Agentes de IA para Android: pesquisa revela cadeia de ataques que pode comprometer o computador host

Os agentes de IA para Android estão evoluindo rapidamente e prometem automatizar tarefas que antes exigiam interação humana direta com smartphones. Frameworks capazes de interpretar a interface gráfica, compreender instruções em linguagem natural e executar ações por meio do Android Debug Bridge (ADB) representam um avanço importante para pesquisa, automação de testes e desenvolvimento de aplicações. Entretanto, um novo estudo mostra que a combinação entre visão computacional, automação e permissões privilegiadas também cria uma superfície de ataque significativamente maior do que muitos desenvolvedores imaginavam.

Pesquisadores da Simon Fraser University, Chinese University of Hong Kong, Shandong University e do Xingtu Lab, pertencente à empresa chinesa de segurança QAX, demonstraram uma série de ataques capazes de manipular cinco dos principais frameworks móveis de código aberto utilizados atualmente. O trabalho foi publicado no arXiv em julho de 2026 e analisa AppAgent, AppAgentX, Mobile-Agent-v3, Open-AutoGLM e MobA.

Embora os pesquisadores enfatizem que não encontraram evidências de exploração dessas técnicas fora do ambiente laboratorial, a pesquisa chama atenção porque todas as vulnerabilidades exploram comportamentos presentes nas implementações atuais dos projetos. Durante a verificação realizada pelo The Hacker News, diversos componentes utilizados na cadeia de ataque permaneciam disponíveis nas versões principais dos repositórios analisados.

O aspecto mais relevante da pesquisa não está apenas em uma vulnerabilidade específica, mas na demonstração de como pequenas decisões arquitetônicas aparentemente inofensivas podem ser combinadas para construir uma cadeia completa de comprometimento. O resultado é um cenário no qual um aplicativo Android malicioso pode influenciar o comportamento do agente de IA e, posteriormente, alcançar o computador que controla esse agente.

Por que agentes móveis representam um novo desafio de segurança

Os agentes móveis diferem de aplicativos tradicionais porque não executam apenas funções previamente programadas. Eles interpretam interfaces, analisam imagens da tela, tomam decisões baseadas em modelos de linguagem e executam ações automaticamente. Essa autonomia aumenta significativamente a complexidade do modelo de segurança.

Enquanto uma aplicação convencional responde apenas a eventos previamente definidos, um agente baseado em IA utiliza informações visuais para decidir quais comandos executar. Isso significa que qualquer elemento apresentado na tela pode influenciar diretamente seu comportamento, inclusive conteúdos que não foram originalmente projetados para interação humana.

Essa característica altera completamente a forma como pesquisadores precisam avaliar riscos. Em vez de analisar apenas permissões do Android ou vulnerabilidades tradicionais, torna-se necessário considerar também ataques que exploram percepção visual, interpretação de imagens, automação de interface e integração entre o dispositivo móvel e o computador responsável pelo gerenciamento do agente.

Os frameworks analisados na pesquisa

O estudo concentrou-se em cinco projetos de código aberto amplamente utilizados para pesquisa e desenvolvimento de agentes móveis: AppAgent, AppAgentX, Mobile-Agent-v3, Open-AutoGLM e MobA. Segundo os pesquisadores, todos apresentaram pelo menos seis das sete técnicas de ataque avaliadas.

É importante observar que essas ferramentas possuem foco em pesquisa e desenvolvimento, não sendo assistentes comerciais embarcados em smartphones. O próprio estudo deixa claro que soluções proprietárias como Samsung Bixby, XiaoAi e plataformas equivalentes ficaram fora do escopo da análise, assim como dispositivos iOS.

Mesmo assim, a relevância permanece elevada porque esses frameworks servem como base para inúmeros experimentos acadêmicos e projetos que exploram automação inteligente em dispositivos Android.

A cadeia de ataque começa na tela do smartphone

A primeira etapa da cadeia apresentada pelos pesquisadores explora uma característica pouco intuitiva dos modelos multimodais: eles conseguem identificar informações que praticamente não são percebidas por seres humanos.

Os experimentos mostraram que modelos de visão utilizados pelos agentes conseguem interpretar textos renderizados com apenas 2% de opacidade. Em condições normais, esse nível é considerado praticamente invisível para usuários humanos, mas permanece perfeitamente acessível durante a captura digital da tela.

