Por Fernando Amatte, Information Security Advisor do Oakmont Group. Las Vegas (EUA) se tornou um dos principais pontos de encontro da comunidade global de cibersegurança, reunindo pesquisadores, empresas e profissionais nos maiores e mais relevantes eventos do setor: BSides-LV, Black Hat e DEF CON. Mais do que apresentar inovações e identificar mudanças na forma como o setor se prepara para novos desafios, esses eventos alertam para a transformação capitaneada pela IA e mostram a necessidade real das empresas em assuntos relacionados à segurança, monitoramento e controle. Cada evento possui seu estilo. A Black Hat segue tom corporativo e se pauta nas decisões que executivos precisam tomar, enquanto o BSides-LV e DEF CON preservam o detalhe técnico, abordagem informal e mais próxima da cultura hacker. É neste ecossistema que pesquisas e vulnerabilidades mantidas em sigilo durante meses são reveladas, além de uma visão de futuro. Entre os movimentos observados este ano, chamou atenção o avanço dos modelos próprios de inteligência artificial e das automações, acompanhado pela adoção de abordagens chamadas de “sem agente” (agentless). A proposta retira da mesa a necessidade de instalação de novos agentes, softwares e recursos nas máquinas e aproveita dados já coletados para extrair novas informações. Um exemplo prático é a utilização dos dados disponíveis em um "antivírus" para compreender o comportamento considerado normal de uma máquina e, a partir disso, identificar comportamentos anômalos. A lógica quebra a necessidade de adicionar novos componentes ao ambiente e permite aproveitar informações já disponíveis. Na Black Hat, dos 470 vendors presentes, a maioria incorporava algum tipo de inteligência artificial aos produtos. Mais interessante foi notar o avanço de soluções que utilizam a IA para proteger, monitorar e controlar a própria IA. Na DEF CON, IA com foco em (in)segurança era lei. Nos palcos principais, boa parte das trilhas de conteúdo era, direta ou indiretamente, relacionada a vulnerabilidades e segurança em IA, LLMs, MCP e vibe coding. O percentual não inclui as villages dedicadas a assuntos específicos como Malware, IoT, Red Team e Blue Team, sem contar as pesquisas relacionadas ao tema. A inteligência artificial está se consolidando como novo vetor de ataque, e seu uso sem controles, governança e os cuidados necessários transforma avanço tecnológico em um problema crônico de segurança. Proteger a IA passa a ser tão importante quanto utilizá-la. A DEF CON também mostra outro aspecto importante dessa evolução, incluindo a possibilidade de estudar, pesquisar e identificar vulnerabilidades de um marca-passo, uma bomba de insulina, um barco, um avião ou carro. Todas essas possibilidades são legítimas dentro das villages. Esses ambientes transformam tecnologias de difícil acesso em laboratórios de pesquisa e permitem testar, questionar e compartilhar conhecimento. O evento tem sua própria cultura e convida a audiência a mergulhar, se conectar e, ainda, compartilhar aprendizados para aumentar o nível de conhecimento entre os participantes. Nesta direção é que a DEF CON continua tão relevante para quem trabalha com cibersegurança. Para quem atua no setor, acompanhar Black Hat, BSides-LV e DEF CON vai muito além da vitrine de produtos. Os eventos ajudam a direcionar o setor para um olhar dinâmico sobre onde estão surgindo novas formas de ataque, quais tecnologias estão sendo incorporadas à segurança e quais desafios começam a aparecer antes de chegarem ao cotidiano das empresas. A principal lição deste ano é: a IA continua ingressando nas corporações e é justamente aí que é preciso montar um ambiente de segurança cada vez mais envolvente ao longo de toda a cadeia de atuação. Mais do que criar sistemas capazes de agir com autonomia, passa ao imperativo a compreensão sobre a maneira de monitorar, controlar e proteger. Fernando Amatte

A OpenAI anunciou o Private Safety Processing, um mecanismo desenvolvido para analisar automaticamente interações com seus modelos em busca de riscos de segurança sem comprometer os acordos de Zero Data Retention (ZDR), nos quais os dados dos clientes não são retidos pela empresa. A novidade é especialmente relevante para organizações que utilizam inteligência artificial com informações corporativas sensíveis e precisam limitar o armazenamento e o acesso humano aos prompts e respostas processados pelos modelos. Segundo a OpenAI, em implementações com ZDR, os clientes podem controlar sua própria infraestrutura ou optar pelo armazenamento na infraestrutura da empresa, que deverá oferecer também chaves de criptografia controladas pelo cliente. Nos dois casos, sistemas automatizados podem identificar possíveis usos indevidos e produzir sinais limitados de segurança sem expor os prompts ou respostas subjacentes aos funcionários da OpenAI. O Private Safety Processing amplia as proteções automatizadas já utilizadas em ambientes compatíveis com ZDR. Enquanto os mecanismos existentes analisam individualmente as interações, a nova tecnologia consegue avaliar padrões existentes entre interações relacionadas sem permitir que funcionários da empresa tenham acesso ao conteúdo retido dos clientes. Esse ponto pode indicar uma análise mais ampla do contexto das atividades realizadas pelos modelos, potencialmente envolvendo não apenas prompts e respostas, mas também interações com ferramentas e sinais relacionados à rede. A abordagem cria uma diferença em relação à política atualmente adotada pela Anthropic em alguns de seus modelos mais avançados. Segundo a empresa, clientes comerciais com ZDR que utilizam os modelos cobertos por sua política de segurança estão sujeitos à retenção de prompts e respostas por 30 dias para atividades relacionadas à segurança. De maneira geral, as duas empresas também possuem políticas de retenção para clientes comerciais fora dessas condições específicas. A Anthropic informa que entradas e saídas da API são normalmente excluídas de seus sistemas em até 30 dias, com algumas exceções. No ChatGPT Business, administradores podem controlar por quanto tempo os dados permanecem armazenados. Conversas excluídas ou não salvas são removidas dos sistemas da OpenAI em até 30 dias, salvo quando uma retenção maior for exigida por lei ou considerada necessária para proteger os serviços ou terceiros. Uma política semelhante de 30 dias é aplicada à API na maioria dos casos. Outra diferença está na possibilidade de revisão humana. A Anthropic informa que, por padrão, seus funcionários não podem ler conversas retidas, mas conteúdos sinalizados por sistemas automatizados de segurança podem passar por revisão humana através de um processo de acesso controlado. No modelo apresentado pela OpenAI para o Private Safety Processing, a intervenção humana é mais restrita. A empresa aponta como exceção situações envolvendo a detecção de material relacionado à exploração sexual infantil. A OpenAI afirma que divulgará mais detalhes técnicos sobre o funcionamento do Private Safety Processing no próximo mês. Até lá, aspectos específicos sobre a arquitetura e as proteções utilizadas pelo mecanismo ainda não foram detalhados. A preocupação com a privacidade no processamento de IA também aparece em iniciativas de outras grandes empresas de tecnologia. Apple, Google, Nvidia e Meta vêm desenvolvendo mecanismos destinados a proteger informações durante cargas de trabalho de inteligência artificial, enquanto a execução local de modelos também cresce como alternativa para organizações que não desejam enviar determinados dados para provedores externos. Ainda assim, mecanismos de processamento privado não eliminam todos os riscos. Matthew Green, professor associado de ciência da computação da Universidade Johns Hopkins, observa que agentes de IA conectados a ferramentas podem acessar informações sensíveis e executar ações externas. Nesse cenário, proteger apenas a inferência não necessariamente protege todo o fluxo de dados utilizado pelo agente.

