Por Rob Gurzeev
16 de junho de 2026
Ao longo dos últimos meses, notei uma mudança nas conversas com clientes. Cobertura, priorização, ameaças emergentes, essas questões deram lugar a servidores MCP expostos, chatbots de IA não gerenciados e riscos que não aparecem como CVEs. O Mythos surge em uma a cada duas ligações.
O cálculo mudou. A IA agora escreve um quarto do código de produção, com o dobro de vulnerabilidades. A janela de exploração encolheu de dias para horas. E enquanto todos falam do Mythos, os modelos já em uso conseguem encontrar zero-days por algumas centenas de dólares em tokens.
A CyCognito tem pensado nisso por duas frentes:
- Expandindo a cobertura de ativos de IA: com base em nosso lançamento de descoberta de servidores MCP, a plataforma agora detecta muito mais da stack de IA, incluindo n8n, Ollama, MLflow, PyTorch, Triton e mais. São mais de 60 modelos de detecção em produção, e crescendo.
- Pentest contínuo com IA: uma nova capacidade que simula um atacante impulsionado por IA, que vou apresentar a você neste post.
Testado em campo. Provas primeiro.
A melhor maneira de ter uma noção de nossas novas capacidades de pentest com IA é olhar para o que elas já revelaram. Os exemplos que escolhi aqui abrangem diferentes tipos de ativos e técnicas, mas compartilham um tema comum: riscos que nenhuma varredura de CVE revelaria, específicos do ambiente e do negócio.
Aqui vamos nós.
1. Todos os registros de CRM, à mostra
Uma grande empresa tinha um servidor MCP acessível externamente, expondo uma interface de linguagem natural não autenticada para seu ambiente de produção.
Um prompt-injection simulado provocou respostas de erro verbosas, e essas divulgaram detalhes internos sobre o backend. Isso revelou o CRM por trás do servidor e as chamadas necessárias para alcançá-lo.
A partir daí, vários milhões de linhas de dados de conta, oportunidade e financeiros por item ficaram consultáveis por meio de um punhado de requisições HTTP POST. Nenhuma credencial necessária.
Do ponto de vista da gestão de exposição, isso é um lembrete do risco que um servidor MCP exposto pode representar. Dependendo de como foi configurado, ele pode atuar como um caminho privilegiado para um sistema de backend crítico, muitas vezes implantado fora dos fluxos de trabalho de segurança e sem autenticação suficiente.
2. Dados sensíveis por trás de um índice RAG exposto
Uma organização tinha uma stack de agentes CrewAI na internet pública. Uma camada de segurança foi adicionada, mas a autenticação era aplicada apenas na própria API do agente, não na base de conhecimento da qual ele estava lendo. Como resultado, o repositório que continha os documentos de origem do agente ficou legível por meio de requisições anônimas.
Isso expôs o índice RAG, que contém tudo aquilo que uma organização fornece ao agente para consulta: dados de clientes, comunicações internas, contratos e conhecimento operacional. Qualquer coisa que o agente precise para fazer seu trabalho, tudo isso acessível a qualquer pessoa com uma conexão à internet.
3. Acesso fácil ao sistema de segurança de um prédio
Em outra organização, um sistema de segurança física que controlava fechaduras de portas, leitores de cartão e CCTV foi descoberto na internet pública.
O sistema foi implantado ao lado das ferramentas de análise de documentos por IA e do chatbot voltado para clientes da organização, na mesma superfície e com a mesma falta de segmentação.
Os processos de revisão que deixaram passar as implantações de IA também deixaram passar o sistema de acesso físico.
Como funciona
Acho que os exemplos acima pintam um quadro bastante claro. Descobertas como essas não vêm de varredura de CVE. Elas exigem especialistas de segurança (neste caso, agentes), habilidosos o suficiente para identificar fraquezas negligenciadas e executar testes de múltiplas etapas, aplicando raciocínio e contexto profundo.
Tome o exemplo do CRM exposto acima. O primeiro passo foi fazer o fingerprint de um servidor MCP exposto e associá-lo à organização. O próximo foi enumerar o catálogo de ferramentas, que revelou que as ferramentas estavam conectadas ao servidor MCP. A partir daí, uma sequência de chamadas em linguagem natural percorreu o modelo de dados e extraiu o conjunto de dados completo, validando a exposição dos dados e a ausência de autenticação.
Para executar uma cadeia de ataque como essa, você precisa saber quais fios puxar, e saber por onde esses fios podem estar passando.
Os pentesters de IA que foi construído permite fazer exatamente isso: em escala, com velocidade e em múltiplos ambientes em paralelo.