Nos testes realizados em laboratório, GPT-4o, Claude Opus 4.5, Gemini 3 Pro e GLM-4V reconheceram corretamente essas mensagens em todas as vinte execuções realizadas pelos pesquisadores. O AutoGLM-Phone apresentou desempenho ligeiramente inferior, acertando dezoito das vinte tentativas.

Essa diferença evidencia uma característica importante dos sistemas de IA. Enquanto o olho humano possui limitações fisiológicas relacionadas à percepção de contraste, transparência e luminosidade, a captura digital preserva os valores dos pixels produzidos pelo sistema operacional. O modelo recebe exatamente esses dados durante a análise da imagem.

Quando texto invisível se transforma em comandos reais

O ataque torna-se particularmente preocupante quando essas mensagens invisíveis deixam de representar apenas informações exibidas na interface e passam a influenciar diretamente o processo decisório do agente.

Um aplicativo Android capaz de desenhar sobre outras janelas pode inserir instruções invisíveis na tela exatamente no momento em que o agente realiza sua captura para interpretação. O usuário continua vendo a interface normalmente, mas o modelo de IA recebe informações adicionais que alteram completamente sua compreensão do contexto.

Os pesquisadores demonstraram que essa manipulação pode convencer o agente a executar comandos diferentes daqueles originalmente esperados, criando a base para os estágios seguintes da cadeia de ataque.

Em outras palavras, a vulnerabilidade não está apenas na presença de texto invisível, mas na confiança depositada pelo agente em qualquer informação presente na captura de tela, independentemente de sua origem.

Da manipulação visual à execução de código no computador host

A pesquisa mostra que a etapa seguinte ocorre fora do smartphone. Os frameworks utilizam comandos ADB enviados pelo computador para controlar o dispositivo Android. Em algumas implementações analisadas, esses comandos são montados utilizando diretamente o texto produzido pelo modelo de IA.

No caso do AppAgent, os pesquisadores identificaram que o controlador executa comandos utilizando subprocess.run(..., shell=True). Em seguida, a saída produzida pelo modelo é incorporada diretamente ao comando responsável por inserir texto no Android por meio do ADB.

Segundo a análise apresentada no artigo, não existe sanitização adequada desse conteúdo antes da construção do comando. Como consequência, caracteres especiais do shell permanecem ativos durante a execução.

Mesmo implementações que tentam remover espaços e aspas simples continuam permitindo outros metacaracteres importantes do shell. Isso possibilita que uma sequência interpretada corretamente pelo agente seja dividida pelo interpretador de comandos do computador hospedeiro, fazendo com que parte da entrada seja executada como um novo comando.

Os pesquisadores validaram essa hipótese utilizando um payload desenvolvido especificamente para iniciar o aplicativo calc.exe em sistemas Windows. Segundo os resultados apresentados, o comportamento foi reproduzido com sucesso em vinte das vinte tentativas realizadas contra AppAgent, AppAgentX, Mobile-Agent-v3 e MobA.

Além disso, uma demonstração adicional mostrou a gravação do diretório de trabalho do computador host em um arquivo utilizando outro payload de teste, evidenciando que a exploração não se limita apenas à abertura de aplicações.

Condições de corrida em capturas de tela ampliam a superfície de ataque

Além da manipulação visual por meio de texto invisível, os pesquisadores identificaram uma segunda classe de vulnerabilidades relacionada à forma como diversos frameworks capturam a tela do dispositivo Android. O problema não está na captura em si, mas na sequência de operações utilizada para gerar e transferir a imagem para o computador que executa o agente.

Em vez de transmitir a captura diretamente para o host, algumas implementações gravam primeiro um arquivo PNG no armazenamento compartilhado do dispositivo e somente depois realizam sua transferência via ADB. Entre essas duas etapas existe um pequeno intervalo de tempo que, embora normalmente passe despercebido, cria uma janela para adulteração do arquivo.

Na prática, qualquer aplicativo com capacidade de monitorar esse diretório pode detectar a criação da imagem, substituí-la por uma versão modificada e liberar novamente o arquivo antes que o agente o copie para análise. Como o modelo de IA interpreta apenas a imagem recebida, ele não possui meios para distinguir se aquele conteúdo corresponde à captura original ou a uma versão manipulada.

