Forense de agentes de IA: onde ficam os históricos de conversa no OpenCode e no Hermes

O que aconteceu e o que fazer

O post do SANS ISC descreve a busca do pesquisador por evidências do histórico de conversas do OpenCode e do Hermes, para apoiar investigações forenses sobre o uso de assistentes de IA. Segundo o texto, a atualização do quinto dia do curso FOR577 passou a tratar da investigação do uso de IA em resposta a incidentes, com a análise de oito assistentes e agentes de programação, entre eles Claude Code, Codex, Gemini CLI, Cursor, Copilot, Warp, Windsurf e Qwen Code. O autor usa Claude Code e Codex e estava testando o OpenCode e configurando o Hermes.

Para uma empresa, o caso mostra que sessões de agentes de programação podem deixar registros locais em estações de trabalho e que esses registros variam de ferramenta para ferramenta. Uma resposta prática é mapear, para cada ferramenta usada pela equipe, onde o histórico é armazenado, quais campos contém e por quanto tempo fica disponível, registrando esse inventário em um runbook de resposta a incidentes. Também é possível montar um pipeline de coleta controlada, com acesso restrito e cadeia de custódia, que preserve esses artefatos quando um incidente exigir, sem depender da memória de cada usuário.

Como a consultoria pode ajudar

Diagnóstico da exposição ao uso de assistentes e agentes de IA na sua organização, com inventário das ferramentas, dos locais de histórico em estações e servidores e das lacunas de retenção. Em seguida, desenho e implementação de um runbook forense e de uma coleta controlada, com operação acompanhada no ambiente da empresa.

Próximo passo

Se sua equipe usa assistentes de programação e agentes de IA e você quer saber o que pode ser recuperado em uma investigação, envie uma descrição breve do seu caso, com as ferramentas em uso e o contexto de incidentes. A partir dela, a Wendelmaques prepara uma proposta escopada para diagnóstico e implementação.