Anunciamos Agentic Development Security (ADS)

Hoje, anunciamos Agentic Development Security (ADS), uma nova solução Evo criada para proteger o desenvolvimento de software impulsionado por IA.

Os agentes de IA já participam ativamente do processo de desenvolvimento de software: selecionam ferramentas, executam ações em vários sistemas e geram código pronto para produção na velocidade das máquinas. A segurança tradicional de aplicações não foi criada para esse modelo: os riscos surgem continuamente das ferramentas das quais os agentes dependem, das ações que executam e do código que produzem, muitas vezes antes mesmo de uma única linha ser enviada para o repositório ou revisada.

O Evo ADS enfrenta esse desafio diretamente, integrando a segurança aos fluxos de trabalho de desenvolvimento impulsionados por IA para oferecer às organizações visibilidade, governança e controle sobre o que os agentes usam, fazem e geram.

Essa mudança já está acontecendo

Os agentes de IA evoluíram e já não apenas ajudam desenvolvedores: agora também criam software ativamente. Eles incorporam ferramentas e dados, executam ações em vários sistemas e geram código pronto para produção. Ao mesmo tempo, as ferramentas de IA permitem que um conjunto mais amplo de usuários, além das equipes tradicionais de engenharia, crie e modifique aplicações.

Os dados confirmam essa tendência. De acordo com dados de varredura da própria Snyk em quase 10 mil ambientes de desenvolvimento, 80% dos desenvolvedores já usam dois ou mais ambientes de programação com IA, e 50,8% têm conexões ativas com servidores MCP que vinculam esses agentes a ferramentas de produção e sistemas externos.

Com isso, cada vez mais software é produzido por meio de fluxos de trabalho dinâmicos e com várias etapas, muitas vezes difíceis de observar e ainda mais difíceis de controlar. É nesse ponto que a segurança tradicional falha. À medida que a IA assume uma parte maior do processo de criação, uma pergunta se torna inevitável: você pode confiar no que seus agentes estão entregando?

O problema: a segurança tradicional ainda se concentra apenas no código

A segurança tradicional de aplicações foi criada para um modelo de desenvolvimento em que os desenvolvedores escreviam código manualmente, as alterações passavam por pipelines controlados e a segurança analisava os artefatos depois de criados.

Esse modelo já não funciona no desenvolvimento agentivo. Os riscos surgem continuamente de ferramentas externas, servidores MCP e integrações com pouca visibilidade; de agentes que executam comandos em vários sistemas com diferentes níveis de autonomia; e de código gerado por IA em um ritmo que torna insuficiente a análise posterior.

Já estamos vendo o que acontece quando esse modelo opera sem os controles adequados. Em um incidente recente, um agente de IA apagou um banco de dados inteiro de produção, junto com seus backups, em menos de dez segundos. O agente tentava corrigir um problema de rotina, mas, com acesso às credenciais erradas e sem limites para seu comportamento, executou uma ação destrutiva no ambiente errado. Não houve aprovação humana nem um sistema que o impedisse.

Essa é a realidade do desenvolvimento agentivo: agentes não apenas sugerem, eles agem. Quando essas ações não são governadas, o impacto pode ser enorme e imediato. O ritmo do desenvolvimento impulsionado por IA está superando nossa capacidade de protegê-lo.

A solução: um modelo de segurança mais próximo de onde as decisões são tomadas

Para proteger essa nova realidade, a segurança precisa chegar mais perto de onde as decisões são tomadas, deixando de proteger apenas o código para proteger o sistema que o produz. Como os riscos surgem ao longo de todo o ciclo de vida do desenvolvimento agentivo, a segurança precisa ser integrada diretamente aos ambientes em que agentes e desenvolvedores criam software.

Isso exige um modelo capaz de avaliar o comportamento dos agentes antes da execução de ações, aplicar políticas em tempo real e avaliar continuamente a segurança dos resultados gerados por IA antes que cheguem à produção. Também significa oferecer às organizações uma visão mais clara das entradas usadas pelos agentes, de suas ações e da confiabilidade do código que produzem.

É essa mudança que o Evo Agentic Development Security foi criado para viabilizar: deixar de proteger apenas o código e passar a proteger o sistema que o produz. Ao governar o que os agentes usam, fazem e geram, as organizações podem adotar o desenvolvimento impulsionado por IA sem perder o ritmo.

