Uber Open-Source do Sistema de Proteção de Agentes de IA ADR

Imagine este cenário: você permite que desenvolvedores usem assistentes de codificação como Claude Code ou Cursor. Os agentes navegam livremente pelo console, executam comandos, leem arquivos e chamam APIs externas via Model Context Protocol (MCP). De repente, uma injeção de prompt imperceptível acaba em um dos arquivos sendo processados. O agente lê a instrução maliciosa e silenciosamente envia chaves privadas para um servidor externo.

A Uber encontrou essa ameaça diretamente. Para proteger processos internos e bots de suporte ao cliente, os engenheiros da empresa criaram o sistema ADR (Agentic AI Detection and Response). Os autores recentemente open-sourcearam o projeto no GitHub e publicaram um artigo de pesquisa para a conferência MLSys 2026.

Do que consiste o ADR

A Uber já usa o ADR em produção. Alguns componentes permanecem nos repositórios internos da empresa (por exemplo, o mecanismo Prevention para bloqueio automático de ações perigosas e a ferramenta de auditoria automatizada ADR Explorer). No entanto, a parte principal da arquitetura foi lançada sob a licença Apache 2.0.

A parte open source do projeto é dividida em três blocos:

• Observabilidade (Sensor). Coleta e aplica um schema unificado à telemetria de mais de 7 ferramentas populares de desenvolvimento. Funciona em macOS, Linux e Windows.
• Benchmark (ADR-Bench). Um testbed para validação de segurança. Consiste em 303 tarefas, 133 servidores MCP e cobre 17 técnicas de ataque contra agentes autônomos.
• Detecção (ADR Detector). Um módulo de dois níveis para detecção de ameaças em logs de atividade de agentes.

Coleta de telemetria sem vinculação a uma ferramenta específica

O principal desafio no rastreamento de agentes de IA é a fragmentação dos logs. O Cursor escreve logs em um formato, o Claude Code em outro e um bot interno da empresa em um terceiro.

O módulo Sensor busca eventos brutos de cada ferramenta e os normaliza para um formato comum. Ele captura não apenas o texto das mensagens, mas também cadeias de intenções, chamadas de funções específicas e resultados da execução de comandos. Isso fornece à equipe de segurança um stream de eventos unificado, independentemente de qual ambiente o engenheiro estava trabalhando.

Após isso, você pode executar um cenário de teste padrão. Se você não tiver chaves de API à mão ou não quiser gastar tokens, o projeto inclui um modo de validação local leve:

Instruções detalhadas para reproduzir os gráficos e métricas do artigo de pesquisa estão disponíveis no arquivo docs/REPRODUCIBILITY.md.

Quem deveria prestar atenção ao projeto

O repositório reuniu cerca de 650 estrelas até agora, mas seu valor prático é imediatamente aparente. Diferentemente de muitos frameworks teóricos, o ADR surgiu de uma necessidade real de uma grande empresa proteger seus funcionários.

O projeto será útil para:

• Especialistas de segurança da informação que buscam formas de controlar o uso de assistentes de IA dentro da empresa.
• Pesquisadores que precisam de um benchmark pronto para testar a segurança de agentes LLM.
• Desenvolvedores de seus próprios agentes que desejam estudar o esquema de coleta e normalização de telemetria.

Claro, a versão open source ainda não inclui o módulo automático de prevenção de ataques (Prevention). Mas mesmo em seu estado atual, o ADR fornece uma excelente base para construir um sistema de monitoramento de ferramentas de IA dentro de uma equipe.