Um pesquisador de segurança de 22 anos, conhecido como “Zerotistic”, conseguiu registrar um computador Linux na rede Find My da Apple e receber dados de localização em tempo real de pessoas que já haviam compartilhado sua posição com a conta utilizada no experimento. A técnica chama atenção porque os recursos completos do Find My são normalmente restritos a dispositivos da Apple, como iPhones e Macs. Pelo site do iCloud, a empresa oferece o Find Devices para localizar aparelhos, mas sem o recurso do Find My que permite visualizar a localização compartilhada por outras pessoas. O método desenvolvido por Zerotistic não permite rastrear arbitrariamente qualquer usuário da Apple. Para obter as informações, a pessoa precisa ter compartilhado previamente sua localização com o proprietário da conta Apple utilizada no dispositivo Linux. O principal desafio foi fazer os serviços da Apple reconhecerem a máquina Linux como um dispositivo autorizado e capaz de receber essas informações pelo Apple Push Notification service (APNs). Primeiro, o pesquisador vinculou o computador à sua conta Apple utilizando o protocolo de autenticação GrandSlam. Depois, buscou obter um certificado de dispositivo do Apple Identity Services (IDS), responsável por associar o aparelho a uma conta. Para isso, Zerotistic criou uma solicitação personalizada de assinatura de certificado (CSR). Após diversas tentativas, descobriu que precisava utilizar o formato PKCS#10, uma chave RSA de 2.048 bits e uma assinatura SHA-1. Os dados foram incorporados a um arquivo XML compactado e enviados ao endpoint legado authenticateDS da Apple. A Apple assinou a solicitação e forneceu ao computador Linux o certificado IDS necessário para registrar sua chave pública na conta. Segundo o pesquisador, a exigência de SHA-1 e da codificação XML provavelmente está relacionada ao fato de o authenticateDS utilizar padrões mais antigos. Registrar o computador, entretanto, não era suficiente para fazê-lo funcionar como um dispositivo compatível com o Find My. O pesquisador descobriu que a solicitação precisava assinar seis subserviços diferentes, informar os mecanismos de criptografia suportados e fornecer chaves públicas utilizadas no sistema de comunicação entre dispositivos da Apple. A solicitação também precisava ser assinada com certificados IDS e APNs obtidos durante a configuração inicial. Com essas etapas concluídas, a máquina Linux conseguiu manter uma conexão TLS binária persistente com os servidores privados de APNs da Apple e passou a ser reconhecida como capaz de receber dados do Find My. Mesmo assim, as localizações previamente compartilhadas não apareceram automaticamente. Zerotistic então enviou uma solicitação chamada SubscribeAndFetch, fazendo com que o dispositivo de um amigo enviasse uma chave de localização criptografada para a máquina Linux recém-registrada. O último desafio foi interpretar as informações recebidas pelo serviço SearchParty da Apple. Como não havia um aplicativo gráfico do Find My sendo executado no Linux, o pesquisador precisou desenvolver um script capaz de processar o formato de mensagens da Apple, extrair a chave compartilhada e descriptografar os dados. Após a descriptografia, foi possível acessar informações como coordenadas geográficas, horário do registro e precisão da localização. O script também conseguiu buscar e decodificar atualizações posteriores referentes ao compartilhamento já autorizado. Segundo Zerotistic, todo o processo de pesquisa e desenvolvimento da técnica levou menos de uma semana. A descoberta demonstra que, apesar das restrições oficiais do Find My, um dispositivo que não pertence ao ecossistema Apple pode ser configurado para interagir com os protocolos utilizados pelo serviço. Até a publicação da reportagem original, a Apple não havia informado se pretende realizar alterações em resposta à pesquisa.

O Thunderbird passará a receber novas versões a cada duas semanas a partir de setembro, acompanhando a aceleração do ciclo de atualizações do Firefox. A mudança reduz pela metade o intervalo atual de quatro semanas entre os lançamentos regulares do cliente de e-mail. Mozilla e sua subsidiária MZLA lançaram nesta semana o Firefox 154 e o Thunderbird 154. Para usuários e empresas que preferem maior estabilidade e menos atualizações, as versões 153 permanecem como as atuais edições ESR (Extended Support Release), com suporte prolongado pelo próximo ano. O novo cronograma acompanha a decisão da Mozilla de atualizar o Firefox quinzenalmente. Segundo Corey Bryant, da MZLA, o Thunderbird seguirá a mesma cadência a partir de setembro. Além da mudança no calendário, o Thunderbird 154 recebeu novos recursos importantes, principalmente para ambientes corporativos. Entre eles está o suporte ao Microsoft Graph para contas do Microsoft 365, permitindo que o cliente utilize a API da Microsoft para interagir com os serviços da plataforma. A integração ganha relevância diante da descontinuação do Exchange Web Services (EWS) nos serviços em nuvem da Microsoft. O EWS continuará disponível para organizações que mantêm seus próprios servidores Exchange, mas o Graph passa a ser uma alternativa importante para usuários do Microsoft 365. O Thunderbird 154 também melhora o tratamento de mensagens criptografadas com Cryptographic Message Syntax (CMS), além das funções de arrastar e soltar e de copiar mensagens e anexos por meio do menu de contexto. No macOS, a visualização de anexos também foi aprimorada. Outra mudança permite minimizar o Thunderbird para a bandeja do sistema quando sua última janela é fechada, nos ambientes de desktop que oferecem esse recurso. A versão também melhora o comportamento durante interrupções de conexão em grandes operações IMAP. Isso pode ser especialmente útil durante a transferência ou o backup de grandes quantidades de mensagens, reduzindo problemas quando a conexão com a internet é interrompida durante o processo. Na área de segurança, a atualização inclui mais de 50 correções, além de mais de 30 ajustes para outros bugs. Como um cliente de e-mail diretamente exposto a conteúdos recebidos pela internet, manter as correções de segurança atualizadas é particularmente importante. Com a adoção de lançamentos quinzenais, usuários da versão regular do Thunderbird receberão recursos, correções de bugs e atualizações de segurança com maior frequência. Quem busca um ciclo mais previsível poderá continuar utilizando a edição ESR.

O US Bank está investigando alegações do grupo de ransomware LockBit de que hackers teriam invadido a instituição financeira e roubado dados. O grupo estabeleceu 3 de setembro como prazo para o pagamento de um resgate e ameaça publicar as informações caso sua exigência não seja atendida. Até o momento, porém, o suposto ataque não foi confirmado pelo banco. Lee Henderson, vice-presidente de relações públicas do US Bank, afirmou que a instituição está ciente das alegações envolvendo um possível incidente de cibersegurança. “Até o momento, não há indicação de que nossos sistemas internos tenham sido afetados e não há evidências de acesso não autorizado à nossa rede”, informou Henderson. O banco disse que continua investigando e monitorando as alegações. O US Bank não respondeu a perguntas específicas sobre o caso, incluindo se manteve contato com os responsáveis pela extorsão ou qual seria o valor do resgate exigido. O LockBit adicionou o banco ao seu site de vazamentos na noite de quarta-feira e concedeu um prazo de 14 dias para o pagamento. A publicação do grupo não informa quantos arquivos teriam sido roubados nem qual seria o conteúdo dos supostos dados em sua posse. Mesmo quando uma vítima paga o resgate, não há garantia de que os dados roubados sejam realmente apagados. Em 2024, durante uma operação internacional contra a infraestrutura do LockBit, autoridades encontraram evidências de que o grupo havia mantido informações de vítimas mesmo após o pagamento das exigências de extorsão. A operação realizada em fevereiro de 2024 apreendeu servidores, domínios e chaves de descriptografia utilizados pelo LockBit. Em maio daquele ano, autoridades identificaram o russo Dmitry Yuryevich Khoroshev como LockBitSupp, apontado como uma das principais figuras por trás da operação. Ele permanece foragido. Apesar das ações policiais, o LockBit voltou a aparecer em setembro de 2025 com a variante LockBit 5.0 de seu ransomware. A nova alegação ocorre após outros incidentes envolvendo dados de clientes do US Bank por meio de terceiros. Um escritório de advocacia avalia uma possível ação coletiva relacionada a um incidente que teria atingido a instituição por meio da fornecedora Fidelity National Information Services. O US Bank teria tomado conhecimento desse incidente em 7 de maio e começou, em junho, a notificar 537 clientes de Massachusetts. Nomes, endereços postais e números de cartões de crédito podem ter sido comprometidos. Segundo as informações divulgadas, números de Seguro Social, credenciais de internet banking e saldos das contas não foram acessados. Outro incidente, ocorrido em 2022, afetou aproximadamente 11 mil clientes depois que um fornecedor compartilhou acidentalmente um arquivo relacionado a contas de cartões de crédito já encerradas. O documento continha informações como nomes, endereços, números de Seguro Social, datas de nascimento, números de contas encerradas e saldos pendentes.

