primeiros clientes com resultados expressivos em um teste específico, o futuro do agente depende da expansão para outras linguagens, da melhoria na taxa de acerto para vulnerabilidades alvo e de avaliações independentes em ambientes reais de desenvolvimento e produção.