Tecnologia

O Single Sign-On (SSO) facilita o acesso a múltiplos sistemas com um único conjunto de credenciais, mas também concentra riscos, como demonstrado pelo ataque à Universidade da Pensilvânia em 2025, que comprometeu dados de 1,2 milhão de indivíduos. Embora o SSO não seja intrinsecamente inseguro, sua eficácia depende de uma configuração e proteção adequadas. Para garantir a segurança, é essencial implementar senhas fortes, com recomendações do NIST sugerindo pelo menos 15 caracteres para senhas únicas e 8 caracteres para senhas em conjunto com autenticação multifator (MFA). Além disso, a MFA deve ser aplicada de forma consistente em todos os usuários e aplicações, utilizando métodos mais seguros, como chaves de segurança FIDO2. A proteção de ativos por trás do SSO, como contas de administrador e certificados de assinatura, é crucial para evitar abusos. Apesar dos riscos, o SSO oferece benefícios significativos, como a centralização da gestão de autenticação e a redução do número de senhas a serem gerenciadas, facilitando o acesso a recursos críticos e melhorando a conformidade regulatória.

A Microsoft anunciou o lançamento de um novo modelo de cibersegurança, o MAI-Cyber-1-Flash, dentro do sistema MDASH, que visa a identificação e remediação de vulnerabilidades. Este modelo, que utiliza as tecnologias MAI-Cyber-1-Flash e GPT-5.4, obteve uma pontuação de 95,95% no teste CyberGym, que avalia a capacidade de reproduzir vulnerabilidades conhecidas. A empresa afirma que a nova configuração reduz os custos em 50% em comparação com a combinação anterior de modelos MDASH. O MAI-Cyber-1-Flash é projetado para lidar com até 90% das tarefas do MDASH, enquanto o GPT-5.4 é reservado para os 10% mais complexos. No entanto, a pontuação de 95,95% não foi listada no ranking público do CyberGym, levantando questões sobre a transparência dos resultados. O modelo é uma versão ajustada do MAI-Code-1-Flash e possui 137 bilhões de parâmetros, sendo uma mistura esparsa de especialistas. A Microsoft também destacou que todos os testes foram realizados em um ambiente isolado, sem acesso à internet ou sistemas de produção, e que o uso de texto e código gerados deve ser revisado antes de qualquer aplicação prática. Este lançamento é parte do Projeto Perception, que visa coordenar agentes de segurança defensiva e será disponibilizado em uma prévia pública em 3 de agosto.

A NVIDIA, junto com 36 outras organizações, formou a Open Secure AI Alliance com o objetivo de desenvolver e compartilhar tecnologias abertas para a segurança de software e agentes de inteligência artificial (IA). O grupo inclui grandes nomes como Microsoft, Cisco e IBM, e abrange diversas áreas, como nuvem e segurança. A aliança visa garantir que os defensores cibernéticos tenham acesso a modelos de IA que possam ser lidos, alterados e executados em seu próprio hardware, em vez de depender de sistemas fechados. A primeira contribuição técnica da aliança é o NOOA (NVIDIA-labs OO Agents), um framework de pesquisa que facilita o teste e a governança do comportamento de agentes. No entanto, a configuração do NOOA pode apresentar riscos, pois permite a execução de código Python gerado por modelos de linguagem, o que pode levar à transmissão de dados privados ou à modificação do ambiente. A aliança foi motivada por um incidente recente na Hugging Face, onde um sistema de agente autônomo comprometeu a infraestrutura da empresa. A Hugging Face destacou a importância de ter um modelo de IA capaz de operar em sua própria infraestrutura antes de um incidente de segurança. Apesar da criação da aliança, ainda não há um manual de operação público ou um cronograma claro para as contribuições dos membros.

O uso crescente de agentes de inteligência artificial (IA) em plataformas como Salesforce e Microsoft Copilot está criando um desafio significativo para equipes de TI e segurança. Esses agentes, que operam com permissões persistentes e podem acessar sistemas corporativos, são frequentemente criados sem a supervisão adequada, resultando em riscos de segurança. Um estudo indica que 48% dos profissionais de cibersegurança consideram esses agentes como a principal vetor de ataque para 2026. Além disso, 80% das organizações já enfrentaram riscos associados a agentes de IA, enquanto apenas 21% dos líderes de TI possuem um programa de governança maduro para gerenciar esses riscos. A Nudge Security oferece uma solução para esse problema, permitindo a descoberta e governança de agentes de IA, tanto em plataformas que expõem APIs quanto em aquelas que não o fazem. Através de métodos de descoberta baseados em API e extensões de navegador, a Nudge Security ajuda as empresas a manterem visibilidade e controle sobre os agentes criados, garantindo que as permissões e acessos sejam geridos adequadamente. Essa abordagem proativa é essencial para mitigar riscos e garantir a segurança das informações corporativas.

O GitHub anunciou uma nova funcionalidade de cooldown para o Dependabot, que agora aguardará pelo menos três dias após o lançamento de uma nova versão antes de abrir um pull request. Essa configuração, que pode ser ajustada no arquivo dependabot.yml, visa mitigar os riscos de ataques à cadeia de suprimentos de software, especialmente em casos onde versões maliciosas de pacotes são rapidamente adotadas por projetos downstream. Embora as atualizações de segurança continuem a ser enviadas imediatamente, a ideia é evitar que versões comprometidas sejam utilizadas antes que sejam removidas do registro. O GitHub considera que o período de três dias é ideal, pois ultrapassa a janela de tempo em que a maioria dos ataques ocorre, sem atrasar desnecessariamente as atualizações de dependências. No entanto, a plataforma ressalta que essa medida deve ser uma camada de defesa entre outras práticas recomendadas, como o uso de lockfiles e a revisão de atualizações antes da fusão. Medidas semelhantes foram adotadas em outros ecossistemas de pacotes, como o PyPI, que também implementou restrições para evitar a adição de novos arquivos a lançamentos antigos. Essa atualização é um passo importante na proteção contra ataques à cadeia de suprimentos, que têm se tornado cada vez mais comuns e sofisticados.

O artigo da TechRadar apresenta uma análise detalhada dos melhores gerenciadores de senhas disponíveis em 2026, destacando a importância de senhas fortes na proteção de contas contra hackers. Os gerenciadores de senhas são ferramentas essenciais que armazenam credenciais de login de forma segura e ajudam na geração de senhas complexas. O texto revisa mais de 30 opções, reduzindo a lista a 10 recomendações, avaliadas com base em segurança, facilidade de uso, custo-benefício e recursos adicionais. O NordPass é destacado como a melhor opção geral, oferecendo uma aplicação acessível e repleta de ferramentas. Outras opções notáveis incluem RoboForm, ideal para dispositivos móveis, e Keeper, que se destaca pelo compartilhamento e sincronização. Para famílias, o 1Password é recomendado, enquanto o Bitwarden se destaca como a melhor opção gratuita. O artigo também menciona a importância de alertas sobre senhas fracas e a verificação de dados pessoais vazados na dark web, ressaltando a necessidade de um gerenciador confiável para a segurança digital.

