Segurança do Kiro no Mac: monitore as conexões de rede dele com o FireAI

O Kiro é um ambiente de desenvolvimento com IA da Amazon Web Services. Ele planeja o trabalho a partir de especificações, executa um agente que edita arquivos e roda comandos e acessa serviços de modelos pela rede. Quem pesquisa “is Kiro safe” ou “Kiro network access” geralmente quer duas respostas: o que o agente tem permissão para fazer e para onde vão os dados. As duas estão parcialmente documentadas pelo fornecedor, e este artigo reúne o que está documentado antes de mostrar como acompanhar as conexões em um Mac com o FireAI.

O que é o Kiro e quem o faz

A documentação do Kiro o descreve como “an AI-powered development environment that helps you build software from prototype to production” (um ambiente de desenvolvimento com IA que ajuda você a criar software do protótipo à produção), disponível como IDE, CLI, na web, no celular (prévia) e como Kiro Crew, uma variante de agente autônomo (documentação do Kiro). A página de privacidade e segurança afirma que “Kiro is an AWS application” (o Kiro é um aplicativo da AWS) (Privacy and security). Os ajustes do projeto ficam em uma pasta .kiro/ e são sincronizados entre as superfícies.

Como o agente tem permissão para agir

O Kiro documenta um sistema de permissões baseado em capacidades: capacidades como fs_read, shell e web_fetch, cada uma com o efeito deny, ask ou allow, resolvidas de modo que “deny > ask > allow” e uma regra deny sempre prevalece. As regras ficam em arquivos YAML, no escopo do usuário em ~/.kiro/settings/permissions.yaml e no escopo do espaço de trabalho em ~/.kiro/workspace-roots/ (Permissions).

No IDE, a autonomia é escolhida em Settings, Agent, Agent Autonomy. O Autopilot deixa o agente prosseguir silenciosamente com as operações permitidas, e o Supervised pergunta antes de qualquer ação. Até que você confie em um espaço de trabalho, a documentação diz que o Kiro pergunta antes de iniciar cada comando de shell, mesmo quando uma regra salva ou ampla o permitiria, para que uma configuração enviada dentro de um repositório não consiga contornar a aprovação.

Tratamento de dados documentado pelo fornecedor

A página de proteção de dados diz que a comunicação entre os clientes e o Kiro, e entre o Kiro e suas dependências, é protegida com TLS 1.2 ou superior, e que os dados são criptografados em repouso com o AWS Key Management Service.
O Kiro pode processar conteúdo em várias regiões da AWS para melhorar o desempenho. Para usuários gratuitos e individuais, o conteúdo é armazenado em US East (N. Virginia). O Kiro pode armazenar perguntas, respostas e contexto adicional, como código e metadados sobre as requisições (Data protection).
O FAQ afirma que o Kiro não coleta telemetria de usuários Pro, Pro+, Pro Max ou Power que fazem login pelo AWS IAM Identity Center ou por um provedor de identidade externo, e que o conteúdo de usuários do plano gratuito ou com login social pode ser usado para melhorar o serviço, a menos que eles optem por não participar (FAQ).
O FAQ lista uma combinação de modelos, incluindo Claude, GPT e opções de pesos abertos. A página de proteção de dados menciona o Amazon Bedrock.

As páginas citadas não publicam uma lista de domínios de rede, então este artigo não nomeia nenhum.

Acompanhar o Kiro com o FireAI

O FireAI é um firewall para macOS que roda no seu Mac. O recurso Agent profile reconhece 19 agentes de IA, entre eles o Kiro, e identifica o Kiro pelo app de onde ele roda. Em seguida, o FireAI aprende para onde esse app normalmente se conecta. Para todos os agentes reconhecidos, ele funciona da mesma forma, usando apenas metadados (nomes de host e contagens de bytes); o FireAI nunca lê o conteúdo de uma conexão.