Como cada framework implementa a captura de tela

O estudo mostra diferenças importantes entre os projetos analisados. O Open-AutoGLM utiliza o comando screencap -p /sdcard/tmp.png e, posteriormente, realiza um adb pull para copiar a imagem ao computador. Já o Mobile-Agent-v3 grava sempre no arquivo fixo /sdcard/screenshot.png e ainda aguarda aproximadamente meio segundo antes de prosseguir com a transferência.

O AppAgentX adota um mecanismo diferente, utilizando nomes de arquivos compostos por carimbo de data e hora combinados com um contador incremental de etapas. Embora essa estratégia reduza colisões entre capturas consecutivas, os pesquisadores observaram que o padrão permanece previsível, permitindo que um aplicativo malicioso acompanhe facilmente o surgimento de novas imagens.

O artigo também destaca que o arquivo config.yaml fornecido pelo AppAgent continua definindo o diretório /sdcard como local padrão para armazenamento das capturas, mantendo o processo vulnerável à manipulação antes da transferência.

A janela TOCTOU medida pelos pesquisadores

Os pesquisadores mediram o intervalo existente entre a gravação da captura e sua leitura em diferentes frameworks. Os experimentos registraram tempos variando entre aproximadamente 50 e 500 milissegundos, com média próxima de 210 milissegundos após cem execuções.

Embora pareça um período extremamente curto, ele é suficiente para um serviço executado em segundo plano realizar verificações constantes do sistema de arquivos em intervalos entre cinco e dez milissegundos. Dessa forma, o aplicativo consegue bloquear temporariamente o arquivo, alterar seu conteúdo e liberá-lo antes da leitura realizada pelo agente.

Nos testes descritos no artigo, essa técnica apresentou taxa de sucesso de dezenove em vinte tentativas contra quatro dos cinco frameworks avaliados, demonstrando que a exploração não depende de sincronização extremamente precisa.

Enganando o agente para aumentar o tempo disponível

Os pesquisadores demonstraram ainda uma estratégia complementar para ampliar artificialmente essa janela de oportunidade. Em vez de depender exclusivamente do curto intervalo entre gravação e leitura do arquivo, o aplicativo apresenta ao agente uma sobreposição informando que determinada sincronização de rede está em andamento e solicita que ele aguarde alguns segundos.

O agente interpreta essa mensagem como legítima e interrompe temporariamente sua sequência de ações. Durante esse período adicional, o aplicativo malicioso ganha tempo suficiente para preparar a adulteração da captura seguinte sem necessidade de sincronização rigorosa.

Esse experimento reforça um ponto importante da pesquisa: ataques contra agentes de IA podem combinar manipulação da percepção visual com exploração de características arquitetônicas do framework, produzindo um efeito cumulativo que aumenta significativamente a probabilidade de sucesso.

Áreas invisíveis da tela também podem transportar comandos

Outra descoberta relevante envolve a própria construção física dos smartphones modernos. Muitos aparelhos possuem cantos arredondados e recortes destinados à câmera frontal, ocultando parte da área visível do display para o usuário.

Entretanto, o buffer gráfico utilizado pelo sistema operacional permanece retangular. Isso significa que pixels renderizados nessas regiões continuam existindo na imagem capturada pelo sistema, apesar de permanecerem escondidos sob a moldura física do dispositivo.

Os pesquisadores verificaram esse comportamento em um Google Pixel 4 e identificaram aproximadamente setenta e oito pixels ocultos em uma das extremidades da tela. Embora essa área seja pequena, ela comporta comandos curtos suficientes para influenciar o agente durante a interpretação da captura.

Segundo o estudo, todos os cinco frameworks conseguiram ler corretamente informações inseridas nessas regiões invisíveis para o usuário.

Falsificação da interface de login

A pesquisa também explora ataques baseados em serviços de acessibilidade. Nesse cenário, um aplicativo malicioso sobrepõe uma tela de autenticação falsa sobre o aplicativo legítimo, reproduzindo visualmente uma solicitação de login.

Quando o agente recebe a tarefa de inserir credenciais, ele interpreta essa interface falsa como sendo a aplicação verdadeira e digita normalmente os dados fornecidos pelo usuário.

Os autores observam que uma pessoa poderia desconfiar de uma solicitação inesperada de senha. Entretanto, os agentes analisados não demonstraram qualquer mecanismo equivalente de validação contextual durante os cem testes realizados.