A SkyFall, fabricante ucraniana de drones, apresentou o P1-SUN Jetkiller, um interceptor atualizado projetado para combater drones de ataque Shahed, que agora possuem motores a jato. Com uma velocidade máxima de 370 km/h, o Jetkiller é uma resposta à crescente ameaça representada por esses drones, que podem alcançar até 500 km/h. Desde sua introdução, o modelo original P1-SUN já destruiu mais de 5.500 drones russos. O desenvolvimento do Jetkiller começou três meses antes de sua estreia no Farnborough International Airshow, onde demonstrou sua eficácia ao derrubar vários drones Shahed durante testes de combate. A produção em série do Jetkiller está prevista para começar em agosto de 2026, com uma capacidade de até 50.000 interceptores por mês. A competição no setor de interceptores está aumentando, com outras empresas, como a General Cherry e a Firebolt Engineering, também desenvolvendo modelos mais rápidos. A rápida evolução dos drones de ataque e a necessidade de interceptores mais ágeis refletem a pressão crescente sobre as defesas aéreas ucranianas.

Vint Cerf, um dos arquitetos da internet moderna e ex-evangelista do Google, fez uma declaração impactante sobre a privacidade durante uma sessão de perguntas e respostas em um workshop da Comissão Federal de Comércio dos EUA. Ele afirmou que a privacidade pode ser considerada uma anomalia, surgindo como um conceito relativamente recente na história da humanidade, especialmente após a Revolução Industrial. Cerf argumenta que a tecnologia avançou mais rapidamente do que nossa capacidade social de lidar com questões de privacidade, tornando cada vez mais difícil alcançá-la em um mundo onde as interações sociais são amplificadas por grandes centros urbanos e pela tecnologia. Ele sugere que, historicamente, as pessoas viviam em comunidades menores, onde a privacidade era menos relevante, pois todos conheciam a vida uns dos outros. Essa reflexão levanta questões sobre como as empresas de tecnologia, como o Google, utilizam dados pessoais para fins comerciais, muitas vezes em detrimento da privacidade do usuário. A discussão sobre privacidade se torna ainda mais pertinente em um contexto de crescente vigilância governamental e uso de dados pessoais por grandes corporações.

GitHub e PyPI (Python Package Index) introduziram um mecanismo baseado em tempo no Dependabot, ferramenta de gerenciamento de dependências, para proteger contra ataques à cadeia de suprimentos. O Dependabot agora possui um período de espera padrão de três dias, enquanto o PyPI rejeitará novos arquivos enviados para lançamentos com mais de 14 dias. Essas medidas foram implementadas após uma série de ataques de alto perfil, como os ataques ‘chalk’ e ‘debug’, e visam mitigar o risco de adoção automática de pacotes maliciosos recém-publicados. O Dependabot, que notifica os mantenedores sobre atualizações de pacotes, agora aguarda 72 horas antes de processar atualizações, permitindo que mantenedores e ferramentas de segurança identifiquem pacotes maliciosos antes que sejam incorporados. O PyPI, por sua vez, bloqueia a adição de novos arquivos a lançamentos antigos, prevenindo a contaminação de versões confiáveis. Embora não haja registros de ataques anteriores utilizando essa técnica de contaminação, a plataforma age de forma preventiva para evitar possíveis riscos futuros.

A Ucrânia lançou o drone interceptor Tsyklop, inspirado no falcão-peregrino, que realiza ataques suicidas em drones inimigos através de um mergulho assistido pela gravidade. Este veículo aéreo não tripulado (VANT) é projetado para combater drones de reconhecimento e ataques, como os drones Shahed, e possui duas variantes operacionais. O Tsyklop pode operar acima do teto de voo de muitos UAVs russos, com uma envergadura de pouco mais de um metro e autonomia de voo de até 1,5 horas. A versão V2 do Tsyklop já destruiu mais de 100 alvos aéreos, incluindo drones russos, e se destaca por sua capacidade de interceptação em alta velocidade. A introdução do Tsyklop faz parte de um esforço mais amplo da Ucrânia para expandir a produção de drones e desenvolver novas tecnologias para enfrentar as ameaças aéreas russas, com planos de fabricar entre 10 e 30 milhões de drones anualmente. O Ministério da Defesa da Ucrânia formalizou o uso do Tsyklop após anos de testes em combate, destacando sua eficácia em missões de defesa.

O ChatGPT está passando por uma interrupção significativa, afetando usuários em todo o mundo, incluindo os Estados Unidos e a Europa. O problema começou por volta das 5h ET e impede que os usuários carreguem conversas anteriores, resultando em animações de carregamento travadas e erros de ‘muitas solicitações simultâneas’ ao tentar enviar mensagens. Além do ChatGPT, a plataforma de codificação Codex da OpenAI também está enfrentando dificuldades. A OpenAI reconheceu a situação em sua página de status e informou que está investigando o problema. Embora a empresa tenha aplicado uma correção e esteja monitorando a situação, os testes ainda mostram que os problemas persistem. A interrupção também afeta a API da OpenAI, com até 12 endpoints listados como problemáticos. A situação continua em desenvolvimento, e a empresa está trabalhando para resolver as falhas o mais rápido possível.

A Microsoft confirmou que uma falha em seu sistema de manutenção automatizada de rede provocou uma interrupção massiva em seus serviços, incluindo Azure e Microsoft 365, na quinta-feira, 23 de julho. O problema começou às 10h44 ET e afetou principalmente clientes que acessavam os serviços da Microsoft através da infraestrutura conectada à região Azure Oeste dos EUA. A Downdetector registrou 2.403 relatos de interrupção, com o SharePoint sendo o mais afetado, representando 78% das queixas. Os serviços impactados incluíram OneDrive, SharePoint Online, Microsoft Teams e Power Automate, entre outros. A Microsoft identificou que uma mudança recente na rede, que deveria isolar caminhos específicos, resultou na remoção indevida de rotas IP de mais dispositivos do que o planejado. Embora a empresa tenha tentado mitigar a situação redirecionando o tráfego, a recuperação total dos serviços só foi alcançada por volta das 15h41 ET. A Microsoft está agora realizando uma revisão interna para melhorar seus processos de manutenção e segurança.

