Quase toda plataforma de IA que vi em produção loga prompt e resposta. Quase nenhuma loga a chamada de ferramenta com os argumentos. E é a chamada de ferramenta que produz efeito no mundo — o prompt é só a intenção declarada.
Por que o log de prompt não serve para investigação
Num incidente, as perguntas são sempre as mesmas: o que foi acessado, por qual identidade, quando, e o que saiu daqui. Log de prompt não responde nenhuma. Pior: em injeção indireta, o prompt do usuário é inocente — a instrução hostil veio de um issue de repositório ou de uma página lida no meio do caminho.
O caso da Invariant Labs ilustra bem: uma issue maliciosa num repositório público bastou para redirecionar um agente com acesso ao GitHub a ler repositórios privados e publicar o conteúdo. O usuário não fez nada incomum — pediu para revisar issues abertas. Um log de prompt desse incidente não mostra absolutamente nada de errado.
Se o seu único registro é o que o usuário digitou, você não tem trilha de auditoria. Tem histórico de conversa.
O evento mínimo
Um evento útil de chamada de ferramenta tem sete campos:
- Identidade do agente — individual, não a service account compartilhada da frota.
- Identidade humana delegante, quando existir.
- Servidor e nome da ferramenta.
- Argumentos, com campos sensíveis mascarados mas com o destino sempre visível — URL, caminho, tabela.
- Resultado: sucesso, negação, erro. Negação tem o mesmo valor que sucesso.
- ID de correlação da tarefa, para reconstruir a sequência de ações.
- Origem do conteúdo que entrou no contexto antes da chamada, se rastreável.
Esse último campo é o mais difícil e o mais valioso: é ele que conecta “leu esta página externa” com “chamou esta ferramenta de escrita trinta segundos depois”.
Onde o evento deve morar
No mesmo SIEM que recebe o resto. Não num painel do fornecedor de IA, não num arquivo local no host do agente. A razão é prática: correlação. O valor real aparece quando você cruza chamada de ferramenta com log de fluxo de rede, com evento de IAM e com log do proxy de saída.
O que dá para detectar com isso
- Ferramenta chamada fora do horário ou frequência histórica daquele agente.
- Sequência leitura externa → escrita externa dentro da mesma tarefa.
- Argumento apontando para faixa privada ou link-local — tentativa de SSRF visível no log, não só no resultado.
- Volume anômalo de chamadas, que costuma ser a primeira evidência de agente em loop descontrolado.
Nenhuma dessas detecções exige ferramenta nova. Exige o evento existir.