O papel do Chief Information Security Officer (CISO) deve passar por uma transformação significativa nos próximos anos. Até 2029, executivos de segurança tendem a assumir responsabilidades mais amplas sobre riscos corporativos, inteligência artificial e inovação, deixando de atuar apenas como responsáveis pela defesa tecnológica para participar diretamente das decisões estratégicas das organizações. Wolfgang Goerlich, CISO do setor público e membro do corpo docente da IANS Research, acredita que esses profissionais serão cada vez mais responsáveis por orientar empresas sobre como assumir riscos tecnológicos de maneira calculada, incluindo aqueles relacionados à adoção de IA. Para Goerlich, essa mudança representa mais uma etapa na evolução de uma função que existe desde 1995. O CISO deixou de representar o chamado “departamento do não”, passou pela fase de tentar desacelerar iniciativas consideradas arriscadas e agora começa a assumir uma posição na qual ajuda a organização a entender e administrar riscos para avançar com novos projetos. Essa perspectiva também aparece em um relatório da KPMG de 2026, segundo o qual o papel do CISO está sendo redefinido à medida que plataformas digitais, inteligência artificial e ecossistemas de terceiros aceleram as mudanças tecnológicas. Além de proteger os ambientes corporativos, os líderes de segurança passam a responder cada vez mais por riscos em nível empresarial. Nesse cenário, o CISO deve evoluir de um especialista predominantemente técnico para um líder capaz de traduzir ameaças complexas em riscos e impactos para os negócios. A expectativa é que ele funcione como um facilitador da inovação segura, permitindo que empresas adotem novas tecnologias com maior velocidade sem ignorar os riscos envolvidos. Goerlich afirma que essa transformação já está acontecendo. Em sua atuação atual, ele recebeu a responsabilidade de estruturar uma equipe de inovação formada por profissionais de arquitetura, engenharia e segurança. Segundo ele, CEOs e conselhos de administração começam a perceber que envolver segurança na liderança das iniciativas pode acelerar a inovação, em vez de simplesmente criar obstáculos. Até 2029, alguns CISOs também poderão assumir responsabilidades sobre riscos corporativos de maneira mais ampla, além dos riscos estritamente cibernéticos. Essa evolução, entretanto, não deverá ocorrer de forma uniforme: algumas organizações continuarão mantendo CISOs mais técnicos e operacionais, enquanto outras ampliarão sua participação nas decisões estratégicas. Diana Kelley, CISO da Noma Security, observa uma mudança semelhante. Para ela, os CISOs estão deixando de atuar principalmente como responsáveis por defesa e conformidade para se tornarem facilitadores da estratégia empresarial, ajudando a aumentar a resiliência das organizações. Ao mesmo tempo, o avanço da IA exigirá conhecimento técnico suficiente para questionar decisões de arquitetura e compreender como novas tecnologias estão sendo implementadas. Isso não significa que o CISO precisará atuar diretamente na operação dos sistemas, mas deverá ser capaz de avaliar tecnicamente como aplicações e infraestruturas podem ser governadas e protegidas durante sua execução. Kelley considera ainda a possibilidade de organizações adotarem dois perfis diferentes de liderança em segurança: um mais concentrado nas defesas tecnológicas e outro dedicado a risco e resiliência. A ampliação das responsabilidades também pode alterar os próprios cargos. Edna Conway, ex-CSO e ex-chief security and risk officer da infraestrutura do Azure na Microsoft, defende que CISOs avancem além dos riscos de segurança da informação e assumam uma visão de risco empresarial. Nesse modelo, títulos como chief security and trust officer ou chief security and risk officer poderiam se tornar mais comuns, embora Conway não tenha certeza de que essa transformação estará consolidada já em 2029. Outro fator será a velocidade das mudanças. Ali Waezzadah, CISO da iCOUNTER, aponta que transformações na infraestrutura de TI, geopolítica, economia, regulamentação e estratégias corporativas estão tornando o ambiente cada vez mais dinâmico. Novas tecnologias são implantadas mais rapidamente, enquanto invasores desenvolvem continuamente novas técnicas. Isso exigirá líderes mais ágeis e flexíveis, capazes de acompanhar simultaneamente mudanças tecnológicas, regulatórias e empresariais. Até 2029, segundo Waezzadah, os CISOs terão mais elementos para monitorar e um ambiente de proteção muito mais dinâmico. A inteligência artificial deverá acelerar ainda mais essa transformação. John White, field CISO da Torq, acredita que os departamentos de segurança precisarão operar em velocidades maiores à medida que empresas e adversários ampliem o uso de IA. Nesse modelo, agentes de IA poderão executar parte das atividades enquanto profissionais humanos definem objetivos, supervisionam operações e tomam decisões. O CISO passaria a administrar equipes compostas por pessoas e sistemas automatizados, aproximando a segurança de um modelo orientado a produtos e resultados empresariais. Andrew Obadiaru, CISO da Cobalt, também prevê que o cargo será mais empresarial do que técnico até 2029. Entre as principais responsabilidades estarão permitir a adoção segura de IA, administrar riscos da cadeia de fornecimento de software e validar continuamente a postura de segurança da organização. Para Obadiaru, três prioridades devem ganhar destaque: validação contínua da exposição da empresa, adoção segura de IA e aceleração da correção de vulnerabilidades e outros riscos identificados. Com ataques e descobertas de vulnerabilidades acontecendo cada vez mais rapidamente, CISOs também deverão dedicar menos tempo à análise individual de achados técnicos e mais à criação de processos automatizados de decisão, práticas de engenharia resilientes e modelos de governança capazes de responder na velocidade das máquinas. Apesar das transformações, a missão central permanece: compreender riscos, comunicá-los de maneira eficiente e ajudar a organização a tomar decisões informadas para preservar sua capacidade de operar. Tecnologias e modelos de segurança podem mudar, mas liderança, confiança, julgamento e comunicação continuarão sendo competências essenciais para o CISO.

Imagem meramente ilustrativa A Microsoft ampliou as funções do Gerenciador de Tarefas do Windows para oferecer mais visibilidade sobre workloads de inteligência artificial. A ferramenta agora pode mostrar a utilização da NPU (Unidade de Processamento Neural) por processo em computadores compatíveis, permitindo identificar quais aplicativos estão utilizando hardware dedicado à execução de tarefas de IA. Até então, a aba Processos não apresentava individualmente a atividade da NPU nem do mecanismo neural da GPU. Com a atualização, essas informações passam a aparecer ao lado de métricas tradicionais, como utilização de CPU e GPU. Já a aba Desempenho permite acompanhar o uso geral desses componentes. A novidade é voltada principalmente para computadores mais recentes equipados com NPUs, chips especializados na aceleração de operações de inteligência artificial. Esse tipo de hardware ganhou espaço nos chamados AI PCs e pode executar determinadas cargas de IA localmente com maior eficiência energética do que processadores convencionais. Segundo a Microsoft, à medida que aplicações de IA se tornam mais comuns no Windows, acompanhar o uso da NPU e dos mecanismos neurais das GPUs pode ajudar usuários e desenvolvedores a tomar decisões mais informadas sobre o funcionamento do sistema. As novas métricas também podem ser úteis para investigar problemas de desempenho e consumo de energia. Em notebooks, por exemplo, identificar qual processo está utilizando intensivamente uma NPU, GPU ou CPU pode ajudar a descobrir aplicações responsáveis por consumo elevado de recursos ou redução da autonomia da bateria. Com isso, o Gerenciador de Tarefas passa a reunir informações sobre processamento de IA com os indicadores já disponíveis de CPU, memória, armazenamento, rede e GPU, oferecendo uma visão mais detalhada sobre como os recursos de hardware estão sendo utilizados. A ampliação, porém, também levanta questionamentos sobre o aumento da complexidade de uma ferramenta historicamente conhecida por sua rapidez e simplicidade. Funções mais avançadas de análise do sistema tradicionalmente ficam concentradas em ferramentas como o Monitor de Desempenho do Windows. O movimento lembra a evolução de outros aplicativos tradicionais do sistema. O Bloco de Notas, originalmente desenvolvido como um editor extremamente simples, recebeu diversos recursos ao longo dos anos e mais recentemente ganhou funcionalidades baseadas em inteligência artificial. Para desenvolvedores e profissionais que trabalham com aplicações de IA, a possibilidade de visualizar o consumo da NPU por processo pode ser particularmente útil. Para os demais usuários, o benefício dependerá de a Microsoft conseguir ampliar as informações disponíveis sem comprometer a simplicidade que tornou o Gerenciador de Tarefas uma das ferramentas mais utilizadas para diagnóstico do Windows.

