Provar o limite antes de conceder a autonomia.

O que o laboratório faz hoje

Cada item é uma propriedade do laboratório e dos relatórios assinados que ele produz, conferível sem perguntar para a gente.

• Reproduz primeiro a brecha: uma linha de base permissiva mostra o efeito que um agente pode causar quando um limite está apenas declarado, para que a rodada protegida tenha algo real a conter.
• Envia a mesma tentativa proibida pelo MCP, pelo shell, por um script e por uma chamada direta à API. Uma rota que não foi exercitada é informada como não avaliada, nunca como protegida.
• Observa os efeitos a partir de um processo fora do agente. Os logs, os resumos e as saídas de ferramentas do agente são tratados como evidência não confiável.
• Só deixa sair o candidato exato que foi revisado — repositório, branch, ref esperada e diff — por meio do Execution Guardian, com uma verificação atômica do estado remoto.
• Assina o relatório de cada rodada com uma chave do supervisor que o agente nunca vê; o relatório se verifica offline contra trust anchors que o operador instala.

Por que existe

O MCP é uma rota. O shell, os arquivos, as APIs, o navegador e as automações são outras.

Uma equipe quer deixar um agente de código trabalhar sem que ele alcance produção, segredos ou o trabalho de outras pessoas, e precisa verificar que esses limites se sustentam sem destruir seu ambiente real. Hooks e modos de aprovação descrevem como um agente pede permissão; não são um perímetro. O risco está na autoridade que o agente pode de fato usar e nas rotas que ele pode de fato alcançar — um socket SSH, uma sessão de navegador, um proxy que assina qualquer requisição ou um endpoint interno conferem autoridade sem revelar uma única chave.

As famílias de falhas por trás dos testes

Casos públicos de 2026 deram forma aos cenários. Cada família corresponde a um controle e aos testes que tentam rompê-lo.

Esses casos motivam famílias de falhas. Não são réplicas forenses, e nada aqui afirma que o laboratório os teria evitado. As variantes testadas — aliases, shims, cache misses — são de autoria própria.

O ciclo

Declarar, tentar romper, observar, corrigir, testar de novo, aprovar, executar, verificar.

1. 01 Declarar
2. 02 Tentar romper
3. 03 Observar de fora
4. 04 Corrigir
5. 05 Testar de novo
6. 06 Aprovar o efeito exato
7. 07 Executar
8. 08 Verificar

Um limite declarado se torna um teste refutável, e esse mesmo limite depois governa a execução real. Mudar um campo material — o modelo, um mount, a política, o adaptador ou o destino — obriga a revalidar as rotas afetadas antes que elas voltem a contar.

Quatro responsabilidades separadas

No laboratório, observador e Guardian são processos separados, com diretórios e permissões distintos. Isso é independência em relação ao processo sob teste, não uma auditoria institucional independente.

Perfis e níveis de laboratório

Cada resultado nomeia as rotas que cobriu, nunca um “seguro” global.

Os três perfis, inclusive a linha de base deliberadamente permissiva, rodam dentro de um recinto sem produção e sem destinos na Internet. A linha de base pode alcançar um recurso proibido sintético — nunca um real.

Evidência verificável

Relatórios assinados e três eixos que nunca se misturam.

As rodadas são descritas por estruturas versionadas e validadas com Zod — HarnessProfileV1, HarnessScenarioV1 e HarnessRunReportV1. O relatório é assinado por uma chave do supervisor fora do agente e verificado offline contra trust anchors instalados por um canal do operador; nunca se confia numa chave embutida no próprio relatório que ela assina.

A evidência é reutilizada por propriedade, não por um digest global.

A admissão é uma conjunção: autoridade exata, política local, evidência autêntica e aplicável de cada rota exigida, observação ativa e orçamento restante. Um relatório pode satisfazer uma dessas condições; nunca substitui as demais nem cria uma permissão. Uma regra versionada, instalada pelo operador fora do agente, compara as dependências materiais de cada afirmação com a configuração observada agora — um campo ausente, desconhecido ou não verificável significa não avaliado.