Nos primeiros 3 dias, o FireAI aprende os destinos que o Kiro normalmente contata, agrupados por domínio: api.anthropic.com vira anthropic.com. Nada é sinalizado durante esse período de aprendizado.
Depois disso, um destino fora da referência aprendida é sinalizado para revisão em Sugestões, no cartão Agentes de IA e na Revisão rápida. Deslize para a esquerda para bloquear ou para a direita para “Está tudo bem”.
Um pico de envio também é sinalizado: uma hora em que o agente enviou pelo menos 4 vezes o volume da sua hora mais intensa até então, e nunca menos de 25 MB.

Configurar o monitoramento do Kiro, passo a passo

Instale e abra o FireAI e use o Kiro como de costume por alguns dias, para que o período de aprendizado de 3 dias tenha tráfego real com que aprender.
Abra Sugestões e procure o cartão Agentes de IA. Os alertas dos agentes também aparecem na Revisão rápida, a pilha de cartões que você percorre deslizando.
Se você usa a CLI do Kiro, confira no cartão Agentes de IA se as conexões dela aparecem sob o Kiro; o FireAI documenta o reconhecimento do app, e este artigo não verificou a CLI.
Para manter o agente nos lugares que ele já usa, escolha Perfil de agente no menu de modo de segurança, ao lado de Casa, Cafeteria, Paranoico e Sob ataque. Quando o agente termina o aprendizado, uma conexão a um destino fora da referência dele é bloqueada em vez de sinalizada. Suas próprias regras de permissão continuam prevalecendo, e o DNS e a sua rede local nunca são bloqueados.
Quando algo é bloqueado, o cartão Agentes de IA oferece Permitir e Manter bloqueado. Permitir adiciona o destino à referência; Manter bloqueado cria uma regra de bloqueio, então o destino continua bloqueado em todos os modos.
Para uma regra precisa, abra Regras e clique em Adicionar regra: escolha o app, depois permitir ou bloquear, depois um site, um domínio com seus subdomínios, um endereço IP ou uma faixa, e quanto tempo ela dura.
Para entender uma única conexão, abra Ameaças e use Investigar, ou escolha Investigar em uma linha do mapa-múndi. A página mostra uma pontuação de risco, os motivos por trás dela e o que o FireAI observou.

Limites

O FireAI não vê prompts, o conteúdo das ferramentas, o acesso a arquivos como ~/.ssh nem as skills. O TLS oculta o conteúdo, e o FireAI não está dentro do Kiro.
O FireAI não impede a injeção de prompt. Ele limita o dano ao sinalizar, e deixar você bloquear, o caminho que os dados tomariam para sair do seu Mac.
Durante o período de aprendizado de 3 dias nada é sinalizado, e no modo Perfil de agente nada é bloqueado enquanto um agente ainda está aprendendo. Os picos de envio são sinalizados, nunca bloqueados.
Agentes associados pelo app, pelo caminho ou pelo nome do script são identificados pelo nome, não verificados: só o Claude Code, o Claude e o Cursor são conferidos pela assinatura do desenvolvedor.
Processos filhos que terminam muito rápido podem passar despercebidos, e eles são associados pelo caminho, não pela assinatura.

A descrição completa do recurso está na página de documentação do Agent profile.

Outros agentes desta série: Claude Code, app Claude para desktop, Cursor, app ChatGPT para Mac, OpenAI Codex CLI, OpenClaw. O guia geral para todos os outros agentes é Todos os outros agentes de IA no seu Mac.

Onde FireAI e HisnLabs entram nessa história

As permissões do Kiro regem o que o agente pode fazer. O FireAI mostra para onde ele se conecta e pode bloquear um destino novo.

O FireAI é o produto da HisnLabs: um firewall com IA que roda direto no seu Mac. Ele mostra, em linguagem simples, cada conexão que seus aplicativos fazem e deixa você decidir o que sai do seu Mac — a IA roda localmente, então seu tráfego nunca é enviado para nós nem para ninguém. A equipe de pesquisa em segurança da HisnLabs é quem mantém essas decisões confiáveis: cataloga quais domínios são telemetria comum e quais são um serviço de verdade, rastreia o país e a rede por trás de uma conexão e treina o modelo local (o recurso FireAI Pilot) com padrões reais de tráfego, sem que nada disso saia do seu Mac.

Você pode ler as decisões técnicas por trás dele, ou testar o FireAI por 17 dias, em FireAI, da HisnLabs.