Pesquisadores de segurança da Cycode identificaram uma cadeia de vulnerabilidades no AIT-GUI, console web utilizado pelo AMMOS Instrument Toolkit (AIT), projeto de código aberto da NASA/JPL para construção de sistemas terrestres de suporte a instrumentos e espaçonaves. As falhas podem permitir que um atacante com acesso ao serviço envie comandos arbitrários sem autenticação. A cadeia foi registrada como GHSA-p9r8-2q67-fp86, recebeu pontuação 9,4 no CVSS v3.1 e, segundo o alerta publicado em 13 de agosto de 2026, afeta o AIT-GUI 2.5.1 e versões anteriores. A versão 2.5.2 foi apresentada como correção, embora análises posteriores tenham identificado limitações nessa mitigação. O AMMOS Instrument Toolkit fornece componentes para sistemas terrestres responsáveis por enviar comandos a instrumentos e espaçonaves e processar a telemetria recebida. O AIT-GUI funciona como console de operação, com endpoints capazes de encaminhar instruções diretamente ao barramento de comandos. Segundo a Cycode, o servidor web do AIT-GUI ignorava o endereço de host configurado e, por padrão, escutava em 0.0.0.0 na porta 8080, ficando acessível por todas as interfaces de rede. Ao mesmo tempo, rotas capazes de alterar o estado do sistema eram expostas sem autenticação, autorização ou proteção contra Cross-Site Request Forgery (CSRF). Duas dessas rotas também construíam caminhos no sistema de arquivos a partir de entradas sem validação adequada. Os problemas foram classificados como CWE-306, referente à ausência de autenticação para uma função crítica; CWE-352, relacionada a CSRF; e CWE-22, associada a path traversal. De acordo com o alerta, um atacante não autenticado capaz de alcançar a porta poderia enviar comandos para instrumentos e espaçonaves por meio de POST /cmd, executar scripts no servidor através de POST /script/run e iniciar sequências de comandos usando POST /seq. Em determinadas versões, o path traversal também permitiria referenciar arquivos fora dos diretórios previstos. O risco não se limita necessariamente a consoles diretamente expostos à internet. Como as rotas aceitam requisições application/x-www-form-urlencoded, consideradas solicitações simples pelos navegadores, uma página controlada por um atacante poderia enviar uma requisição cross-origin sem a verificação preliminar CORS conhecida como preflight. Na prática, isso significa que mesmo uma implantação restrita à rede local ou protegida por firewall poderia ser atacada caso um operador com acesso ao console visitasse uma página maliciosa. A Cycode afirma ter confirmado em tráfego real de navegador que as requisições POST eram entregues e processadas sem uma solicitação OPTIONS anterior. O AIT-GUI 2.5.2 foi lançado em 12 de agosto com mudanças destinadas a reduzir a superfície de ataque. A versão passou a respeitar o host configurado, usando localhost como padrão, adicionou verificações de mesma origem para requisições POST, PUT, DELETE e PATCH e restringiu os caminhos utilizados pelas funções /script/run e /seq aos diretórios configurados. No entanto, uma análise do código da versão 2.5.2 feita pelo The Hacker News encontrou uma limitação importante: a atualização não adiciona autenticação propriamente dita aos endpoints de comandos, scripts e sequências. A rota principal ainda chama Sessions.create() e fornece um cookie de sessão sem verificar credenciais, enquanto a rota de comandos aceita requisições que apresentem esse cookie. Assim, a versão 2.5.2 restringe onde o console fica disponível e bloqueia ataques cross-origin originados de navegadores, mas não implementa uma camada de autenticação para essas funções críticas. Também há divergências sobre quais versões estão corrigidas. Uma vulnerabilidade relacionada ao mesmo problema de ausência de autenticação já havia sido registrada como CVE-2026-60112, com pontuação 9,3 no CVSS v4. O registro afirma que versões anteriores à 2.5.1 são vulneráveis e aponta uma correção específica, enquanto a análise da Cycode inclui a própria 2.5.1 entre as versões afetadas e considera a 2.5.2 como corrigida. A inspeção do repositório indica, porém, que a criação de sessões sem autenticação permanece presente tanto na 2.5.1 quanto na 2.5.2. Também existem diferenças relacionadas ao path traversal: embora o alerta da Cycode indique que a versão 2.5.1 foi usada para validar as descobertas, o código dessa versão já contém uma verificação para restringir caminhos utilizados por /script/run; o problema sem essa restrição permanece em /seq. Outro ponto de atenção envolve a distribuição pelo PyPI. Em 20 de agosto, a versão mais recente do pacote ait-gui disponível na plataforma ainda era a 2.4.1, publicada em julho de 2023. As versões 2.5.0, 2.5.1 e 2.5.2 não apareciam no histórico de releases. O código da 2.4.1 contém tanto o bind em 0.0.0.0 quanto a construção de caminhos sem as restrições posteriores. A correção associada à pesquisa foi criada em julho pelo pesquisador Yuval Elbar e adicionou 18 testes de regressão. O commit também registra o uso do Claude Opus 4.8, da Anthropic, como coautor, e a Cycode afirma que a descoberta resultou de uma investigação humana apoiada por análise de código com inteligência artificial. Apesar da gravidade potencial, não há evidências apresentadas de exploração das vulnerabilidades em ataques reais. Os registros também não identificam nenhuma missão espacial específica utilizando uma implantação vulnerável do software. O AIT possui ainda outros registros de segurança. Entre eles está a CVE-2024-35058, vulnerabilidade crítica de execução remota de código na função API wait do NASA AIT-Core, publicada em 2024 e indicada como afetando versões até a 2.5.2, sem uma versão corrigida registrada atualmente no GitHub Advisory Database.