Como funciona o Evo Agentic Development Security

Em vez de agir depois que tudo acontece, o Evo ADS integra a segurança diretamente aos fluxos de trabalho de desenvolvimento impulsionados por IA para:

• Proteger a cadeia de suprimentos de agentes

• Governar o comportamento dos agentes

• Garantir código gerado confiável desde o início

Assim, a segurança se torna uma camada de controle ativa, que opera em tempo real: observa, avalia e intervém somente quando necessário. O resultado é um novo modelo operacional em que desenvolvedores e agentes de IA trabalham com velocidade máxima, enquanto a segurança valida continuamente as atividades em segundo plano.

Protegendo a cadeia de suprimentos de agentes

Os agentes de IA dependem de um ecossistema em rápida expansão de servidores MCP, ferramentas, habilidades e serviços externos. Ao contrário das dependências de software tradicionais, muitos desses componentes são incorporados dinamicamente durante a execução, criando uma nova cadeia de suprimentos que frequentemente opera fora dos controles de segurança existentes.

A escala é maior do que a maioria das organizações imagina. Dados de varredura da Snyk identificaram 4.524 servidores MCP únicos em quase 10 mil ambientes de desenvolvimento — 1% das instalações com maior uso executa 13 ou mais servidores MCP por máquina. Mais da metade dos desenvolvedores já tem conexões ativas com ferramentas de produção. Entre eles, 1 em cada 12 tem hoje uma vulnerabilidade de segurança confirmada de gravidade alta ou crítica.

O Evo ADS descobre e inventaria continuamente os componentes usados nos fluxos de trabalho de desenvolvimento impulsionados por IA, oferecendo às organizações visibilidade sobre os riscos que estão introduzindo. Ele avalia cada componente com base em sinais de segurança, como permissões, procedência, vulnerabilidades conhecidas, indicadores de risco e requisitos das políticas da organização. Assim, as equipes entendem não apenas o que está sendo usado, mas também se é confiável.

Play Video: Inspecting skill in inventory

Enquanto o desenvolvimento tradicional depende de revisões periódicas ou aprovações manuais, o Evo ADS avalia continuamente os componentes descobertos com base nas políticas da organização. As equipes de segurança podem identificar onde componentes não aprovados, restritos ou de alto risco estão sendo usados e criar políticas que apresentem descobertas com a gravidade adequada e etapas detalhadas de correção, para que as equipes saibam exatamente o que fazer.

Play Video: Create policy block mcp server

O resultado é uma base confiável para o desenvolvimento impulsionado por IA: as equipes de segurança têm visibilidade de um ecossistema de agentes em constante evolução, os desenvolvedores mantêm a flexibilidade para avançar rapidamente e as organizações podem ampliar com confiança a adoção de IA sem perder o controle sobre o que entra em seus ambientes de desenvolvimento.

Governando o comportamento dos agentes

A maior mudança trazida pelo desenvolvimento agentivo é que os agentes agem. Eles executam comandos, acessam arquivos, interagem com APIs, recuperam dados, acionam ferramentas e tomam decisões em ambientes de desenvolvimento, com níveis cada vez maiores de autonomia. O Evo ADS opera diretamente no ciclo de execução dos agentes, mostrando o que eles estão fazendo e por quê.

Play Video: Analyze agent action

Ao combinar informações sobre o contexto da sessão, a intenção do usuário, as ações solicitadas e as políticas da organização, o Evo ADS avalia o comportamento dos agentes antes da execução das ações. Assim, as equipes de segurança podem estabelecer limites que permitam aos agentes operar com segurança dentro de regras definidas, em vez de depender de alertas posteriores. Com o Evo ADS, a governança pode ser aplicada diretamente no momento da execução: bloqueando ações de alto risco, restringindo permissões e interceptando violações de políticas antes que afetem sistemas, dados ou infraestrutura.

As organizações mantêm supervisão contínua das atividades dos agentes, os desenvolvedores preservam os ganhos de velocidade e produtividade da IA, e a segurança deixa de detectar problemas depois que ocorrem para preveni-los antes que aconteçam.

Os recursos de governança do comportamento do Evo ADS estão disponíveis atualmente em Open Preview.

Garantindo código gerado confiável desde o início

Como a IA permite gerar código continuamente, a segurança e a confiança precisam ser estabelecidas no momento da criação.

O Evo ADS ajuda a garantir que o código gerado por IA seja seguro desde o início, integrando-se diretamente aos fluxos de trabalho de programação com IA. Em vez de esperar que o código chegue a um repositório ou pipeline de CI, as verificações de segurança são aplicadas durante a geração do código. Isso ajuda a identificar vulnerabilidades, dependências inseguras, configurações incorretas de infraestrutura e segredos antes que se propaguem.