• Isolamento de arquivos e processosDepende do SO, do kernel, do backend, da imagem, da identidade, dos privilégios, dos mounts, dos sockets e da inicialização efetiva. Um destino Git novo, sozinho, não o invalida; um mount novo, sim.
• Saída de rede contidaDepende de regras, rotas, DNS, proxies, auxiliares e endpoints alcançáveis. Autorizar outro domínio nunca herda um PASS, e um canário local não prova o bloqueio da Internet.
• O adaptador preserva o efeito exatoReutilizável como evidência do mecanismo. Não prova nada sobre permissões, rede, identidade nem o comportamento de um provedor real.
• Integração com o destinoSó é obtida nesse destino autorizado. Um fixture local nunca vira evidência sobre o GitHub real, e a ref e o estado anterior são relidos a cada efeito.
• Comportamento do agenteAtrelado a modelo, versão, harness, ferramentas, tarefa e parâmetros. Um modelo novo não invalida uma barreira de SO testada sem ele; invalida, sim, extrapolar seu comportamento.

Um relatório verde nunca emite um Execution Grant, nunca substitui MFA nem quórum e nunca autoriza resultados futuros. Um SHA candidato novo exige uma nova aprovação exata mesmo quando toda a evidência do ambiente continua aplicável.

Exportação exata

Do laboratório só sai a mudança que foi revisada.

1. 01A escrita é interrompida e o candidato vai para quarentena. O supervisor reconstrói um repositório limpo a partir de uma base confiável mais a mudança — sem .git, hooks, helpers, configuração, submódulos nem filtros do agente.
2. 02Só são aceitos arquivos de texto regulares dentro dos paths da tarefa. Symlinks, gitlinks, paths que escapam e mudanças nos controles são rejeitados.
3. 03Ficam fixados o digest do artefato, o SHA candidato, a base, o destino, a ref esperada e o diff completo do intervalo exportado. O autor do commit é metadado, não autorização.
4. 04A revisão diz o que será enviado, para qual repositório e branch, e quais automações vai disparar. Um Task Contract vincula esse efeito exato.
5. 05O Execution Guardian revalida artefato, ref, política, orçamento e stop e então executa um fast-forward ou a criação de uma ref com comparação atômica do pré-estado — no GitHub, apenas criação. Não existe force-push genérico.
6. 06O estado remoto é verificado. Um timeout mantém a reserva e um resultado incerto até a reconciliação, sem nova tentativa às cegas, e o receipt distingue um push autorizado de um código correto ou benigno.

Parada, liveness e orçamento

Harnesses

Evidência por harness, versão e plataforma.

Os adaptadores traduzem a inicialização e os eventos de uma versão fixada do harness. Quando um harness não tem um hook bloqueante equivalente, a contenção continua externa e esse hook é marcado como não suportado em vez de inventado. Linux é o backend testado; macOS e Windows não herdam seus resultados, e nenhum logo de harness significa cobertura total.

1. 01

   Claude Code · Codex

   Os primeiros adaptadores, um de cada vez. O perfil nativo de macOS é avaliado por si só e não herda nada do Linux.

2. 02

   Cursor

   Em seguida, com perfil próprio e uma propriedade por pacote de trabalho.

3. 03

   SDKs

   Depois, os SDKs, com a mesma semântica de evidência.

4. 04

   Agentes em nuvem

   Só se credita o efeito no destino que é de fato mediado; o ambiente interno do agente fica não avaliado.

Para equipes que treinam e avaliam modelos

Avaliações agênticas dentro de um perímetro que foi testado.

As avaliações de harnesses se integram ao Inspect — suas tarefas, amostras e sandbox Docker — para ciclos de vida, cenários e limites. O SecureStamp contribui com o observador externo, os oráculos de efeito e a exportação do relatório, não com mais um scheduler, avaliador LLM ou pipeline de logs. Nenhum scorer executa o candidato no processo confiável, as novas tentativas de comandos com efeitos ficam desabilitadas, e os conjuntos de desenvolvimento e de holdout ficam separados: o holdout nunca é usado para ajustar os controles.

• Primeiro são injetadas tentativas determinísticas, como teste causal do mecanismo. Harnesses e modelos reais rodam depois, dentro de um orçamento autorizado, como evidência de como o sistema se comporta.
• Reproduzir as requisições não reproduz um raciocínio estocástico. Guardam-se versões, parâmetros disponíveis, número de rodadas, timeouts e denominadores; não se promete um replay idêntico.
• Utilidade e contenção são informadas separadamente, para que bloquear tudo nunca conte como um produto que funciona. Um resultado 0/N não é risco zero.