A segurança de agentes de inteligência artificial (IA) está passando por uma curva de maturidade que envolve adoção, visibilidade e controle. Um dos principais desafios identificados é a aplicação do princípio do menor privilégio, que se mostra mais complexo do que se imaginava. A descoberta de agentes de IA em diversas plataformas, como SaaS e ferramentas de produtividade, é apenas o primeiro passo. No entanto, a visibilidade sozinha não é suficiente, pois esses agentes operam de forma autônoma, tomando decisões e acessando dados sem supervisão humana. Isso gera riscos significativos, especialmente quando não há um controle consistente sobre identidade, intenção e propriedade dos agentes.

A NordVPN lançou o HangUp, um aplicativo gratuito para Android que visa identificar e bloquear chamadas indesejadas, como as de telemarketing e fraudes. O HangUp utiliza a tecnologia de proteção de chamadas da NordVPN e requer apenas uma conta gratuita da empresa para funcionar. O aplicativo categoriza as chamadas recebidas, exibe informações sobre o chamador e permite que os usuários bloqueiem categorias inteiras de chamadas, como as de golpes. Segundo pesquisas da NordVPN, 40% dos americanos se sentem inseguros devido a essas chamadas, e muitos enfrentam esse problema diariamente. O HangUp é uma resposta a essa preocupação, oferecendo uma solução acessível sem custos, ao contrário de outras funcionalidades que exigem uma assinatura paga. O aplicativo já está disponível na Google Play Store e a NordVPN planeja lançar uma versão para iOS em breve. O HangUp também fornece estatísticas sobre as chamadas bloqueadas, permitindo que os usuários acompanhem a eficácia do aplicativo na proteção contra fraudes.

Um novo alerta no setor de tecnologia sugere que a dívida dos data centers de IA pode se assemelhar à crise das hipotecas subprime de 2008. Com mais de 500 bilhões de dólares em dívidas, a estrutura financeira utilizada para financiar esses data centers, através de veículos de propósito específico (SPVs), permite que as empresas ocultem parte de sua exposição real. Empresas como Meta, Google e Amazon têm acumulado dívidas significativas, muitas vezes reportando apenas uma fração de seus riscos reais. A comparação com a crise de 2008 é pertinente, pois ambos os cenários se baseiam na suposição de que a demanda por serviços continuará a crescer indefinidamente. A falta de transparência nas dívidas e a dependência de retornos de data centers por fundos de pensão e seguradoras aumentam o risco sistêmico. A capacidade planejada para data centers de IA pode exceder a demanda real em até 15 vezes, levantando preocupações sobre a viabilidade financeira a longo prazo. A forma como essa dívida será gerida pode determinar se o colapso ocorrerá de forma gradual ou abrupta.

A Duda, plataforma de criação de sites voltada para agências, lançou novas ferramentas de inteligência artificial (IA) que visam integrar a rapidez da geração de websites com a segurança de nível empresarial. Entre as inovações estão o ‘vibe coding’, um editor de widgets personalizado e a construção de sites baseada em briefs. Essas funcionalidades permitem que agências criem sites complexos de forma mais eficiente, utilizando comandos em linguagem natural. O ‘vibe coding’ facilita a criação de aplicações web dinâmicas, enquanto o editor de widgets permite a geração de elementos arrastáveis diretamente no editor de sites. A Duda também aprimorou a construção de sites a partir de briefs, permitindo o upload de arquivos de mídia e transcrições de chamadas, que são processados pela IA para criar sites multi-páginas. Com essas atualizações, a Duda se posiciona como uma solução robusta para agências, diferenciando-se de plataformas como Wix e Squarespace, que atendem mais ao público DIY. O CEO da Duda, Itai Sadan, enfatizou que, apesar da facilidade proporcionada pela IA, as empresas ainda precisarão de agências para garantir sites seguros e de alto desempenho, que sejam facilmente encontrados por mecanismos de busca.

A Microsoft anunciou que, a partir de 1º de setembro de 2026, as chaves de acesso (passkeys) se tornarão o método padrão de autenticação para o Entra ID, substituindo os códigos de autenticação via SMS e chamadas telefônicas, que serão descontinuados em 1º de fevereiro de 2027. Essa mudança visa aumentar a segurança contra ataques cibernéticos, especialmente em um cenário onde campanhas de phishing assistidas por inteligência artificial têm uma taxa de cliques de 54%, em comparação com apenas 12% para campanhas tradicionais. As chaves de acesso são consideradas mais seguras, pois dificultam o acesso de atacantes que precisariam ter acesso ao hardware da vítima. Além das chaves de acesso, métodos como Windows Hello for Business e chaves de segurança FIDO2 continuarão disponíveis. A Microsoft enfatiza que a evolução do ambiente de ameaças exige métodos de autenticação mais robustos e resistentes a phishing, especialmente com a crescente adoção de IA. A empresa recomenda que as organizações identifiquem usuários que ainda utilizam SMS e planejem a transição para as chaves de acesso.

No dia 23 de julho, a Microsoft confirmou que seus serviços, incluindo Microsoft Teams e Microsoft 365, estão enfrentando uma interrupção significativa, afetando principalmente usuários na América do Norte. Às 11h11 ET, o Downdetector registrou 2.403 relatos de problemas, um aumento considerável em relação à média normal de 29. A maioria das queixas (78%) estava relacionada ao SharePoint, seguida pelo Excel (11%) e pelo Microsoft 365 Admin Center (6%). A empresa informou que a funcionalidade de chat do Microsoft Teams também está degradada, com usuários relatando que imagens não estão carregando. Além disso, o acesso ao OneDrive e ao SharePoint Online pode resultar em erros. A interrupção começou às 10h44 ET e afeta usuários que acessam o Microsoft 365 por determinados caminhos de rede na América do Norte. A Microsoft está redirecionando o tráfego para algumas das infraestruturas afetadas e observou uma recuperação parcial para alguns usuários. Um novo comunicado está previsto para ser emitido até às 14h ET. Este incidente destaca a importância de testar cada camada de segurança antes que atacantes o façam, já que 54% dos ataques bem-sucedidos não são detectados.

