RuleAutoPilot: agente de IA gera regras Suricata prontas para uso a partir de tráfego de malware
Pesquisadores apresentam o RuleAutoPilot, um framework agentivo que produz regras Suricata implantáveis diretamente a partir de capturas de tráfego malicioso (PCAPs), sem depender de inteligência de ameaças previamente curada. O sistema filtra tráfego benigno conhecido antes de acionar o LLM e usa um ciclo de verificação fundamentado em execução para corrigir regras que falham em sintaxe, não disparam na amostra de origem ou geram falsos positivos.
O artigo descreve o RuleAutoPilot, um pipeline agentivo baseado em LLM cujo objetivo é transformar capturas de tráfego de rede de amostras de malware diretamente em regras Suricata prontas para produção, sem exigir um relatório de inteligência de ameaças pré-existente sobre a ameaça em questão. A motivação é prática: escrever regras de IDS de qualidade hoje depende de conhecimento especializado escasso e não acompanha o volume de ameaças novas.
Tecnicamente, o diferencial do trabalho está em duas etapas. Primeiro, um estágio de "Benign Traffic Fingerprinting" remove do PCAP os fluxos de fundo já conhecidos como benignos, isolando o tráfego potencialmente malicioso antes de submeter os dados ao modelo de linguagem — isso reduz ruído que, de outra forma, degradaria a qualidade do raciocínio do LLM e encareceria o processamento. Segundo, toda regra gerada passa por um laço de verificação automatizado que checa sintaxe, testa se a regra realmente dispara sobre o tráfego malicioso de origem e valida ausência de falsos positivos contra um corpus de tráfego benigno; regras reprovadas são reparadas automaticamente com base no feedback estruturado dessas checagens.
Para quem atua em resposta a incidentes e análise de tráfego malicioso, a proposta ataca um gargalo real: transformar evidência de rede (uma captura de malware) em um artefato de detecção reutilizável (a assinatura IDS) de forma rápida e com controle de qualidade objetivo, em vez de depender só do julgamento manual do analista. Os números reportados reforçam isso — a verificação fundamentada em execução elevou o F1 médio de 0,443 para 0,539 em 1.296 PCAPs de malware, e ao trocar o modelo de base para o Claude Opus 5 o sistema superou uma baseline de agente genérico (0,656 contra 0,623 de F1) consumindo 40 vezes menos tokens.
O ponto de atenção fica para quem for adotar esse tipo de automação: regras geradas por LLM, mesmo com verificação automática, ainda erram em quase metade dos casos avaliados (F1 na faixa de 0,5 a 0,65), o que reforça a necessidade de revisão humana antes de colocar essas assinaturas em produção — especialmente em ambientes onde falsos positivos ou negativos têm custo operacional alto.