Essa diferença evidencia uma limitação importante dos atuais agentes móveis: a capacidade de identificar elementos gráficos não significa necessariamente compreender sua legitimidade dentro do fluxo esperado da aplicação.

O papel do ADB Keyboard na cadeia de ataque

Uma das partes mais interessantes do estudo envolve o mecanismo utilizado para inserir texto automaticamente no dispositivo Android. Como esses agentes não possuem um canal dedicado para interação com o sistema operacional, muitos reutilizam ferramentas originalmente desenvolvidas para automação de testes.

O Open-AutoGLM, por exemplo, codifica o texto em Base64 e o envia utilizando uma transmissão implícita denominada ADB_INPUT_B64. Essa mensagem é recebida pelo ADB Keyboard, um teclado criado justamente para aceitar texto enviado por meio desse mecanismo.

Os pesquisadores deixam claro que o comportamento do ADB Keyboard corresponde exatamente à documentação oficial do projeto. O problema surge porque um componente desenvolvido para ambientes controlados passa a integrar fluxos de produção utilizados por agentes autônomos.

Essa mudança de contexto altera completamente o modelo de ameaça originalmente considerado durante o desenvolvimento da ferramenta.

Diferenças de implementação entre os frameworks

O Mobile-Agent-v3 adota uma lista de caracteres permitidos para transmissão direta. Letras, números e sinais de pontuação comuns são enviados normalmente, enquanto caracteres não ASCII passam a ser transmitidos individualmente.

O MobA utiliza uma lógica diferente. Seu método responsável pela digitação verifica apenas se toda a sequência contém caracteres ASCII. Caso exista qualquer emoji ou caractere acentuado, toda a mensagem passa a ser enviada utilizando o mecanismo alternativo.

Segundo o estudo, qualquer aplicativo capaz de registrar a mesma ação de broadcast poderá receber exatamente o mesmo conteúdo transmitido ao teclado, sem necessidade de permissões especiais adicionais. Isso significa que informações digitadas pelo agente podem ser interceptadas silenciosamente por outro aplicativo presente no dispositivo.

Além disso, os pesquisadores observaram que eventos de acessibilidade do tipo TYPE_VIEW_TEXT_CHANGED também disponibilizam o texto em formato legível, incluindo conteúdos inseridos em campos de senha durante os experimentos realizados.

Quais condições precisam existir para o ataque funcionar

Apesar dos resultados expressivos obtidos em laboratório, o artigo ressalta que a exploração não ocorre automaticamente em qualquer dispositivo Android. Alguns pré-requisitos precisam estar presentes para que a cadeia completa seja executada.

Entre eles estão a instalação prévia de um aplicativo malicioso, a execução de um agente compatível durante uma tarefa ativa e a habilitação da depuração USB ou da depuração sem fio, característica normalmente utilizada em ambientes de desenvolvimento.

Os autores também lembram que os softwares avaliados são ferramentas de pesquisa de código aberto destinadas à automação e experimentação. Assistentes embarcados pelos fabricantes e dispositivos iOS permaneceram fora do escopo do trabalho.

Ainda assim, Zhang destaca que parte dos ataques exige apenas permissões mínimas do Android e que uma das variantes apresentadas sequer necessita da instalação de um aplicativo malicioso, ampliando o interesse da pesquisa para futuras avaliações de risco.

Uma variante que dispensa a instalação de aplicativos

Entre as técnicas discutidas pelos pesquisadores, uma das mais interessantes do ponto de vista conceitual é aquela que elimina a necessidade de instalar um aplicativo malicioso no dispositivo. Em vez disso, o ataque explora a forma como informações podem ser inseridas em imagens que posteriormente serão interpretadas pelo agente de IA.

Segundo o estudo, um payload pode ser incorporado aos canais de crominância de uma imagem em vez de utilizar alterações perceptíveis em seu brilho. Assim, um atacante poderia distribuir uma fotografia aparentemente comum por um aplicativo de mensagens e aguardar que o próprio agente da vítima capturasse ou analisasse essa imagem durante uma tarefa automatizada.

Os autores classificam essa possibilidade como uma extensão da pesquisa, e não como um resultado experimental medido da mesma forma que os demais ataques. Ainda assim, ela amplia o debate sobre segurança em agentes multimodais ao mostrar que futuras superfícies de ataque podem surgir não apenas da interface do sistema operacional, mas também dos próprios conteúdos processados pelos modelos de visão.