A Microsoft está lidando com um problema contínuo no Exchange Online, que desde domingo (19 de julho) tem colocado incorretamente as caixas de entrada de clientes em quarentena. O incidente, identificado como EX1436407, tem causado dificuldades para usuários afetados, que não conseguem enviar ou receber e-mails, além de acessar seus calendários. A empresa atribui o problema a uma recente mudança na infraestrutura que resultou em um consumo excessivo de memória, levando a uma condição de falta de memória que desencadeou as quarentenas indevidas. A Microsoft já havia enfrentado um problema semelhante anteriormente, classificado como EX1434354, e está realizando uma limpeza dos dados de indexação em excesso, com progresso gradual na remoção das caixas de entrada da quarentena. Embora a empresa não tenha especificado quais regiões estão afetadas ou quantos clientes foram impactados, a situação é considerada um incidente com impacto significativo para os usuários. A próxima atualização sobre o problema está programada para hoje às 18h UTC.

O FileJump lançou um plano de armazenamento em nuvem que oferece 2TB por um pagamento único de apenas $59, em vez de um modelo de cobrança mensal ou anual. Este plano inclui criptografia de conhecimento zero, garantindo que os arquivos sejam criptografados no dispositivo do usuário antes do upload, o que significa que a própria FileJump não tem acesso aos dados. A interface de upload é simples, com suporte para arrastar e soltar, e permite uploads de arquivos de até 15GB, sem limite para downloads. O serviço também oferece visualização de arquivos, como imagens, vídeos e documentos, sem a necessidade de download prévio, além de um histórico de versões que se estende por um ano. As opções de compartilhamento incluem links para arquivos e pastas, e contas gratuitas para colaboradores. O FileJump é acessível através de navegadores modernos e possui um aplicativo disponível para Android e iOS. No entanto, é importante ressaltar que, embora o plano seja vitalício, a continuidade do serviço depende da saúde financeira da empresa. Portanto, os usuários devem estar cientes do risco de compra.

A DeepMind, subsidiária da Google, anunciou o lançamento do Gemini 3.5 Flash Cyber, um modelo de inteligência artificial (IA) especializado em descobrir, validar e corrigir vulnerabilidades de software de forma rápida e eficiente. Este modelo será disponibilizado exclusivamente para governos e parceiros confiáveis através do programa piloto CodeMender, que já foi apresentado em outubro de 2025. O Gemini 3.5 Flash Cyber é uma alternativa leve e econômica em comparação com modelos de segurança cibernética mais robustos e caros, permitindo que o agente de IA escaneie mais caminhos de código em alta velocidade e baixo custo.

A Microsoft divulgou medidas manuais para ajudar administradores de TI a resolver problemas nos servidores do Windows Server Update Services (WSUS) que estão enfrentando falhas ou atrasos nas varreduras do Windows Update. Esse problema afeta tanto plataformas de cliente, como Windows 10 (versão 1607 e posteriores), quanto servidores (Windows Server 2012 e posteriores). Os administradores não conseguem implantar as últimas atualizações do Windows devido a tempos de sincronização prolongados ou timeouts nas operações de sincronização, causados pelo acúmulo de metadados de publicação. A Microsoft implementou uma mitigação do lado do servidor para novos servidores WSUS, mas também forneceu um procedimento manual para aqueles que ainda enfrentam problemas. O processo inclui a realização de backup do banco de dados SUSDB, execução de uma consulta de limpeza no SQL Management Studio e atualização do valor MaxXMLPerRequest. Após a limpeza, a primeira varredura do Windows Update pode demorar mais, mas as subsequentes devem retornar ao normal. A Microsoft já lidou com problemas semelhantes em meses anteriores, o que destaca a importância de monitorar e manter a funcionalidade do WSUS.

A Unredacted, uma organização sem fins lucrativos focada na liberdade na internet, lançou a segunda versão de seu serviço de VPN gratuito, o FreeSocks v2, que promete contornar bloqueios de censura de forma mais eficaz. Com o aumento das restrições à internet em todo o mundo, a nova versão foi projetada para ser mais resistente a bloqueios, utilizando um sistema flexível que incorpora um proxy baseado em Xray. Desde seu lançamento inicial em 2023, o FreeSocks já distribuiu mais de 60.000 chaves de acesso a usuários em regiões com censura severa.

A Microsoft está enfrentando um problema conhecido que afeta os servidores do Windows Server Update Services (WSUS), resultando em dificuldades de sincronização que persistem há mais de uma semana. O WSUS, uma ferramenta lançada há quase duas décadas, permite que administradores de TI programem atualizações de produtos Microsoft em redes corporativas a partir de um único servidor local. Normalmente, o WSUS sincroniza com os servidores de atualização da Microsoft uma vez por dia, mas servidores afetados por esse problema não conseguem realizar essa sincronização, impossibilitando a implantação das últimas atualizações do Windows. A questão impacta tanto plataformas de cliente (Windows 10, versão 1607 e posteriores) quanto de servidor (Windows Server 2012 e posteriores). A Microsoft informou que as organizações podem enfrentar tempos de sincronização aumentados ou timeouts nas operações de sincronização. Medidas de mitigação foram implementadas para novos servidores WSUS, mas a empresa ainda está trabalhando em soluções para servidores previamente afetados. Este problema é um lembrete da importância de manter sistemas atualizados e da necessidade de monitoramento contínuo para evitar falhas na segurança e na conformidade.

A Moonshot, uma empresa chinesa emergente no setor de inteligência artificial, lançou o modelo Kimi K3, que promete ser um forte concorrente para gigantes como OpenAI e Anthropic. Com impressionantes 2,8 trilhões de parâmetros, o Kimi K3 é classificado como o primeiro modelo ‘open weight’ de 3T, permitindo que qualquer usuário o execute sem custos, embora exija hardware potente. Segundo a empresa, o modelo supera a maioria dos concorrentes, exceto por Claude Fable 5 e GPT-5.6. A Moonshot destaca o Kimi K3 como ideal para tarefas de programação e raciocínio, o que representa uma ameaça significativa para os líderes de mercado, especialmente considerando que a empresa cobra preços competitivos. A introdução deste modelo levanta preocupações sobre a segurança e a ética no desenvolvimento de IA, especialmente em um contexto onde a acusação de roubo de tecnologia por parte de empresas chinesas está em pauta. O lançamento do Kimi K3 pode acelerar a competição no setor, mas também suscita questões sobre a supervisão e a regulamentação da IA, especialmente em relação à conformidade com a LGPD no Brasil.

