Por que os fundamentos que você ignorou são as únicas coisas que irão salvá-lo
Em 2023, um colega e eu escrevemos um relatório sobre segurança cibernética guia para empresas de qualquer tamanho. Não foi um trabalho glamoroso. Ninguém estava pedindo outro whitepaper sobre autenticação multifator (MFA) e segmentação de rede. A indústria já ouviu tudo isso antes: proteja seus dispositivos, segmente suas redes, implante detecção e resposta de endpoint (EDR), centralize seus logs, teste seus backups, valide seus projetos. Estas não são ideias revolucionárias. São o tipo de recomendação que recebe acenos educados em reuniões com clientes e depois é discretamente descartada em algum momento entre a aprovação e a implementação do orçamento.
Escrevemos o guia de qualquer maneira. Não porque pensasse que estávamos dizendo algo novo, mas porque, após anos de trabalho de resposta a incidentes, continuei entrando nas mesmas salas, observando as mesmas lacunas e tendo as mesmas conversas com organizações que tinham acabado de ser violadas. Os vetores de ataque mudaram e as ferramentas evoluíram, mas o motivo pelo qual as organizações foram prejudicadas foi quase sempre o mesmo: os princípios básicos não estavam em vigor. Nesse artigo colocamos questões que, quando respondidas honestamente no nível estratégico, poderiam revelar o estado actual das defesas de uma organização. Cobrimos endpoints, redes, serviços em nuvem, segurança física, pessoal e registro. Ele foi projetado para ser útil quer você tenha uma equipe de 500 analistas de segurança ou um único profissional de TI com diversas funções.
A tese central period que o patch por si só não é uma estratégia de segurança. Você precisa de uma base que se mantenha firme quando o patch falhar – porque, eventualmente, o patch falhará.
Este cenário finalmente chegou em abril de 2026.
Antrópico anunciado Projeto Glasswing e Claude Mythos Preview, um modelo de IA que descobriu de forma autônoma milhares de vulnerabilidades de dia zero de alta gravidade em todos os principais sistemas operacionais e navegadores da internet. Não são fraquezas teóricas ou problemas potenciais – vulnerabilidades funcionais e exploráveis. Um deles não foi descoberto por 27 anos no OpenBSDo sistema operacional escolhido especificamente porque é considerado um dos mais seguros do mundo. Isto é o que acontece quando a descoberta de vulnerabilidades deixa de ser uma atividade realizada à velocidade humana.
Ocorreu-me que tudo o que escrevemos em 2023 – cada recomendação, cada questão que colocamos – tinha acabado de se tornar dramaticamente mais urgente, uma vez que a velocidade é o novo issue na tradicional tríade de risco. A Cisco expôs a versão estratégica deste argumento no seu Escudos para cima orientação depois de trabalhar com o Mythos Preview. O que se segue é o seu companheiro operacional.
A nova matemática
Antes do Mythos e de outros modelos de linguagem de grande porte (LLMs) de fronteira, o ciclo de vida da vulnerabilidade tinha um ritmo que a maioria das equipes de segurança havia internalizado. Um pesquisador descobre uma vulnerabilidade e semanas ou meses se passam enquanto uma exploração é desenvolvida. Depois que um fornecedor lança um patch, as organizações o implantam de acordo com sua própria programação. Houve uma folga no sistema, o que deu às organizações tempo para fazer a triagem, testar e ser lentas, mas ainda assim sobreviver.
Depois da IA e dos LLMs, os dois primeiros estágios desse ciclo de vida colapsaram quase simultaneamente. A IA descobre a vulnerabilidade e grava a exploração em minutos, não em semanas. Mas os dois últimos estágios, lançamento e implantação de patches, continuam sendo processos conduzidos por humanos, operando na velocidade humana. A lacuna entre descoberta/exploração e correção/implantação aumentou de um atraso administrável para uma lacuna estrutural.