Com base na abordagem de segurança desde o início que a Snyk adota há muito tempo, o Evo ADS estende esses recursos aos fluxos de trabalho de desenvolvimento impulsionados por IA, com verificações de segurança determinísticas, validação assíncrona e gerenciamento otimizado de contexto, criados especificamente para ambientes de programação com IA.

Para reduzir as interrupções para desenvolvedores e agentes de IA, essas verificações são executadas de forma assíncrona, por meio de hooks leves integrados diretamente aos fluxos de trabalho de desenvolvimento. Quando nenhum problema novo é introduzido, nada é acrescentado à janela de contexto do agente, permitindo que o desenvolvimento continue sem interrupções. Quando problemas são detectados, são exibidas apenas descobertas acionáveis relacionadas ao código recém-gerado, ajudando os agentes a se concentrar na correção sem se perderem em ruído ou descobertas antigas.

Play Video: Ensure trusted outputs

Essa abordagem reduz o atrito para os desenvolvedores e torna os fluxos de trabalho seguros desde o início muito mais eficientes no consumo de tokens. Em vez de inserir repetidamente resultados completos de varreduras na janela de contexto da IA, o ADS fornece apenas os sinais essenciais para orientar a correção. Varreduras sem problemas não adicionam sobrecarga ao contexto da IA, enquanto as orientações para correção só aparecem quando é preciso agir.

O resultado é um modelo de segurança que acompanha o desenvolvimento impulsionado por IA: o código é gerado de forma segura por padrão, desenvolvedores e agentes recebem orientações específicas quando necessário, e as organizações evitam o custo e a ineficiência de validar grandes volumes de código gerado por IA depois que tudo já aconteceu.

Parte de um sistema mais amplo: Evo by Snyk

Agentic Development Security (ADS) faz parte do Evo by Snyk, a plataforma da Snyk para proteger o ciclo de vida de software com IA. No Evo, o ADS se concentra em proteger a forma como o software é desenvolvido na era dos agentes de IA.

O Evo ADS inclui recursos para proteger a cadeia de suprimentos de agentes, governar o comportamento dos agentes e garantir resultados confiáveis. Juntos, esses recursos ajudam as organizações a adotar com segurança o desenvolvimento impulsionado por IA sem desacelerar a inovação.

Além dos ambientes de desenvolvimento agentivo, o Evo estende a segurança a todo o ciclo de vida de software com IA. O Evo AI-SPM oferece visibilidade e governança para os modelos de IA, agentes, fluxos de trabalho e aplicações implantados em toda a organização, enquanto o Continuous Offensive Security valida continuamente os sistemas implantados por meio de pentests com IA e red teaming de agentes.

Juntos, o Evo ADS, o AI-SPM e o Continuous Offensive Security ajudam as organizações a proteger o código escrito pela IA, os agentes que ela executa e as aplicações que desenvolve — permitindo a adoção segura da IA em todo o ciclo de vida do software.

Por que isso importa agora

O desenvolvimento impulsionado por IA já não é experimental. Em organizações de todos os portes, os agentes de IA estão se tornando participantes ativos da criação de software: selecionam ferramentas, executam ações em vários sistemas e geram código pronto para produção em uma escala para a qual os modelos tradicionais de desenvolvimento nunca foram projetados.

Isso muda o papel da segurança. Durante anos, a segurança de aplicações se concentrou em analisar artefatos depois de criados e, gradualmente, passou a atuar mais cedo no ciclo de vida do desenvolvimento para reduzir riscos. Mas, no mundo agentivo, muitas das decisões de segurança mais importantes são tomadas antes mesmo de o código ser escrito. Os riscos surgem das ferramentas usadas pelos agentes, das ações que executam e do código que geram. As organizações precisam de mais do que visibilidade do código: precisam confiar nos sistemas que o produzem.

O Evo ADS foi desenvolvido para essa nova realidade. Ao proteger o que os agentes usam, fazem e geram, o Evo ADS ajuda as organizações a expandir com segurança uma força de trabalho de IA cada vez maior, sem abrir mão da velocidade, da inovação ou da confiança. À medida que o desenvolvimento de software se torna cada vez mais autônomo, proteger a forma como o software é criado será tão importante quanto proteger o próprio software.

Comece agora

O desenvolvimento orientado por IA já está transformando a forma como o software é criado, e as organizações que terão sucesso serão aquelas capazes de adotá-lo com segurança, sem perder velocidade. Com o Evo Agentic Development Security, as organizações podem avançar na velocidade da IA, mantendo visibilidade, governança e controle sobre como o software é criado.

Veja como o Evo ADS funciona na prática agendando uma demonstração ou participando do nosso próximo webinar para saber como equipes de ponta estão protegendo hoje os fluxos de trabalho de desenvolvimento orientados por IA.