Os proxies residenciais deixaram de ser apenas ferramentas de anonimato em círculos de carding, sendo agora considerados parte de uma estrutura mais complexa de simulação de identidade. Pesquisadores da Flare analisaram 2.889 postagens em fóruns underground nos últimos dois anos, revelando que os endereços IP residenciais são essenciais, mas não mais confiáveis por si só. Os carders estão se tornando mais seletivos, buscando combinar a geografia do IP com dados de identidade roubados e utilizando navegadores antidetectores para criar identidades digitais convincentes. A pesquisa destaca que a reputação dos proxies é dinâmica e influenciada pelo uso coletivo, levando a uma divisão entre proxies ’limpos’ e ‘sujos’. Além disso, as restrições impostas por provedores de proxies estão criando um mercado secundário para IPs residenciais que possam acessar serviços financeiros. A análise sugere que, embora os proxies residenciais sejam uma parte crucial do ecossistema de carding, sua fragilidade está aumentando, exigindo que as defesas considerem o tráfego residencial como contexto, e não como prova de legitimidade.

As forças militares dos EUA, Reino Unido e OTAN estão sob crescente pressão para implementar capacidades autônomas rapidamente. O foco agora se volta para a infraestrutura de informação confiável que permite a operação conjunta em alta velocidade. Sistemas autônomos, como aeronaves e embarcações não tripuladas, dependem de dados que precisam ser trocados de forma segura e eficiente entre plataformas e aliados. A transformação da defesa está em andamento, com investimentos significativos em capacidades autônomas e modernização. A nova fase da defesa não se limita apenas à quantidade de sistemas autônomos, mas à eficácia da troca de informações confiáveis entre eles. A construção de uma infraestrutura de informação confiável é essencial para garantir que esses sistemas operem em conjunto com confiança. A separação de hardware, uma abordagem que estabelece confiança na lógica do hardware, é uma solução que pode facilitar essa integração. A empresa Everfox se destaca ao oferecer uma plataforma que permite a troca segura de informações críticas entre sistemas, ajudando as organizações de defesa a adotar capacidades autônomas rapidamente, mantendo a interoperabilidade e a segurança necessárias para as missões modernas.

A Microsoft anunciou que o Windows Server 2022 atingirá o fim do suporte mainstream em outubro de 2026, mas continuará recebendo atualizações de segurança por mais cinco anos, até outubro de 2031, no suporte estendido. Lançado em setembro de 2021, o Windows Server 2022 faz parte do Long-Term Servicing Channel (LTSC) e oferece um total de 10 anos de suporte. Após o fim do suporte mainstream, a Microsoft recomenda que os clientes atualizem para o Windows Server 2025, que estará disponível a partir de novembro de 2024. O Windows Server 2025 também terá um ciclo de suporte de 10 anos, com o fim do suporte programado para novembro de 2029 e suporte estendido até novembro de 2034. A Microsoft também anunciou a extensão do hotpatching do Windows Server 2022 até outubro de 2027, além de um ano adicional para o programa de Atualizações de Segurança Estendidas (ESU) do Windows 10. A empresa enfatiza a importância de planejar a atualização para garantir a proteção e o suporte contínuo dos ambientes de TI.

Nos últimos 20 anos, a segurança empresarial baseou-se na suposição de que o ambiente era previsível e controlável. No entanto, a introdução de agentes de inteligência artificial (IA) que operam de forma autônoma desafiou essa premissa. Esses agentes podem acessar sistemas, modificar comportamentos e até mesmo se ocultar, tornando a segurança mais complexa e dinâmica. A pesquisa da Token Security revela que mais de 20% dos agentes locais já têm acesso direto a fontes de dados de produção, o que levanta preocupações sobre a segurança.

Nos últimos anos, a segurança de redes corporativas enfrentou desafios significativos devido à mudança dos fluxos de trabalho para aplicações SaaS e ferramentas de inteligência artificial (IA). O modelo tradicional de SASE (Secure Access Service Edge) não conseguiu acompanhar essa evolução, pois depende da inspeção de tráfego em proxies na nuvem, que se tornaram ineficazes com a adoção de protocolos modernos como TLS 1.3 e HTTP/3. Esses protocolos dificultam a interceptação de dados, levando as equipes de segurança a criar listas de exceções que comprometem a segurança geral da rede.

Um único código de marketing aprovado pode carregar scripts de terceiros que nunca foram avaliados pela equipe de segurança, permitindo acesso total a dados sensíveis. Este fenômeno, chamado de Lacuna de Aprovação, ocorre quando um fornecedor aprovado carrega outro, que por sua vez pode carregar mais scripts, resultando em códigos de quarto nível que não foram verificados. A situação é preocupante, pois esses scripts têm acesso às mesmas informações que o código desenvolvido internamente. O webinar apresentado por Idan Cohen, da Reflectiz, e Omri Ariav, da Taboola, discute a importância de monitorar continuamente esses códigos, uma vez que a aprovação inicial não é suficiente. Eles sugerem cinco perguntas essenciais que as equipes de segurança devem fazer aos fornecedores de marketing para mitigar riscos. Além disso, a rápida evolução da tecnologia de anúncios impulsionada por inteligência artificial está ampliando a superfície de ataque, tornando a visibilidade contínua ainda mais crucial. O relatório da Reflectiz de 2026 indica que 53% das exposições de risco no varejo estão ligadas ao uso excessivo de ferramentas de rastreamento, destacando a necessidade de uma abordagem mais integrada entre as equipes de marketing e segurança.

A IPVanish lançou uma nova versão de seu aplicativo para Windows, incorporando o recurso OpenVPN Data Channel Offload (DCO), que promete aumentar a velocidade de download do OpenVPN em até 196%. Essa melhoria é especialmente significativa, pois o OpenVPN, apesar de ser um dos protocolos mais confiáveis e amplamente utilizados, sempre enfrentou desafios de velocidade. O DCO transfere a carga de criptografia para o núcleo do sistema operacional, reduzindo a latência e a carga da CPU, sem comprometer a segurança do protocolo. Além disso, a IPVanish trocou o cifrador OpenVPN de AES-256-CBC para AES-256-GCM, o que diminui em 32% o tempo de conexão com os servidores. No entanto, há uma limitação: o modo de alta velocidade não pode ser usado simultaneamente com o recurso OpenVPN Scramble, que oculta o tráfego VPN, o que pode ser uma consideração importante para usuários em redes restritas. O DCO atualmente é exclusivo para usuários do Windows, não estando disponível em macOS, iOS ou Android devido a restrições nos núcleos desses sistemas operacionais.