O que os pesquisadores identificaram como medidas corretivas

Além de demonstrar as vulnerabilidades, o trabalho também analisa decisões de implementação que reduzem parte da superfície de ataque. Curiosamente, dois dos frameworks já apresentam exemplos de boas práticas, embora nenhum deles reúna todas as proteções necessárias.

O MobA, por exemplo, transmite capturas de tela utilizando exec-out, evitando a criação de arquivos temporários no armazenamento do dispositivo. Como não existe uma imagem gravada localmente antes da transferência, desaparece a janela de oportunidade explorada nos ataques de condição de corrida (TOCTOU).

Já o Open-AutoGLM adota uma abordagem diferente para a execução de comandos. Em vez de concatenar uma única string destinada ao shell, ele passa os argumentos como listas (argv). Segundo os pesquisadores, essa implementação impede a exploração da injeção de comandos no computador hospedeiro porque os metacaracteres deixam de ser interpretados pelo shell.

Entretanto, nenhum dos projetos analisados combina simultaneamente essas duas características. Cada framework resolve apenas parte do problema, mantendo outras superfícies de ataque abertas.

Recomendações de mitigação apresentadas no estudo

Os pesquisadores afirmam que diversas correções podem ser implementadas sem modificar o modelo de linguagem ou o modelo de visão utilizado pelo agente. A maior parte das recomendações envolve mudanças na arquitetura da aplicação e na forma como ela interage com o sistema operacional.

Eliminar o uso de shell=True

A primeira recomendação consiste em abandonar a construção de comandos utilizando shell=True. Em vez disso, os argumentos devem ser enviados diretamente como listas, impedindo que caracteres especiais sejam interpretados como operadores do shell do sistema hospedeiro.

Essa alteração reduz significativamente o risco de execução inesperada de comandos derivados da saída produzida pelo modelo de IA.

Transmitir capturas diretamente

Outra recomendação importante é eliminar completamente a etapa intermediária de gravação da captura de tela no armazenamento do dispositivo. Quando a imagem é transmitida diretamente ao computador, deixa de existir o intervalo de tempo explorado pelos ataques de adulteração do arquivo.

Segundo o estudo, essa mudança remove a principal condição necessária para a exploração das vulnerabilidades baseadas em TOCTOU.

Proteger os mecanismos de entrada

Os autores também sugerem que transmissões utilizadas para inserção automática de texto sejam protegidas por permissões em nível de assinatura ou substituídas por intenções explícitas, reduzindo a possibilidade de interceptação por aplicativos não autorizados.

Da mesma forma, recomendam validar continuamente qual atividade permanece em primeiro plano antes e depois da execução de cada ação automatizada, utilizando listas de pacotes permitidos de acordo com a tarefa em andamento.

Melhorar o processamento das capturas

Outra proposta consiste em aplicar aprimoramento de contraste às capturas de tela antes de encaminhá-las ao modelo de visão. Embora essa técnica possa reduzir parte dos ataques baseados em conteúdo praticamente invisível, os próprios pesquisadores deixam claro que ela representa apenas uma mitigação parcial e não elimina completamente o problema.

Por que confirmações de segurança não resolvem todos os casos

Uma defesa aparentemente intuitiva consiste em solicitar confirmação do usuário antes da execução de operações consideradas sensíveis. O estudo cita que o Open-AutoGLM já implementa um mecanismo desse tipo.

Entretanto, o próprio funcionamento do agente limita sua eficácia. O aviso somente é exibido quando o modelo conclui que determinada ação exige confirmação adicional.

Como diversos ataques apresentados manipulam exatamente a percepção do modelo, eles também conseguem influenciar esse processo de decisão. Se o agente interpreta incorretamente o contexto, a confirmação pode simplesmente nunca ser solicitada.

Os pesquisadores observam ainda que ataques relacionados às transmissões de entrada e aos mecanismos de acessibilidade independem completamente desse tipo de validação. Quando os dados já foram interceptados ou capturados por outro aplicativo, não existe nenhuma ação adicional que possa ser confirmada pelo usuário.

As limitações impostas pelo próprio hardware

Nem todas as vulnerabilidades identificadas podem ser resolvidas exclusivamente por software. O artigo destaca que a técnica baseada em áreas ocultas da tela representa um exemplo dessa limitação.