Pesquisadores de segurança da Hunt.io identificaram uma campanha que teria comprometido mais de 14.530 dispositivos Dahua entre 17 de junho e 22 de julho de 2026. Batizada de Operation CameraSwarm, a operação combinou ataques contra credenciais, exploração de duas vulnerabilidades de bypass de autenticação e uma técnica de conexão peer-to-peer (P2P). A investigação foi reconstruída a partir de um diretório de trabalho de 407 MB que ficou exposto e continha 2.616 arquivos distribuídos em 234 subdiretórios. O material incluía ferramentas, logs, histórico de comandos e registros da campanha. Segundo a Hunt.io, os comprometimentos confirmados estavam concentrados principalmente na Ucrânia e na Rússia. Os pesquisadores afirmam que 1.923 câmeras receberam uma conta persistente durante a operação, enquanto outras 283 foram alcançadas por meio do mecanismo P2P. No entanto, esses números são atribuídos à Hunt.io e não foram confirmados de forma independente por Dahua, ITRES Labs ou por um órgão público de resposta a incidentes. De acordo com a análise, os mais de 14,5 mil dispositivos foram identificados por três caminhos de ataque. O maior deles envolveu ataques contra credenciais, com 12.324 endereços IP únicos encontrados em 13.229 registros da campanha. Outros 1.923 dispositivos teriam sido acessados por meio das vulnerabilidades CVE-2021-33044 e CVE-2021-33045, enquanto 283 câmeras foram identificadas pelo número de série e alcançadas pelo mecanismo P2P, inclusive equipamentos posicionados atrás de NAT. As CVE-2021-33044 e CVE-2021-33045 são falhas de bypass de autenticação divulgadas em 2021 que afetam câmeras e outros produtos da Dahua. A fabricante atribui pontuação CVSS 8,1 às vulnerabilidades, enquanto o National Vulnerability Database (NVD) dos Estados Unidos atualmente classifica ambas com nota 9,8. Segundo a Dahua, as vulnerabilidades permitem contornar a autenticação de identidade do dispositivo por meio da construção de pacotes de dados maliciosos. A CVE-2021-33044 pode ser acionada durante a autenticação com um cliente do tipo NetKeyboard, enquanto a CVE-2021-33045 envolve uma solicitação de login em loopback utilizando o endereço 127.0.0.1. Até 19 de agosto de 2026, as duas falhas continuavam presentes no catálogo Known Exploited Vulnerabilities (KEV), da agência americana CISA. A recomendação é aplicar as medidas de mitigação disponibilizadas pelo fornecedor ou interromper o uso dos produtos caso não existam correções disponíveis. A campanha também chama atenção pelo uso da infraestrutura P2P da Dahua para alcançar equipamentos que não estavam diretamente expostos à internet. Uma investigação anterior da ITRES Labs mostrou que, em firmwares anteriores a meados de 2024, um número de série válido poderia ser utilizado para estabelecer uma rota pelo Easy4IP antes de o próprio dispositivo realizar a verificação de credenciais. Esse mecanismo permite tornar acessíveis câmeras ou gravadores de vídeo localizados atrás de NAT por meio da infraestrutura de relay da fabricante. Isso, porém, não significa necessariamente acesso autenticado ao equipamento: depois que o túnel é estabelecido, o dispositivo ainda pode exigir credenciais válidas. A Hunt.io afirma que o código recuperado dos operadores registrou que 89,4% dos números de série ativos testados retornaram um canal aberto sem autenticação. Esse percentual também deve ser tratado como um dado específico da campanha, já que não foi reproduzido independentemente pela ITRES Labs, Dahua ou por um CERT público até 19 de agosto. Os pesquisadores ressaltam ainda que o comportamento P2P não deve ser confundido com as vulnerabilidades CVE-2021-33044 e CVE-2021-33045. Da mesma forma, outras duas CVEs encontradas nas ferramentas recuperadas não descrevem esse mecanismo: a CVE-2024-39943 corresponde a uma falha de injeção de comandos no Rejetto HFS, enquanto a CVE-2025-31702 é descrita pela Dahua como uma vulnerabilidade de escalonamento de privilégios que exige credenciais previamente obtidas de um usuário comum. A ITRES Labs classificou a exposição relacionada ao relay por número de série como um problema sem CVE e informou que seus testes apontaram reforços no mecanismo P2P em firmwares lançados após meados de 2024. Como medidas de proteção, administradores devem atualizar os dispositivos com firmware disponibilizado pela Dahua, desabilitar o P2P quando o recurso não for necessário, restringir a conectividade Easy4IP quando apropriado, utilizar credenciais fortes e exclusivas, remover contas sem uso e manter os sistemas de videomonitoramento segmentados da infraestrutura corporativa. A Hunt.io também encontrou artefatos em russo no diretório recuperado e descreveu o operador como falante do idioma. A campanha, porém, não foi atribuída a um grupo hacker conhecido, ao governo russo ou a qualquer outra organização específica. Com confiança moderada, os pesquisadores avaliam que partes das ferramentas podem ter sido desenvolvidas para transferir o acesso às câmeras para terceiros. Até 19 de agosto, os números de mais de 14.530 dispositivos comprometidos, 1.923 contas persistentes, 283 acessos via P2P e a taxa de 89,4% de canais abertos permaneciam atribuídos à investigação da Hunt.io. Fontes públicas corroboram a existência das duas vulnerabilidades antigas de autenticação e o funcionamento do mecanismo P2P baseado em números de série, mas não confirmam de forma independente os totais associados à Operation CameraSwarm.

Por - Hilmar Becker Nenhuma tecnologia tradicional tornou-se tão crítica para o sucesso dos modelos de IA como os controladores de entrega de aplicação (ADCs). Soluções que garantem a melhor UX por meio da distribuição segura e com alta performance de carga entre diferentes sites e ambientes, os ADCs passam a ocupar um lugar privilegiado nos orçamentos dos CISOs de 2026. Cada transação, cada login, cada experiência digital que importa passa por esse componente. A IA eleva ainda mais a responsabilidade do ADC. Segundo o IDC, os gastos das empresas com a IA terão, até 2030, um impacto econômico acumulado de US$ 19,9 trilhões. Como resultado, o PIB global em 2030 deverá ser 3,5% maior. A complexidade da IA – a mais moderna das aplicações modernas, totalmente baseada em APIs – exige o ADC para gerar um crescimento econômico como este. É por isso que, em uma pesquisa publicada em junho de 2026, o Gartner prevê que, até 2029, mais de 30% das grandes empresas e provedores de serviços em todo o mundo atualizarão sua infraestrutura de ADC para atender aos requisitos de soberania de dados e IA. Preço da estrutura computacional de IA não é o único fator estratégico Por trás da previsão do Gartner há vários indícios. Organizações que estão desenvolvendo sólidos recursos de IA estão descobrindo que seus dados mais valiosos não podem simplesmente fluir para onde a estrutura computacional for mais barata. Regulamentações de soberania, obrigações de privacidade de dados e o custo elevado de transferir dados para dentro e fora de nuvens públicas estão levando muitas empresas a construir ambientes on-premises de IA em seus próprios data centers. Um estudo do Barclays do final de 2025 revela que mais de 80% das organizações estão planejando repatriar cargas de trabalho. Quando a IA volta para casa, tudo de que ela depende vem junto: os pipelines de dados que a alimentam, os pontos finais de inferência que a expõem e os controles de segurança que a protegem. Todo esse tráfego passa pela camada de entrega de aplicação. A camada que sempre determinou o desempenho dos aplicação agora determina o desempenho da aplicação de IA. Gartner lista pontos a ponderar a respeito da entrega e defesa da IA Os analistas do Gartner listaram pontos que podem ajudar os CISOs a mapearem os desafios de segurança e performance de seus modelos próprios de IA. E onde, conforme o caso, o ADC pode fazer diferença. Os dados precisam chegar ao modelo de IA com a rapidez necessária. A qualidade dos modelos depende da qualidade dos dados que lhes são fornecidos. O Gartner observa que o ADC pode agregar valor ao otimizar a entrega e a ingestão de dados de IA na borda da rede (edge computing), indo além dos limites do data center principal. Ao se concentrarem no gerenciamento avançado de tráfego, os ADCs conseguem enfrentar os principais desafios do movimento de dados de IA. A integração com a infraestrutura de IA e tecnologias de suporte, como DPUs, permite que o ADC mostre seu poder de fogo em aplicações de IA rodando em multicloud e WAN. A infraestrutura computacional da IA está nas mãos de times menos técnicos. O Gartner observa que está acontecendo uma mudança radical nos processos de compras de infraestrutura de IA. Cada vez mais, a responsabilidade pelos investimentos em infraestrutura de IA está se afastando das equipes tradicionais de TI. Em vez disso, equipes dedicadas à IA, muitas vezes subordinadas diretamente ao CEO e ao Board, lideram essas decisões, especialmente em organizações de alta maturidade. Neste contexto, o ADC passa a ser valorizado inclusive por equipes com menor background técnico. A organização busca proteger seu modelo de IA contra ameaças avançadas. As aplicações de IA enfrentam ameaças para as quais os controles tradicionais nunca foram projetados: injeção de prompts, envenenamento de dados e falsificação de identidade de agentes, entre outras. De acordo com o Gartner, os ADCs podem aprimorar a segurança para a IA agêntica atuando como gateways de IA que impõem barreiras de proteção no perímetro da rede ou na camada de APIs, algo crítico para os modelos de IA. O fim dos pontos cegos: o papel do ADC Um fio condutor conecta esses três pontos. O tráfego de IA e as ameaças à IA chegam pela mesma porta de entrada, e os dados que alimentam seus modelos e os ataques direcionados a eles percorrem os mesmos caminhos. Quando a entrega da IA e a segurança da IA residem em plataformas separadas, cada ponto de junção entre elas é um ponto cego, onde falta uma política clara e a latência não é a desejada. O estudo do Gartner investiga o que acontece quando se adota uma abordagem baseada na convergência entre a entrega da aplicação de IA e sua segurança. Uma única plataforma, abrangendo hardware, software, SaaS, implementações nativas da nuvem e DPUs, oferece suporte às empresas onde quer que as cargas de trabalho de IA sejam executadas. A entrega segura de dados, em escala, em ambientes híbridos é essencial para o sucesso da IA. Os CISOs brasileiros que lutam para elevar a performance e a segurança de seus modelos de IA podem encontrar no novo formato do ADC uma resposta a esses desafios.