A Microsoft anunciou que, a partir de setembro de 2026, as chaves de acesso se tornarão o método padrão de autenticação para o serviço de identidade empresarial Entra ID. Os usuários que atualmente utilizam autenticação via SMS e voz serão migrados automaticamente para chaves de acesso, que são consideradas mais seguras e resistentes a phishing. A autenticação por SMS e voz será descontinuada em fevereiro de 2027, e as organizações são aconselhadas a garantir que todos os usuários adotem métodos de autenticação que não sejam suscetíveis a ataques de phishing antes dessa data. A Microsoft observou um aumento significativo nas campanhas de phishing habilitadas por IA, com taxas de cliques que chegam a 54%, em comparação com 12% para campanhas tradicionais. A mudança para chaves de acesso visa reduzir a dependência de métodos de autenticação vulneráveis e fortalecer a proteção contra o roubo de credenciais. As organizações que ainda precisarem de autenticação baseada em telefone deverão configurar provedores de telecomunicações de terceiros. A Microsoft disponibiliza orientações detalhadas para a implementação de autenticação sem senha e resistente a phishing.

A Microsoft está testando uma nova versão do Windows Search que promete ser mais rápida e eficiente, priorizando resultados relevantes em detrimento de anúncios e conteúdos promocionais. Essa iniciativa, anunciada pelo presidente da Windows, Pavan Davuluri, visa melhorar a experiência de busca no Windows 11, abrangendo o menu Iniciar, a barra de tarefas, o File Explorer e as Configurações. As atualizações estão disponíveis para os usuários do programa Windows Insiders no canal Experimental, através de uma implementação controlada, o que significa que nem todos os usuários terão acesso imediato. As melhorias incluem a indicação clara da origem dos resultados, suporte a buscas de arquivos com duas letras e maior tolerância a erros de digitação. Além disso, a Microsoft promete melhorias na confiabilidade do sistema, reduzindo falhas e problemas de carregamento. Os usuários também podem escolher se desejam ver sugestões da Microsoft Store e da web junto aos resultados locais. A empresa encoraja feedback dos Insiders para aprimorar ainda mais a funcionalidade.

Recentemente, um CISO de uma empresa Fortune 50 discutiu a integração de agentes de IA em sua equipe de segurança cibernética. Embora a equipe tenha obtido resultados positivos ao conectar ferramentas de detecção a um modelo de IA, a arquitetura proposta não abordava adequadamente a maioria dos alertas, que exigem processamento automático. O psicólogo Daniel Kahneman, em seu livro ‘Thinking, Fast and Slow’, argumenta que o cérebro humano opera em dois sistemas: o Sistema 1, que é rápido e automático, e o Sistema 2, que é lento e deliberativo. Estudos mostram que 98% dos alertas de segurança podem ser resolvidos autonomamente, enquanto apenas 2% realmente necessitam de análise humana. A proposta é que as equipes de segurança cibernética utilizem IA para lidar com a maioria dos alertas, permitindo que os analistas humanos se concentrem em casos que realmente exigem julgamento crítico. Essa abordagem não só melhora a eficiência, mas também reduz a exaustão dos analistas, aumentando a capacidade de identificar ameaças reais que podem estar escondidas entre alertas de baixa severidade.

A Meta, empresa controladora do Facebook, apresentou uma solicitação de patente para uma tecnologia de inteligência artificial (IA) que escuta a voz do usuário ao longo do dia, analisando seu estado emocional com base no tom e na forma de falar. A patente, registrada em dezembro de 2025 e publicada em julho de 2026, descreve um dispositivo que pode ser um smartphone, óculos inteligentes ou um assistente de voz, que registra e transcreve a fala do usuário, associando-a a dados contextuais como localização e atividades. A IA não apenas identifica emoções, mas também fornece um resumo das emoções ao longo do tempo, incluindo dados biométricos como tamanho da pupila e taxa de piscar. Além disso, a patente inclui um sistema de coaching de exercícios que ajusta o feedback com base no estado emocional do usuário. Embora a Meta ainda não tenha lançado um produto baseado nessa tecnologia, a proposta levanta preocupações sobre privacidade e regulamentação, especialmente em relação à coleta de dados sensíveis. A União Europeia já impôs restrições ao uso de IA que inferem emoções em ambientes de trabalho e escolares, destacando a necessidade de regulamentação rigorosa nesse campo.

A OpenAI anunciou a remoção temporária do limite de uso de cinco horas para os planos Plus, Pro e Business do modelo GPT-5.6 Sol, após um aumento significativo na demanda. Essa mudança, que foi confirmada no último domingo, também inclui um reset de uso para todos os usuários. O líder de produto da OpenAI, Tibo, destacou que as últimas 48 horas foram intensas para os serviços Codex e ChatGPT, levando à decisão de eliminar a restrição de tempo. Normalmente, o ChatGPT opera com uma janela de cinco horas, mas agora os usuários não precisarão interromper suas atividades ao atingir esse limite. Além disso, a OpenAI está implementando melhorias para tornar o GPT-5.6 Sol mais eficiente, reduzindo o consumo de tokens e permitindo que os usuários realizem mais tarefas antes de atingir o limite de uso. Embora a OpenAI não tenha detalhado como exatamente a eficiência foi aumentada, a expectativa é que isso proporcione uma experiência mais fluida e produtiva para os usuários. Essa atualização é particularmente relevante para desenvolvedores e empresas que utilizam o modelo para tarefas de programação e automação.

O artigo destaca uma declaração polêmica de Scott McNealy, CEO da Sun Microsystems, que afirmou: ‘Você não tem zero privacidade de qualquer forma. Aceite isso’. Essa afirmação, feita durante uma sessão de perguntas e respostas, reflete uma visão que se tornou cada vez mais relevante na era digital atual, onde a coleta de dados dos usuários é uma prática comum. A Sun Microsystems lançou a plataforma Jini, que permitia a comunicação entre dispositivos sem a necessidade de configuração, mas que também gerava um grande volume de dados. As preocupações sobre privacidade levantadas por McNealy foram criticadas por defensores da privacidade, que consideraram suas palavras irresponsáveis. No entanto, a realidade é que a indústria de tecnologia tem avançado em direção à coleta massiva de dados, muitas vezes sem o consentimento adequado dos usuários. O escândalo da Cambridge Analytica é um exemplo notório de como os dados dos usuários podem ser usados para fins políticos. Atualmente, a tecnologia é dominada por sistemas de coleta de dados e inteligência artificial, levantando questões sobre o capitalismo de vigilância e a expectativa de que os consumidores simplesmente aceitem essa realidade.