Deixe-me guiá-lo por como funciona.
Começa com expertise. Por oito anos, a Cycognito descobriu fraquezas em alguns dos ambientes corporativos mais complexos. Fabricantes com pegadas físicas e digitais entrelaçadas. Multinacionais adquirindo mais empresas do que o time de TI consegue rastrear. Empresas da Fortune 500 com um século de existência, com a dificuldade de TI que isso acarreta.
Aprendemos muito, e esse conhecimento foi sendo gradualmente incorporado à plataforma, em seus três módulos centrais:
- Exposure Assessment: que mapeia a pegada externa, atribui cada ativo à parte certa da organização e o enriquece com contexto de negócio e de stack.
- Exposure Validation: que executa mais de 100.000 testes determinísticos continuamente, deixando os pentesters de IA livres para focar em trabalho de alto julgamento.
- Threat Intelligence: que se conecta ao histórico de vulnerabilidades existentes e emergentes, bem como a playbooks e modelos estatísticos, treinados em engajamentos passados para entender e prever as atividades dos atacantes.
Os três agora se tornam a camada fundamental para o pentest contínuo com IA, produzindo insumos que alimentam o Target Graph™: uma camada de orquestração contextual que reavalia constantemente a matriz de ameaças e a superfície exposta.
O Target Graph™ é o fator X que coloca o contexto e o know-how para trabalhar. Desempenhando o papel de orquestrador, ele informa onde o pentest com IA deve rodar, em qual profundidade e com quais técnicas, melhorando a eficiência de cada execução e a qualidade das descobertas.
Mais importante, ao conduzir essas decisões, o Target Graph™ torna possível rodar continuamente por toda a superfície.
Atentando para a lacuna de 99%
A cobertura contínua importa porque aborda um dos maiores desafios do pentest hoje. O teste manual é pontual por concepção, e agora estamos vendo o teste com IA entregue da mesma forma, como um serviço sob demanda. Isso deixa sobre a mesa as vantagens fundamentais da automação: aumentar a velocidade, mas não fazer nada pela escala.
O problema aí se resume à economia: o alto custo de tokens força fornecedores e clientes a aplicarem os testers de IA seletivamente, tipicamente apenas no 1% dos ativos de maior prioridade. Enquanto isso, como os exemplos acima mostram, muitos riscos críticos vivem fora das aplicações principais, nos 99% que são ignorados.
O Target Graph™ é como mudamos essa dinâmica. Ao recorrer ao layout contextual da superfície, e considerando o que a validação determinística já encontrou, é permitido que o pentest com IA trabalhe de forma eficiente e contínua, deslocando de forma flexível a profundidade e as técnicas de teste, aumentando drasticamente a cadência e o escopo da cobertura.
Além disso, o mesmo fluxo de dados de exposição também mantém o sistema atualizado, fornecendo os insumos frescos de que ele precisa para permanecer responsivo a mudanças em nível de ativo e de superfície, ameaças emergentes e sinais da atividade de atacantes no mundo real.
E por mais eficaz que isso pareça (e é), fica muito melhor porque todo o modelo também foi construído para se autoaperfeiçoar. O como é simples. Cada nova cadeia de ataque validada, revelada pela IA, é codificada em novos testes determinísticos. Por sua vez, cada novo teste determinístico que introduzimos libera capacidade de IA em execuções futuras.
O pipeline já executa agentes especializados para cada tipo de ativo exposto que a CyCognito cobre: aplicações web e APIs, endpoints de IA e LLM, nuvem, VPNs, sistemas OT/IT, etc. Cada um produzindo descobertas valiosas com evidências completas, funcionando sempre ativo, por toda a superfície externa.
O que vem a seguir
O trabalho está avançando rápido, saindo do laboratório e entrando em ambientes reais. Esta é a parte que mais me energiza: a reação quando colocamos essa nova capacidade diante de nossos clientes. O interesse foi imediato, e as organizações que estão levantando a mão para se juntar a nós como design partners são nomes que muitos de vocês conheceriam.
Internamente, estamos batizando este projeto com o codinome ‘Kineto’, em homenagem ao Kinetograph, a primeira câmera de cinema que deu ao mundo o cinema, transformando instantâneos estáticos em movimento contínuo.
Isso ecoa nossa visão para o pentest com IA: sair de um instantâneo estático para um quadro dinâmico, rodando continuamente por toda a sua superfície de ataque.
Essas são todas as atualizações que tenho para vocês hoje, mas planejamos continuar compartilhando nosso progresso, para mantê-los em sintonia com nosso trabalho. Para entender melhor como proteger sua superfície de ataque, marque uma reunião em cybergate.solutions.