Hackers começaram a explorar uma vulnerabilidade crítica no MLflow, plataforma open source utilizada em projetos de inteligência artificial e machine learning, para acessar serviços internos de ambientes em nuvem e tentar roubar credenciais e outros segredos. Uma segunda falha crítica, no software industrial FUXA, também está sendo alvo de varreduras maliciosas. Relatórios independentes da watchTowr e da VulnCheck apontam atividade envolvendo as vulnerabilidades CVE-2026-64849, no MLflow, e CVE-2026-25895, no FUXA. Ambas podem ser exploradas remotamente e sem autenticação. A CVE-2026-64849 possui pontuação CVSS 9,3 e consiste em uma vulnerabilidade Server-Side Request Forgery (SSRF) que afeta versões do MLflow anteriores à 3.15.0. Por meio da falha, um invasor capaz de alcançar o MLflow Tracking Server pode fazer com que o próprio servidor envie requisições HTTP para destinos arbitrários. Isso permite alcançar serviços internos que normalmente não estariam diretamente acessíveis pela internet, incluindo endpoints de metadados utilizados por provedores de nuvem. Segundo a watchTowr, invasores já estão explorando essa capacidade para acessar serviços de metadados e retirar credenciais e segredos de ambientes cloud. A empresa afirma ter detectado varreduras indiscriminadas em busca de instâncias MLflow expostas na internet poucas horas depois de a CVE ser atribuída, em 17 de agosto de 2026. O problema está relacionado aos webhooks do model registry do MLflow. De acordo com Yordan Ganchev, especialista principal de inteligência de ameaças da watchTowr, a vulnerabilidade permite utilizar o sistema afetado como intermediário para enviar requisições e interagir com serviços internos. A falha também consegue contornar correções anteriores devido à maneira como o MLflow processa redirecionamentos web. Dados dos honeypots globais da watchTowr indicam que os invasores estão tentando atingir sistemas MLflow hospedados na nuvem e acessar endereços IP e serviços internos conhecidos em busca de informações sensíveis. Organizações que utilizam MLflow devem priorizar a atualização de sistemas vulneráveis, principalmente quando o Tracking Server estiver acessível pela internet. Também é recomendado revisar logs em busca de indícios de comprometimento e verificar se credenciais ou outros segredos podem ter sido expostos. FUXA também é alvo de varreduras maliciosas A segunda vulnerabilidade, CVE-2026-25895, afeta o FUXA, uma plataforma SCADA/HMI open source baseada na web e utilizada em ambientes de tecnologia operacional (OT) e automação industrial. A falha recebeu pontuação CVSS 9,5 e combina ausência de autenticação em uma função crítica com uma vulnerabilidade de path traversal. O problema afeta as versões do FUXA até a 1.2.9. Um invasor remoto e sem autenticação pode explorar a vulnerabilidade para gravar arquivos arbitrários no sistema de arquivos do servidor, condição que pode levar à execução remota de código (RCE). A VulnCheck começou a observar varreduras maliciosas direcionadas à CVE-2026-25895 em 18 de agosto. Segundo a empresa, um único endereço IP foi detectado realizando buscas em larga escala na internet por instalações vulneráveis do FUXA. Aproximadamente 60 instalações da plataforma estariam diretamente expostas à internet. Caitlin Condon, vice-presidente de pesquisa da VulnCheck, informou que as requisições observadas tentavam explorar o path traversal para sobrescrever o arquivo "main.js" com dados sem utilidade. Até o momento da análise, a empresa não havia observado a implantação de payloads para execução remota de código. O FUXA já foi alvo de exploração de outras vulnerabilidades. No último ano, atividades maliciosas também foram associadas às CVE-2026-25939 e CVE-2023-33831. No caso da CVE-2023-33831, a VulnCheck afirma ter observado exploração desde novembro de 2025, incluindo atividade recente.

Créditos das imagens: Joaz Oliver O avanço da digitalização no Brasil, a maturidade do setor financeiro, a adoção de inteligência artificial e a necessidade de transformar dados técnicos em decisões de negócio colocam o país em uma posição estratégica para o mercado global de cibersegurança. Essa é a avaliação de Sumedh Thakar, presidente e CEO da Qualys, que conversou com exclusividade com a Cyber Security Brazil durante o ROCon LATAM 2026, realizado em São Paulo. A própria Qualys apresenta o encontro como sua conferência voltada a Risk Operations e à redução proativa do risco cibernético. A Cyber Security Brazil foi convidada especial da Qualys para acompanhar e cobrir o evento, que reuniu executivos, especialistas, clientes e parceiros da companhia na América Latina. Durante a cobertura, Thakar reservou espaço em sua agenda para uma entrevista extensa com o portal e recebeu a equipe de forma atenciosa, assim como os profissionais da Qualys envolvidos na organização. Registramos também nosso agradecimento especial a Leandro Roosevelt, Country Manager da Qualys no Brasil, e Eduardo Bergonse Pereira, Regional Vice President para a América Latina, pelo suporte à Cyber Security Brazil durante o evento e pela receptividade ao longo da cobertura. Na entrevista, Thakar falou sobre a transformação da Qualys de uma companhia fortemente associada ao gerenciamento de vulnerabilidades para uma plataforma mais ampla de gestão de risco cibernético, explicou a estratégia por trás do Risk Operations Center (ROC) e do Enterprise TruRisk Management (ETM), analisou a posição do Brasil no cenário internacional e discutiu como a IA deve alterar tanto o ataque quanto a defesa nos próximos anos. Da descoberta de vulnerabilidades à redução efetiva do risco A história da Qualys está diretamente relacionada ao gerenciamento de vulnerabilidades. Segundo Thakar, a empresa esteve entre as pioneiras no uso do modelo SaaS para esse tipo de atividade, em uma época em que a identificação de falhas era uma das principais preocupações das organizações. O mercado, porém, mudou. À medida que o número de vulnerabilidades e descobertas aumentou, as empresas passaram a enfrentar outro problema: encontrar uma vulnerabilidade não significa necessariamente conseguir corrigi-la. Para Thakar, essa diferença entre descoberta e ação levou a Qualys a ampliar seu foco. O executivo explicou que, inicialmente, grande parte da proposta estava relacionada ao scanning e à identificação das vulnerabilidades. Com o passar dos anos, ficou evidente que as organizações acumulavam cada vez mais descobertas que suas equipes não conseguiam corrigir. A consequência foi uma mudança de direção para adicionar mais recursos de priorização, validação e remediação. A lógica é relativamente simples: se uma empresa identifica milhares de vulnerabilidades, mas não consegue determinar quais representam risco real e nem agir rapidamente sobre elas, o volume de informações por si só não representa uma melhoria proporcional da segurança. Essa estratégia aparece em tecnologias recentes da companhia. Uma delas é o InstaScan, alimentado pelo Agent Insta, criado para correlacionar continuamente novos avisos de segurança com inventário, telemetria e informações sobre ameaças já disponíveis, buscando identificar sistemas afetados sem depender exclusivamente do próximo ciclo tradicional de scanning. Outro componente citado pelo CEO é o Agent Val, agente de IA integrado ao Enterprise TruRisk Management que utiliza o TruConfirm para ajudar a verificar se exposições priorizadas são realmente exploráveis. O fluxo inclui validação, definição da ação de mitigação ou correção e uma nova validação para verificar se o caminho de exploração foi efetivamente eliminado. Na visão apresentada por Thakar, a pergunta que as empresas precisam responder deixa de ser simplesmente “quantas vulnerabilidades temos?” e passa a incluir questões como: quais delas podem realmente ser exploradas, quais ativos são relevantes para o negócio e com que velocidade a organização consegue reduzir aquela exposição. Por que a Qualys aposta em um Risk Operations Center Essa mudança também explica a aposta da companhia no conceito de Risk Operations Center, ou ROC. Tradicionalmente, o SOC — Security Operations Center — concentra esforços na identificação e resposta a eventos, alertas, ameaças e incidentes. Para Thakar, existe espaço para uma camada complementar destinada a entender, priorizar e reduzir o risco antes que ele resulte necessariamente em um incidente. Um dos problemas atuais, segundo o executivo, é aquilo que ele descreveu durante a entrevista