Como os buffers gráficos permanecem retangulares enquanto o hardware possui cantos arredondados e recortes físicos, determinadas regiões continuam existindo nas capturas de tela mesmo permanecendo invisíveis ao usuário.

Os pesquisadores afirmam que mascarar essas áreas pode reduzir parte do problema, mas classificam essa abordagem apenas como uma solução paliativa. Segundo o estudo, não existe uma solução simples e completamente eficaz para eliminar esse comportamento apenas por meio de software.

Divulgação responsável encontrou obstáculos

Outro aspecto discutido pelos autores envolve o processo de divulgação das vulnerabilidades. De acordo com Zidong Zhang, a equipe entrou em contato previamente com os responsáveis pelos projetos utilizando e-mails privados antes da publicação do preprint.

Segundo o pesquisador, não houve resposta até o momento mencionado na reportagem. O The Hacker News também relata não ter encontrado políticas públicas de divulgação de vulnerabilidades nem canais específicos de segurança nos repositórios avaliados.

O artigo acrescenta que empresas como Tencent e Alibaba foram contatadas inicialmente, mas projetos acadêmicos de código aberto nem sempre se enquadram no fluxo tradicional dos centros de resposta a incidentes de segurança.

Um problema já observado em outros frameworks de agentes

Embora o estudo apresente novas combinações de ataques, ele também reforça uma preocupação que já havia surgido em pesquisas anteriores sobre agentes baseados em IA.

Os autores estabelecem um paralelo com vulnerabilidades corrigidas anteriormente no Semantic Kernel, framework desenvolvido pela Microsoft. Naquele caso, a utilização inadequada da saída produzida por modelos de linguagem também permitiu a criação de vulnerabilidades relacionadas à execução de comandos, posteriormente corrigidas e catalogadas como CVEs.

A conclusão citada pelos pesquisadores permanece válida neste novo contexto: modelos de linguagem não devem ser tratados como fronteiras de segurança. A saída produzida por um LLM continua sendo uma entrada potencialmente não confiável e precisa ser tratada pelas mesmas práticas de validação aplicadas a qualquer dado externo.

Evolução das pesquisas sobre agentes móveis

O artigo também contextualiza seu trabalho em relação a pesquisas anteriores. Ataques utilizando sobreposição de janelas já haviam sido demonstrados contra AppAgent e Mobile-Agent em estudos publicados durante 2025, seguidos posteriormente por novas pesquisas envolvendo prompts temporários exibidos apenas enquanto o agente observava determinado conteúdo.

Segundo os autores, a principal contribuição do novo trabalho consiste em ampliar essa cadeia até alcançar o computador responsável pela execução do agente, conectando manipulação visual, adulteração de capturas, reutilização de mecanismos de entrada e execução de comandos no host.

Conclusão

A pesquisa evidencia que agentes móveis baseados em IA introduzem desafios de segurança que vão muito além das vulnerabilidades tradicionais do Android. A integração entre visão computacional, automação de interface e comunicação com computadores hospedeiros cria novas combinações de risco que exigem revisões arquitetônicas cuidadosas.

Embora os pesquisadores não tenham identificado evidências de exploração dessas técnicas fora de ambientes controlados, os experimentos demonstram que diversos comportamentos presentes nas implementações atuais podem ser combinados para formar cadeias completas de ataque. Isso reforça a necessidade de considerar o modelo de ameaça desde o desenho da arquitetura desses frameworks.

As recomendações apresentadas mostram que parte significativa da superfície de ataque pode ser reduzida por meio de boas práticas de engenharia, como eliminação de shell=True, transmissão direta de capturas de tela, proteção dos mecanismos de entrada e validação rigorosa das ações executadas pelo agente. No entanto, o próprio estudo também reconhece que algumas limitações decorrem das características do hardware e da forma como modelos multimodais interpretam informações visuais.

À medida que agentes de IA passam a desempenhar um papel crescente na automação de dispositivos móveis, pesquisas como esta reforçam que o comportamento do modelo não deve ser considerado um mecanismo de segurança. A arquitetura que conecta o agente ao sistema operacional e ao computador hospedeiro continua sendo um componente crítico e precisa receber o mesmo nível de atenção dedicado às vulnerabilidades tradicionais de software.