Os números tornam isso concreto. O PRIMEIRA Previsão de Vulnerabilidade para 2026 projeta uma mediana de cerca de 59.000 novos CVEs este ano, com um intervalo de confiança de 90% atingindo até 118.000. Em 2025, foram publicados 48.185 CVE, um aumento de 21% face ao ano anterior, o que equivale a cerca de 131 novas vulnerabilidades divulgadas todos os dias. NIST reconhecido que os envios de CVE cresceram 263% entre 2020 e 2025. A partir de abril de 2026, o NIST anunciou que priorizaria apenas o enriquecimento para CVEs que aparecem no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA, software program usado pelo governo federal e software program crítico sob Ordem Executiva 14028. Todo o resto vai para trás a linha.
Ao falar sobre esses dados em briefings aos clientes, enquadrei-os em torno de três fatores: os minutos desde a descoberta até a exploração, os milhares de dias zero descobertos e como a IA acelera igualmente os atacantes e os defensores. A Cloud Safety Alliance foi explícita sobre isso em seu Análise de abril de 2026. A capacidade de descobrir vulnerabilidades à escala da IA não é intrinsecamente uma capacidade defensiva. É uma capacidade de dupla utilização cujo efeito depende inteiramente de quem tem acesso e das restrições que regem a sua utilização. Temos sorte de os modelos de fronteira assumirem a responsabilidade pela forma como são usados, mas existem muitos modelos de código aberto com menos supervisão.
Quando o gerenciamento de vulnerabilidades falha, a quem você recorre?
A forma como penso sobre o modelo de defesa pós-fronteira, e a forma como o tenho apresentado aos líderes de segurança, segue um modelo de recurso em três fases.
O primeiro pilar é o gerenciamento de vulnerabilidades. Digitalize, priorize, corrija, repita. É aqui que a maioria das organizações concentrou os seus gastos com segurança durante duas décadas. A velocidade do patch não pode corresponder às taxas de descoberta orientadas por IA. Com 59.000+ CVEs projetados para 2026 e em crescimento, o quantity excede a capacidade organizacional para triagem, teste e implantação (em produção, ao vivo). Nem todas as vulnerabilidades possuem patches no dia zero; alguns são considerados “risco operacional”, ou levaria anos para redesenhar sistemas ou {hardware}. O gerenciamento de vulnerabilidades não morreu, mas não é mais a principal linha de defesa; agora é um insumo entre muitos. É aqui que Cisco QI torna-se essencial. Sua interface digital fornece visibilidade completa de ativos, insights de reforço de segurança e avaliações de risco, permitindo identificar proativamente vulnerabilidades e fortalecer seus sistemas diante do aumento de volumes de CVE. Automatizar o que puder será elementary para a aceleração da resiliência.
Quando o patch falha, você volta ao segundo pilar: o endurecimento da “velha escola” que parece ter sido esquecido na period dos EDRs. É aqui que o whitepaper de 2023 se torna um guia:
Recomendamos a criação de imagens douradas que incorporem o registro de segurança apropriado, atualizando-as a cada 6 a 12 meses e aplicando os padrões de proteção mais recentes. O whitepaper de 2023 faz perguntas que a maioria das organizações ainda não consegue responder com segurança: Os padrões de segurança bem conhecidos para proteção são seguidos de forma consistente em todos os dispositivos? Quando foi a última vez que as imagens douradas do sistema central foram revisadas em busca de pontos fracos? As imagens douradas fazem parte das análises de segurança?
O terceiro pilar é a detecção e resposta. Os sistemas reforçados não impedem a exploração, mas tornam-na mais difícil, mais lenta, mais ruidosa e mais fácil de sobreviver. A detecção e a resposta são o que capta a exploração que passa e, num mundo pós-exploração da IA, alguma exploração irá passar. Isso é dado e precisa ser assumido.
Isso significa EDR, NDR e XDR para visibilidade entre camadas. A detecção comportamental é crítica quando o dia zero ultrapassa as atualizações de assinatura. Um invasor que usa uma vulnerabilidade descoberta por IA ainda precisa executar código, estabelecer persistência, mover-se lateralmente e exfiltrar dados. Essas ações produzem sinais comportamentais que um EDR configurado corretamente pode detectar, independentemente de a vulnerabilidade específica ser conhecida anteriormente. Isso significa que podemos usar caça a ameaças para descobrir o que falta na automação. Isso também significa que você precisa de capacidade de resposta a incidentes quando a prevenção falhar. Novos ataques surgirão. A questão não é se você ficará comprometido. Agora é a rapidez com que você pode detectar, conter, erradicar e recuperar.