como uma espécie de “turismo de dashboards”. Uma organização pode ter um painel para identidade, outro para cloud, um terceiro para vulnerabilidades, outros para aplicações, endpoints ou diferentes componentes da infraestrutura. A quantidade de informações aumenta, mas o risco permanece fragmentado. O desafio é estabelecer uma visão capaz de comparar esses riscos. “Qual é o valor do risco?” é a questão que, na visão de Thakar, precisa ganhar espaço no processo de decisão. É nesse ponto que a Qualys posiciona o ROC e o Enterprise TruRisk Management. Em vez de restringir a análise a apenas uma categoria de vulnerabilidade ou tecnologia, a proposta é reunir diferentes fatores de risco e fornecer uma visão consolidada que permita priorizar ações. A companhia também vem incorporando agentes de IA ao modelo. A arquitetura anunciada pela Qualys inclui agentes voltados à priorização de ameaças, estratégias de remediação e execução de tarefas dentro das operações de risco. Para Thakar, a velocidade passa a ser particularmente importante com a adoção de IA. Quanto mais rapidamente novas vulnerabilidades e técnicas podem ser encontradas ou exploradas, menor é a margem para processos defensivos lentos e excessivamente manuais. O objetivo, segundo ele, é permitir que a organização analise rapidamente, decida rapidamente e aja rapidamente. Consolidação não significa depender de um único fabricante Questionado sobre a forte fragmentação do mercado de cibersegurança e sobre uma possível consolidação das ferramentas, Thakar fez uma distinção importante. Ele não acredita que o futuro seja necessariamente um ambiente no qual uma empresa utilizará apenas um fornecedor para todas as necessidades de segurança. A consolidação, segundo o CEO, deve ocorrer principalmente dentro de determinados domínios. No gerenciamento de vulnerabilidades, por exemplo, capacidades que anteriormente poderiam estar separadas — inventário, descoberta, priorização, validação e remediação — começam a funcionar de maneira mais integrada. Quando a discussão passa para gestão de risco, porém, é necessário considerar informações provenientes de diferentes tecnologias e fabricantes. A consolidação que Thakar considera essencial nesse contexto é a da visão do risco, e não obrigatoriamente a eliminação de todas as ferramentas de terceiros. Uma organização pode continuar utilizando diferentes tecnologias para identidade, cloud, endpoint, aplicações e outras áreas, mas precisa ser capaz de reunir esses sinais para entender quais problemas representam maior impacto para o negócio. É justamente nesse ponto que a companhia pretende posicionar o ETM e o ROC: como uma camada capaz de correlacionar diferentes fatores e transformar dados dispersos em decisões de risco. Brasil ganha importância com digitalização da economia Ao falar especificamente sobre o Brasil, Thakar foi enfático ao destacar a crescente importância do país. Na avaliação do executivo, o peso brasileiro no ambiente econômico e financeiro global aumentou, ao mesmo tempo em que o país demonstrou capacidade de utilizar tecnologia de maneira concreta para transformar atividades econômicas. Um dos exemplos citados por ele foi o Pix. Para o CEO da Qualys, sistemas desse tipo mostram como a infraestrutura digital pode facilitar transferências de dinheiro, ampliar o acesso a serviços e alterar a forma como a população interage com a economia. Mas existe uma consequência direta: quanto mais a economia depende de tecnologia, maior é a necessidade de estabelecer confiança nos sistemas que sustentam essas operações. Se usuários deixarem de confiar em uma plataforma de pagamento por receio de fraude ou comprometimento, a própria adoção da tecnologia pode ser afetada. “Como garantir que esses sistemas que estão impulsionando a economia sejam realmente confiáveis?” foi uma das questões levantadas por Thakar durante a conversa. Na avaliação do executivo, a digitalização brasileira também aumenta sua atratividade para hackers. Economias maiores, mais conectadas e dependentes de infraestrutura digital passam naturalmente a oferecer mais oportunidades para ataques com motivação financeira e outras formas de atividade maliciosa. Por esse motivo, ele considera o Brasil um mercado importante não apenas para a Qualys, mas para o setor de segurança de maneira geral. Thakar também destacou os bancos brasileiros, que considera avançados tecnologicamente e fortemente influenciados por exigências regulatórias. “Não acho que o Brasil esteja atrás de nenhuma outra região” Apesar das diferenças existentes entre organizações e setores, o CEO rejeitou a ideia de que o Brasil esteja necessariamente atrás dos Estados Unidos, Europa ou de outros mercados quando o assunto é maturidade em cibersegurança. Segundo ele, as conversas mantidas com organizações brasileiras demonstram um nível elevado de compreensão dos desafios. “Não acho que o Brasil esteja atrás de nenhuma outra região em termos de cibersegurança”, afirmou Thakar durante a entrevista. A diferença de maturidade entre empresas brasileiras também não é, segundo ele, uma característica exclusiva do país. Instituições financeiras e organizações submetidas a uma pressão regulatória maior tendem a apresentar programas mais maduros. Em outras áreas da economia, a segurança disputa orçamento e atenção com as atividades centrais de cada empresa. Essa realidade, na visão do CEO, reforça a necessidade de tratar a segurança como uma disciplina de gerenciamento de risco. Empresas não possuem recursos infinitos e dificilmente conseguem eliminar todas as possibilidades de incidente. A questão passa a ser quanto investir, quais riscos reduzir primeiro e qual nível de exposição a organização considera aceitável. Por isso, Thakar acredita que organizações brasileiras que estão expandindo seus programas de segurança têm uma oportunidade de concentrar menos a discussão exclusivamente em ferramentas e mais nos resultados obtidos. IA deve acelerar os dois lados da disputa Outro ponto central da entrevista foi a inteligência artificial. Perguntado sobre quem deve obter maior vantagem com a tecnologia — atacantes ou defensores — Thakar evitou apontar um vencedor. Para ele, cibersegurança continuará funcionando como um jogo de gato e rato. Hackers possuem incentivos para empregar IA porque precisam encontrar alvos, vulnerabilidades e oportunidades antes de outros atacantes. Na defesa, o raciocínio é semelhante: se os adversários estão automatizando processos com IA, equipes de segurança não podem responder apenas com mecanismos tradicionais e lentos. “Nenhum dos dois lados tem escolha a não ser usar IA”, resumiu o executivo. Thakar também chamou atenção para a velocidade com que o próprio ecossistema de inteligência artificial está mudando. Modelos generativos, sistemas agentivos e diferentes arquiteturas estão avançando rapidamente, e novas aplicações devem continuar surgindo. Para as empresas, o desafio será aproveitar esses recursos sem ignorar questões como disponibilidade e risco operacional. O executivo destacou ainda uma característica histórica da cibersegurança: a falta de profissionais qualificados em quantidade suficiente. Por isso, ele vê um espaço particularmente interessante para automação. A discussão, em sua visão, não deve ficar limitada à substituição de pessoas. A IA pode atuar principalmente em atividades nas quais as equipes já não tinham profissionais suficientes para acompanhar a velocidade e o volume de trabalho necessário. O resultado esperado é uma disputa contínua: atacantes adotam novas capacidades, defensores respondem com tecnologias melhores e o ciclo se repete. IA não significa necessariamente o fim dos empregos Durante a conversa, a discussão sobre IA também avançou para o impacto sobre os empregos. Thakar demonstrou uma visão otimista sobre o tema. Para ele, transformações tecnológicas anteriores eliminaram determinadas tarefas, mas também criaram novas formas de produzir valor. O executivo comparou essa evolução com diferentes saltos tecnológicos ao longo da história: atividades que antes exigiam esforço manual passaram a ser realizadas com novas ferramentas, mas isso não eliminou a capacidade humana de encontrar novas ocupações. Na avaliação dele, a IA deve aumentar o que as pessoas conseguem realizar durante o dia e modificar a natureza de determinadas funções, em vez de simplesmente tornar o trabalho humano desnecessário. Para o mercado de cibersegurança, a própria evolução constante das tecnologias