A Anthropic anunciou a extensão do acesso ao modelo Claude Fable 5 para assinantes pagos até 19 de julho de 2026. Inicialmente, o acesso estava limitado até 7 de julho, mas foi prorrogado em várias ocasiões, permitindo que usuários das assinaturas Pro, Max, Team e Enterprise continuem utilizando o modelo sem custo adicional até a nova data. O Fable 5 permite que os usuários utilizem até 50% de seus limites semanais de uso sem cobranças extras, embora a empresa tenha alertado que o uso do Fable 5 consome esses limites mais rapidamente do que outros modelos. O acesso ao Fable 5 está disponível em várias plataformas, incluindo web, mobile e desktop, e requer versões específicas de aplicativos para funcionar corretamente. Após atingir o limite de uso, os usuários podem optar por continuar utilizando o modelo com créditos de uso ou mudar para outro modelo Claude. A promoção não se aplica a usuários gratuitos ou a planos de uso baseado em Enterprise. A Anthropic também afirmou que o Fable 5 não será removido permanentemente das assinaturas, com planos de restaurá-lo quando houver capacidade computacional suficiente.

Mikey Shulman, CEO da Suno, uma plataforma de geração de música por IA, gerou polêmica ao afirmar que a criação musical não é uma atividade prazerosa para a maioria das pessoas. Durante uma entrevista no podcast 20VC, ele destacou que a produção musical exige tempo, prática e habilidades que muitos não possuem, sugerindo que sua plataforma poderia facilitar esse processo e democratizar a criação musical. No entanto, suas declarações provocaram uma forte reação negativa de músicos e profissionais da indústria, que argumentaram que o esforço e a dedicação são partes essenciais da experiência artística. A preocupação com o impacto da IA na indústria musical é crescente, com previsões indicando que os trabalhadores do setor podem perder até 25% de sua renda nos próximos anos. Shulman posteriormente se desculpou por suas declarações, reconhecendo a importância do trabalho árduo na música. O artigo destaca a tensão entre a inovação tecnológica e a preservação da arte, refletindo um debate mais amplo sobre o papel da IA nas indústrias criativas.

Um estudo recente revelou que apenas 45% das empresas consolidam seus dados de ativos e exposição em uma única visão, o que compromete a eficácia dos programas de segurança. A Lumen Technologies, uma empresa de telecomunicações, exemplificou essa situação ao utilizar a plataforma Axonius para integrar dados de mais de 40 sistemas desconectados, resultando na descoberta de 60 vezes mais dispositivos do que se imaginava. Essa falta de precisão nos inventários de ativos é um problema comum, onde diferentes ferramentas de TI e segurança apresentam informações contraditórias. A Lumen, ao corrigir esses dados, não apenas melhorou sua resposta a vulnerabilidades críticas, mas também conseguiu visibilidade sobre a postura de suas aplicações, permitindo uma gestão de riscos mais inteligente. Com dados confiáveis, a empresa evoluiu de um modelo de “scan and spam” para uma abordagem baseada em riscos, priorizando ações de remediação que realmente reduzem a exposição. A visibilidade gerada pela Axonius também influenciou decisões estratégicas, como a migração para a nuvem, reduzindo o risco em 40%. O artigo alerta que muitas organizações podem estar enfrentando lacunas semelhantes em seus dados de ativos, o que pode comprometer suas operações de segurança.

O GitHub anunciou a versão 12 do npm, que traz mudanças significativas na segurança. A partir dessa versão, os scripts de instalação, como preinstall, install e postinstall, estão desativados por padrão, exigindo que os usuários os ativem explicitamente. Além disso, as dependências de git e URLs remotos também não serão resolvidas automaticamente, aumentando a segurança ao evitar a execução de códigos potencialmente maliciosos sem consentimento. Outra mudança importante é a descontinuação dos tokens de acesso granular (GATs) que permitiam contornar a autenticação de dois fatores (2FA). A partir de agosto de 2026, esses tokens não poderão mais realizar ações sensíveis, como gerenciar contas e pacotes, e a publicação de pacotes será limitada a um processo que requer aprovação humana com 2FA. Essas alterações visam fortalecer a segurança na cadeia de suprimentos de software, um aspecto crítico na era digital atual. O GitHub recomenda que os desenvolvedores atualizem para versões mais recentes do npm e adotem práticas de publicação mais seguras, como a publicação confiável com OIDC ou a publicação em etapas com aprovação humana.

A Microsoft anunciou que irá desativar o OWA Light, a versão leve do Outlook Web Access, em uma atualização futura do Exchange Server. O OWA Light foi introduzido há cerca de 20 anos como uma alternativa ao OWA Premium, oferecendo uma interface simplificada para sistemas com navegadores mais antigos ou com conexões de internet de baixa largura de banda. No entanto, a empresa argumenta que, com a evolução dos navegadores modernos e a melhoria das condições de rede, o foco deve ser na experiência completa do Outlook na web. A desativação do OWA Light, prevista para agosto de 2026, visa reduzir a superfície de legado e simplificar o trabalho de engenharia contínuo. Os administradores podem desativar o OWA Light imediatamente usando comandos específicos. A mudança é parte de um movimento mais amplo da Microsoft para melhorar a segurança e a experiência do usuário em suas plataformas. A decisão reflete uma adaptação às novas realidades da web e às necessidades dos usuários atuais, que demandam funcionalidades mais robustas e seguras.

A Meta anunciou o lançamento do Muse Image, um novo modelo de inteligência artificial (IA) que permite aos usuários gerar conteúdo visual a partir de postagens e reels públicos do Instagram. Essa funcionalidade, que está habilitada por padrão, possibilita que os usuários mencionem contas do Instagram no aplicativo Meta AI, integrando perfis específicos nas imagens geradas. O Muse Image, desenvolvido pelos Superintelligence Labs da Meta, utiliza raciocínio avançado para compreender prompts complexos e combinar várias fotos em criações de alta qualidade. Além disso, a IA será incorporada ao WhatsApp e Instagram, permitindo efeitos impulsionados por IA para Stories e geração de imagens em chats diretos. Os usuários têm a opção de desativar a reutilização de seu conteúdo, mas é importante notar que não serão notificados quando suas imagens forem remixadas. Para usuários com contas públicas, o conteúdo pode ser reutilizado por outros, o que levanta preocupações sobre privacidade e controle sobre a própria imagem. A Meta recomenda que usuários com perfis públicos desativem essa configuração para proteger seu conteúdo. Essa iniciativa se alinha a uma tendência crescente de empresas de tecnologia que integram IA em seus produtos, adotando um modelo de opt-out em vez de opt-in.