A validação não é opcional
Ter os produtos certos implementados é necessário, mas não suficiente. Também é necessário saber como funcionam – e é aqui que a maioria das organizações tem um ponto cego do tamanho de um continente.
A pergunta que todo líder de segurança deveria fazer agora é “Será que meus controles realmente funcionam? Não no papel, mas sob condições de ataque no mundo actual?” Teste de penetração responde a essa pergunta. O mesmo acontece com a avaliação de suas configurações em relação aos benchmarks do CIS e o fortalecimento do que fica aquém. Modelagem de ameaças vai além, mapeando os caminhos de ataque que um adversário actual usaria contra sua arquitetura específica, não uma matriz de risco genérica.
As avaliações de ruptura merecem atenção especial. Eles testam os limites entre os segmentos da rede. Um invasor pode passar de um endpoint comprometido para uma infraestrutura crítica? Da TI para a TO? De uma unidade de negócios para outra? Num mundo pós-IA, onde um dia zero pode fornecer acesso inicial ao segmento de rede, a integridade desses limites é sem dúvida a propriedade arquitetónica mais importante da sua rede. Descobrir que eles estão quebrados antes que um adversário actual o faça é a diferença entre um incidente controlável e uma crise existencial.
Depois, há o lado da resposta, e é aqui que vejo a maior lacuna entre o que as organizações pensam que têm e o que realmente têm. Manuais de RI que nunca foram testados não são manuais. São esperanças. Exercícios da equipe roxa são o que transformam essas esperanças em memória muscular, o tipo que determina se sua equipe congela ou age quando ocorre um incidente actual. Caça proativa a ameaças pegue o que sua automação perdeu. Quando tudo foi testado e ainda não foi suficiente, resposta a incidentes de emergência é a capacidade que faz com que você passe do comprometimento para a recuperação.
O quadro completo é um ciclo. Você deseja evitar problemas de segurança com produtos e proteção, validar com testes e avaliações e responder com busca e resposta a incidentes – tudo isso apoiado por inteligência de ameaças e trabalhando em conjunto como um sistema, e não como soluções pontuais desconectadas verificadas em uma planilha de conformidade.
O que não mudou
A IA não se cansará da exploração do sistema, por isso o risco será percebido muito mais rapidamente do que no passado. Por causa disso, agora adicionamos “velocidade” à equação de risco. Torna-se Risco = probabilidade x impacto x velocidade em vez de apenas Risco = probabilidade x impacto. A IA não altera os princípios da segurança cibernética. A MFA ainda bloqueia roubo de credenciais; a segmentação ainda evita que a exploração se espalhe no ambiente; O EDR ainda detecta comportamento de exploração, abuso de memória e tentativas de “gravar” em segmentos de memória; o registro centralizado ainda registra eventos para detecção e investigação; e os backups testados ainda permitem a recuperação.
Essas declarações eram verdadeiras antes de qualquer descoberta de vulnerabilidade LLM/AI, são verdadeiras após LLM/AI e permanecerão verdadeiras depois do que vier depois das pilhas atuais. Porque eles operam em uma camada da pilha de segurança que é independente da rapidez com que as vulnerabilidades são descobertas. Eles funcionam independentemente de o invasor ter usado um CVE conhecido ou um novo dia zero, e se a exploração foi escrita por um pesquisador humano durante três semanas ou por uma IA em três minutos.
Esta é a visão estrutural construída em torno do documento técnico em 2023. Ninguém havia previsto a explosão da descoberta de vulnerabilidades LLM/IA, mas vimos, repetidas vezes em compromissos de resposta a incidentes, que as organizações que sobreviveram às violações não eram aquelas com os ciclos de correção mais rápidos. Foram eles que construíram suas bases de segurança antes da invasão. A atual aceleração da IA não espera por ciclos orçamentais, aprovações do conselho de administração ou planos estratégicos. Recompensa a preparação e pune os atrasos.