e das ameaças deve continuar demandando pessoas capazes de entender problemas, tomar decisões e administrar risco. O conselho não quer saber apenas quantas CVEs existem Um dos pontos mais relevantes da entrevista surgiu quando a conversa se voltou para a comunicação entre CISOs e os conselhos de administração. Hoje, líderes de segurança possuem uma quantidade enorme de informações: vulnerabilidades, CVEs, alertas, inteligência de ameaças, dashboards, incidentes e indicadores produzidos por dezenas de ferramentas. Para Thakar, porém, quantidade de dados não significa necessariamente capacidade de comunicação com o negócio. O papel do CISO, segundo ele, é funcionar como uma ponte entre segurança e negócio. E existe uma linguagem que a administração entende com facilidade: impacto financeiro. Um servidor crítico pode ter determinada vulnerabilidade, por exemplo, mas a relevância daquele problema para a direção depende das consequências de um eventual comprometimento. Se uma indisponibilidade ou destruição daquele sistema puder gerar uma perda de milhões de dólares, a discussão muda completamente. A pergunta para o conselho deixa de ser apenas “quantas vulnerabilidades críticas ainda estão abertas?” e passa a ser “qual é a perda potencial associada ao risco que estamos assumindo?”. Depois disso surge uma segunda pergunta: a organização está gastando uma quantidade adequada de recursos para manter essa perda potencial dentro de seu apetite de risco? Nenhum CISO, segundo Thakar, pode garantir risco zero. O objetivo é demonstrar que a companhia compreende sua exposição, conhece as possíveis consequências e consegue mostrar se o risco residual está ou não dentro de um nível considerado aceitável. “O conselho não se importa com a CVE ou com a vulnerabilidade”, disse o executivo ao explicar que a preocupação da administração está no impacto que aquele problema pode causar ao negócio. Essa visão também está no centro da estratégia da Qualys para o ROC e o ETM. A intenção é transformar resultados técnicos — descobertas, ativos, vulnerabilidades e correções — em uma representação que permita aos executivos acompanhar a redução de risco de forma mais próxima à linguagem de negócio. O que a cibersegurança poderá ser daqui a cinco anos Quando questionado sobre o que espera encontrar se uma nova entrevista acontecer daqui a cinco anos, Thakar evitou fazer previsões sobre tecnologias específicas. Para ele, é praticamente impossível saber qual inovação dominará o mercado nesse período. Há, entretanto, algo que considera previsível: as organizações continuarão utilizando tecnologia digital. Enquanto isso acontecer, existirão pessoas tentando atacar esses sistemas. Novas tecnologias também introduzirão novos riscos, enquanto as empresas continuarão convivendo com sistemas antigos e riscos acumulados. Por isso, Thakar acredita que uma das perguntas fundamentais da cibersegurança permanecerá a mesma: quanto risco determinada tecnologia adiciona ao negócio e quanto a organização deve investir para reduzi-lo? O executivo exemplificou a lógica de forma financeira: se uma nova tecnologia acrescenta US$ 10 milhões de exposição potencial, a companhia precisa avaliar quanto faz sentido investir para diminuir aquele risco. É justamente por essa razão que ele defende uma abordagem de Risk Operations não limitada a uma tecnologia específica. Se, daqui a cinco anos, grande parte das operações empresariais estiver baseada em inteligência artificial, uma parcela maior do risco poderá estar ligada à IA. Isso não significa, entretanto, que vulnerabilidades de infraestrutura, aplicações, identidades, endpoints e tecnologias legadas desaparecerão. O objetivo de uma camada centralizada de gerenciamento seria incorporar esses novos fatores à mesma equação de risco e permitir que a empresa determine continuamente quais deles merecem prioridade. De engenheiro a CEO: “você continua tendo as mesmas 24 horas” A parte final da entrevista deixou a tecnologia em segundo plano e abordou a trajetória pessoal do executivo. Thakar entrou na Qualys em 2003, inicialmente na área de engenharia, e passou por diferentes posições de liderança antes de chegar à presidência e ao cargo de CEO. A informação oficial da companhia confirma sua entrada em 2003; esse ponto aparece incorretamente como “2023” em um trecho da transcrição automática da entrevista. Segundo o executivo, no início da carreira seu foco era semelhante ao de muitos engenheiros: escrever código, cumprir suas responsabilidades e voltar para casa. Cibersegurança ainda não possuía para ele o significado que adquiriria posteriormente. A mudança veio a partir de uma experiência familiar. Seus pais vivem na Índia, outro país com população numerosa e forte processo de transformação digital. Em determinado momento, seu pai resistia a utilizar serviços bancários online por receio de ter a senha roubada. Para Thakar, aquela preocupação tornou evidente a importância que a segurança teria em um futuro no qual cada vez mais atividades dependeriam de sistemas digitais. A percepção o levou a se aprofundar no setor. Já sobre a evolução de engenheiro para CEO, Thakar destacou uma limitação que permanece exatamente igual independentemente do cargo ocupado: ninguém recebe mais horas no dia. Um engenheiro possui 24 horas. Um CEO também. Portanto, chega um momento em que trabalhar mais horas deixa de ser uma estratégia de crescimento sustentável. Segundo Thakar, a diferença passa a estar na capacidade de construir uma equipe. Um profissional pode aumentar suas responsabilidades em dez, cem ou até mais vezes, mas não pode multiplicar seu próprio tempo na mesma proporção. A capacidade de produzir resultados em escala passa, portanto, a ser diretamente proporcional à qualidade das pessoas ao redor do líder. A principal lição de liderança que ele destacou foi justamente essa: formar uma equipe forte e trazer pessoas capazes de ser melhores do que o próprio líder em suas respectivas áreas. O que ainda surpreende Thakar depois de duas décadas no setor Mesmo após mais de duas décadas de experiência na Qualys, uma característica da indústria ainda chama a atenção do executivo: a dificuldade de muitos líderes em relacionar cibersegurança diretamente ao negócio. Na avaliação de Thakar, parte dos profissionais continua excessivamente concentrada nos aspectos técnicos. Tecnologia é indispensável, mas, para ele, cibersegurança existe dentro de uma empresa principalmente para reduzir a possibilidade de perdas provocadas por riscos digitais. Essa visão também ajuda a explicar por que o ROC ganhou uma posição central na estratégia que ele pretende desenvolver. Independentemente de qual seja a próxima tecnologia ou a próxima categoria de risco, o executivo defende uma equação que permita relacionar investimento e redução de exposição. Em outras palavras: se a empresa investir determinado valor, precisa entender quanto risco efetivamente conseguiu retirar do negócio. É essa mudança de uma segurança baseada predominantemente em achados técnicos para uma disciplina orientada a resultados mensuráveis de risco que Thakar considera uma das transformações mais importantes ainda em andamento no setor. Comunicação também é uma ferramenta de liderança A última pergunta trouxe uma recomendação fora da área técnica. Questionado sobre um livro que indicaria para profissionais, Thakar escolheu “Comunicação Não Violenta”, obra de Marshall Rosenberg. A justificativa está relacionada a liderança. Para o executivo, clareza mental e capacidade de comunicação são importantes independentemente da tecnologia ou função profissional. Uma das ideias que ele destacou do livro é aprender a interpretar a intenção e o significado por trás do que uma pessoa diz, em vez de reagir apenas às palavras utilizadas. Essa habilidade se torna ainda mais importante em situações difíceis. Na visão do CEO, liderança depende de pessoas e, consequentemente, depende da capacidade de comunicar objetivos, problemas e decisões com clareza. A recomendação encerrou uma conversa que começou falando sobre vulnerabilidades, inteligência artificial e plataformas de segurança, mas terminou justamente no componente humano. Entre a tecnologia atual e aquela que ainda será criada, a visão apresentada por Thakar permanece centrada em uma questão: cibersegurança precisa ser capaz de demonstrar qual risco existe para o negócio, decidir qual risco realmente merece prioridade e provar que as ações realizadas conseguiram reduzi-lo.