SecDevAgent: Agentes de segurança para validações de Falsos positivos de scans SAST - Lotufo, Thiago; Rodrigues, Vitor Maurício; Quintanilha, Eduardo (Anais Estendidos do Simpósio Brasileiro de Cibersegurança (SBSeg), 2026)
Ferramentas de Análise Estática de Segurança de Aplicações (SAST) são amplamente utilizadas em pipelines de DevSecOps para detectar vulnerabilidades nas fases iniciais do desenvolvimento de software, garantindo o ShiftLeft Security. Entretanto, um dos maiores problemas desta tecnologia, são os falsos positivos gerados, consumindo o tempo das equipes de engenharia e reduzindo a confiança dos desenvolvedores nas ferramentas de segurança. Este artigo apresenta o SecDevAgent, um agente de inteligência artificial construído sobre LangChain e modelos de linguagem de grande escala (LLMs) via Google Vertex AI, projetado para triar automaticamente achados de SAST e classificá-los como vulnerabilidade confirmada, falsos positivos ou inconclusivos. O agente clona o repositório alvo, inspeciona o arquivo reportado, descobre arquivos relacionados por heurísticas baseadas em símbolos e busca de código, e determina se uma vulnerabilidade é um falso positivo ou não. Neste artigo, está descrita a arquitetura do agente, seu ciclo de raciocínio orientado a ferramentas, os modos de integração (CLI e API HTTP com suporte a tarefas assíncronas via MongoDB) e apresentamos resultados preliminares, em comparação com triagens manuais de vulnerabilidades e resultados do scan SAST.