O paradoxo da priorização
Todas as manhãs, a visão de um painel de segurança parece, em grande parte, a mesma. É uma parede de texto vermelho: centenas de descobertas de vulnerabilidades, dezenas de anomalias de IAM, desvios do Terraform e um fluxo implacável de alertas provenientes de scanners, registros e pipelines.
A maioria desses sinais é importante. Alguns deles importam muito. Além disso, alguns casos são tão urgentes que a liderança de engenharia já deveria ter sido informada sobre eles dez minutos antes.
Mas aqui está a lacuna: nosso problema não é mais a visibilidade. É a priorização.
Temos dados demais e pouco tempo para convertê-los em decisões. No momento, uma visão real de "Qual é a nossa postura de segurança hoje?" está escondida em 15 fontes diferentes, desde verificações do Trivy e registros da Okta até padrões de acesso do CloudTrail e checklists de conformidade.
O resultado? A liderança não consegue ter clareza e as equipes de engenharia não têm acesso a tarefas devidamente priorizadas. SREs como nós passam muito tempo resumindo dados em vez de realmente criar soluções de engenharia.
Para um hackathon interno recente, tentamos resolver isso fazendo uma pergunta simples: a IA é capaz de pegar todo esse ruído e transformá-lo em uma narrativa breve e concisa?
O conceito: um resumo diário de segurança
Não tínhamos a intenção de criar mais um painel. Ninguém quer mais um painel.
Queríamos criar uma narrativa de uma página que um executivo pudesse ler em 30 segundos enquanto caminha para uma reunião, mas que ainda fornecesse aos engenheiros as evidências, os sinais brutos e a responsabilidade necessária para corrigir os problemas.
Criamos um protótipo que combina nossos sinais de segurança existentes, uma camada simplificada de pontuação baseada em lógica e um resumo de IA (usando RAG) para produzir um "Resumo diário de segurança".
Um executivo vê exatamente o seguinte:
Resumo diário de segurança — 7 de novembro de 2025 Postura geral: Moderada (⬆ tendência de alta)
3 ações principais
1. Revogar o acesso público no bucket S3 customer-export-backup. As evidências mostram requisições GET externas de IPs desconhecidos. (Confiança: alta)
2. Corrigir auth-api para resolver o CVE-2024-XXXX. Prova de conceito pública disponível. (Confiança: alta)
3. Investigar dois logins incomuns no console de administração. Atividade detectada em uma nova localização ou dispositivo. (Confiança: média)
Contexto e narrativa "A maioria das descobertas de hoje é rotineira, mas dois itens elevam o risco geral: um bucket S3 público contendo exportações sensíveis e uma vulnerabilidade crítica no OpenSSL com tentativas de exploração ativas relatadas. Em conjunto com atividades anormais de administradores de IAM, recomendamos que eles sejam resolvidos dentro das próximas 48 horas."
A arquitetura "sem magia"
Para conseguir isso, desenvolvemos um pipeline de quatro etapas que transforma dados brutos em uma narrativa refinada. Tivemos o cuidado de não exagerar no projeto.
Etapa 1: ingerir e normalizar Agregamos saídas de todos os nossos scanners e registros (Trivy, Tenable, CloudTrail etc.) e as convertemos em um esquema JSON único e normalizado. Isso garante que uma vulnerabilidade em um contêiner e um desvio no Terraform falem a mesma língua.
Etapa 2: priorizar e pontuar (sem IA) Evitamos intencionalmente o uso de aprendizado de máquina de "caixa-preta" na camada de pontuação. Em vez disso, usamos uma pontuação prática, baseada em lógica (0–100), com base em fatores de risco.
- Bucket público + tag PII? Alto risco.
- CVSS 9.0 + sistema voltado para a internet? Crítico.
- Houve algum desvio em um módulo crítico do Terraform? Dê prioridade.
Essa filtragem garante que a IA se concentre apenas em itens que realmente importam.
Etapa 3: recuperar o contexto (a camada RAG) Para os principais itens de alto risco, a pesquisa vetorial é usada para recuperar o contexto. Realizamos consultas em nosso banco de dados vetorial para identificar incidentes semelhantes anteriores, runbooks relevantes, diferenças de PR e metadados do proprietário do ativo. Isso fornece a "memória" de que o sistema precisa para entender se uma anomalia é realmente nova ou apenas um falso positivo recorrente.
Etapa 4: resumo de IA com barreiras de proteção Por fim, inserimos os principais itens e o contexto recuperado em um LLM. Usamos prompts rigorosos para evitar alucinações, instruindo o modelo da seguinte forma: "Resuma as evidências abaixo em 3 ou 4 frases claras para um público executivo. Não invente nenhum fato. Use apenas as evidências fornecidas."
O que a IA realmente faz aqui
Durante esse experimento, descobrimos algo surpreendente: a IA não é necessariamente boa em "encontrar problemas". Nossos scanners fazem isso muito bem.
A IA é ótima em compactar contexto.
A magia não está na detecção; está no resumo e na narrativa. A IA ajuda a responder:
- O que mudou recentemente?
- Quais são as 3 coisas que importam hoje?
- Quem deve agir?
Essa é a parte em que os seres humanos perdem horas — e a parte que a IA executa com perfeição.
Lições do experimento
1. 70% das descobertas são ruído
Ao forçar um modelo de priorização estrita, descobrimos que a grande maioria das descobertas diárias não importa neste momento. Elas não são necessariamente seguras, mas não podem ser consideradas acionáveis hoje. A IA ajuda a identificar as mudanças específicas que exigem atenção imediata.
2. Os executivos preferem narrativas a métricas
Métricas não são sinônimo de compreensão. A liderança prefere uma narrativa que explique "Isso é importante porque..." e "Isso impacta os clientes..." em vez de um gráfico que mostre "500 vulnerabilidades altas". O formato narrativo alinha segurança, SRE e a liderança instantaneamente.
3. Os engenheiros precisam do "apêndice"
Enquanto os executivos recebem o resumo, o sistema gera um apêndice detalhado para os engenheiros, contendo resultados brutos de varredura, registros do CloudTrail, diferenças e runbooks vinculados. Quando perceberam que a IA fornecia os pacotes de evidências e as diferenças automaticamente, os engenheiros entenderam que a ferramenta não os estava substituindo—ela estava realizando o trabalho pesado de que eles não gostavam.
O veredito
Esse sistema não substitui o julgamento humano. A IA não pode decidir sobre o risco empresarial, aprovar correções de emergência ou compreender as nuances organizacionais. Ela atua como um "analista júnior" que redige o primeiro rascunho e apresenta os problemas certos às pessoas certas.
Aplicando uma IA prática com fortes mecanismos de controle, transformamos dados operacionais complexos em um sistema que economiza horas de trabalho manual todas as semanas.
Conclusão
A segurança moderna não é um problema de visibilidade, mas sim de priorização. Não precisamos de mais painéis; precisamos de mais clareza. Ao construir um pipeline alimentado por IA para processar sinais e produzir um resultado, podemos deixar de nos perder no excesso de informações e começar a focar em ações concretas.