Um estudo da Sophos revelou que agentes de codificação baseados em IA, como Claude Code e OpenAI Codex, estão gerando alarmes de segurança em sistemas Windows ao realizar atividades que se assemelham a ataques cibernéticos. Durante uma análise de uma semana, 56,2% das atividades bloqueadas estavam relacionadas ao acesso a credenciais, enquanto 28,8% diziam respeito à execução de comandos. A Sophos identificou que ações como a descriptografia de credenciais de navegador e a enumeração de dados do Gerenciador de Credenciais do Windows, realizadas por assistentes de IA, foram interpretadas como tentativas de roubo de dados. Embora essas ações sejam benignas no contexto de automação de tarefas, elas levantam preocupações sobre a segurança das credenciais armazenadas. A Sophos sugere que as regras de detecção sejam ajustadas para distinguir entre comportamentos normais de agentes de IA e atividades maliciosas. O relatório também destaca que a evolução das táticas de ataque, onde 82% das detecções em 2025 foram livres de malware, exige uma reavaliação das estratégias de defesa. Para os defensores, é crucial manter um controle rigoroso sobre o acesso a credenciais, mesmo quando realizado por agentes de IA, e considerar a implementação de configurações que limitem permissões excessivas.

O DuckDuckGo anunciou uma nova funcionalidade em seu navegador que permite bloquear a maioria dos anúncios em vídeo no YouTube, incluindo aqueles exibidos antes e durante a reprodução dos vídeos. Essa funcionalidade está habilitada por padrão nas versões mais recentes do DuckDuckGo para iOS, Mac e Windows, enquanto os usuários de Android podem ativá-la manualmente nas configurações de bloqueio de anúncios. O YouTube, a maior plataforma de vídeos do mundo, exibe anúncios para usuários gratuitos, que se tornaram mais frequentes e, em alguns casos, ininterruptos. O novo mecanismo de bloqueio de anúncios do DuckDuckGo utiliza listas de filtros mantidas pela comunidade do uBlock Origin, complementadas por regras de compatibilidade próprias para aumentar a eficácia. Os usuários podem ativar simultaneamente o ‘Duck Player’, que oferece proteção de privacidade aprimorada, e o bloqueio de anúncios, permitindo uma experiência de visualização sem interrupções. Embora o bloqueador possa causar tempos de buffer ligeiramente mais longos, a experiência de reprodução deve ser suave. No entanto, a eficácia do bloqueador pode ser temporariamente afetada por mudanças frequentes na forma como o YouTube serve anúncios. O DuckDuckGo convida os usuários a testar a nova funcionalidade e fornecer feedback anônimo para melhorias.

O porta-voz do grupo Anonymous Wild Hornets descreveu os enxames de drones como ‘uma lenda divertida e um mecanismo de fraude’ enquanto defende a importância das impressoras 3D na guerra moderna. A empresa, que fabrica drones na Ucrânia, está expandindo seu uso de impressão 3D para reduzir custos e aumentar a produção. Utilizando impressoras de mesa FDM, como as da Bambu Lab e Elegoo, a Wild Hornets consegue produzir componentes plásticos de drones em grande volume, o que permite uma rápida iteração de design em resposta às táticas do inimigo. Além disso, a fabricação interna abrange também baterias e controladores de voo, diminuindo a dependência de fornecedores externos. Apesar do crescente interesse em inteligência artificial para drones, a empresa alerta que a implementação dessa tecnologia pode aumentar significativamente os custos. O porta-voz também expressou ceticismo sobre a viabilidade dos enxames de drones, afirmando que, por enquanto, eles não representam uma ameaça real. A Wild Hornets, que começou como uma iniciativa voluntária, agora produz cerca de 100 drones por dia e planeja focar em pesquisa e desenvolvimento após o término do conflito.

A Microsoft iniciou testes da funcionalidade Cloud Rebuild, que permite a reinstalação completa do sistema operacional Windows 11 a partir da nuvem, visando dispositivos que enfrentam problemas persistentes ou que se tornaram inoperáveis. Apresentada na conferência Ignite em novembro de 2025, essa ferramenta é uma alternativa ao recurso ‘Reset this PC’, pois baixa a imagem do Windows e os drivers diretamente do Windows Update, garantindo que o dispositivo retorne a um estado funcional sem a necessidade de mídia USB ou de uma imagem personalizada. Para testar o Cloud Rebuild, os usuários devem instalar a versão Insider Preview Build 26300.8772 e seguir um processo de recuperação no Ambiente de Recuperação do Windows (WinRE). Além disso, a Microsoft também anunciou o recurso Point-in-Time Restore (PITR), que permite reverter o sistema para um estado anterior saudável em minutos. Essas funcionalidades fazem parte da iniciativa de resiliência do Windows, que visa facilitar a recuperação de dispositivos que não conseguem iniciar corretamente. Outras ferramentas, como o Quick Machine Recovery (QMR), também estão sendo testadas para ajudar administradores a resolver falhas de inicialização sem acesso físico ao dispositivo.

A segurança da cadeia de suprimentos de software enfrenta novos desafios com a integração da inteligência artificial (IA) no processo de desenvolvimento. Nos últimos anos, incidentes como SolarWinds e Log4Shell destacaram que os riscos estão mais associados ao que compõe o código do que ao código em si. Com a introdução de ferramentas autônomas e assistentes de codificação baseados em IA, a necessidade de entender a origem e a confiabilidade dos modelos e ferramentas se torna crucial. A validação do código gerado por IA antes de sua implementação é essencial, mas o verdadeiro desafio reside na governança das ferramentas e agentes que produzem esse código. Para lidar com essa nova realidade, as equipes de segurança precisam estender a rastreabilidade para incluir modelos e agentes, além de priorizar vulnerabilidades com base na real possibilidade de exploração. O recente reconhecimento do Gartner sobre a segurança da cadeia de suprimentos de software ressalta a importância de abordar esses riscos de forma sistemática. Um webinar programado para julho de 2026 discutirá como a integração da IA alterou a superfície de ataque e o que um programa de segurança deve incluir para ser eficaz nesta nova era.

O artigo de Morey J. Haber discute a evolução do desenvolvimento de software, destacando a transição do modelo Waterfall para metodologias mais ágeis, como Agile e DevOps, e, mais recentemente, para o que é chamado de Vibe Coding, impulsionado pela inteligência artificial generativa. Essa nova abordagem permite que qualquer pessoa, independentemente de experiência técnica, crie aplicações rapidamente, simplesmente descrevendo suas intenções em linguagem natural. No entanto, essa velocidade de desenvolvimento traz novos desafios de segurança, pois o código gerado pode conter vulnerabilidades e falhas que não eram previstas nas metodologias anteriores. O autor enfatiza que, apesar das vantagens do Vibe Coding, as práticas tradicionais de engenharia de software seguro, como modelagem de ameaças e testes de vulnerabilidade, continuam essenciais. A democratização da criação de software não garante a democratização do julgamento de engenharia necessário para garantir a segurança e a confiabilidade das aplicações. Portanto, as organizações devem estar atentas ao aumento da superfície de risco que essa nova era de desenvolvimento pode trazer.