O segundo dia do Mind The Sec 2026 colocou em evidência uma pergunta que atravessa diferentes frentes da cibersegurança: como adotar novas tecnologias sem perder a capacidade de compreender, controlar e proteger aquilo que está sendo construído?
A programação da Azion nesta quarta-feira, 16 de setembro, reuniu perspectivas sobre o uso de AI nas operações de segurança, os impactos da computação quântica sobre a criptografia atual e a aplicação de agentes de AI na proteção de APIs. Em comum, os conteúdos mostraram que velocidade só se transforma em vantagem quando vem acompanhada de contexto, governança e controles capazes de evoluir com a tecnologia.
Mais alertas não significam melhores decisões
No painel “Desafios da Operação de Segurança em Tempos de AI”, Rafael Santos, CISO da Azion, mediou a conversa comMarcos Sanchez, Chief Information Technology Officer da Exame;Diego Bock, Coordenador Técnico de Cibersegurança do SENAC-RS; eIsmael Aguilar, Information Security Manager do iFood Pago. O grupo discutiu o papel da AI diante do volume e da complexidade que já fazem parte da rotina dos times de segurança.
Um alerta isolado raramente conta toda a história. Uma tentativa de login, por exemplo, pode não indicar um incidente. Mas a mesma atividade ganha outro significado quando associada a um usuário, a um dispositivo vulnerável e a uma sequência de comportamentos incomuns. Como explicou Diego, são essas conexões que criam o contexto necessário para uma resposta mais rápida e precisa. Rafael reforçou essa diferença entre autenticação e confiança: “Credencial válida não significa comportamento legítimo.”
A AI pode ajudar a correlacionar milhares de registros e reconstruir essa trilha. Para isso, porém, precisa conhecer o ambiente em que opera: quais comportamentos são esperados, por que determinado alerta existe, como a sazonalidade afeta o tráfego e quais eventos realmente representam risco para o negócio.
Sem esse contexto, a automação pode apenas acelerar decisões ruins. Um comportamento legítimo pode mobilizar várias equipes como se fosse um ataque, enquanto um incidente real pode permanecer diluído entre milhares de logs. O valor da AI aparece quando ela transforma dados fragmentados em informação útil para a tomada de decisão técnica e para o negócio.
Governar equipes formadas por pessoas e agentes
O painel também ampliou a discussão para além das ferramentas. Conforme agentes passam a executar tarefas dentro das operações, líderes de segurança começam a administrar equipes híbridas, formadas por pessoas e sistemas autônomos.
Isso exige novas perguntas. Quem acompanha o desempenho de um modelo ao longo do tempo? Como identificar se ele continua tomando decisões adequadas? Quais APIs o agente pode acessar? Com que frequência suas vulnerabilidades precisam ser revistas? E o que acontece quando um dos componentes dessa cadeia falha?
Marcos destacou que a AI precisa fazer parte do núcleo da estratégia e da operação, e não aparecer apenas como uma camada adicionada a processos que continuam sem governança. Diego lembrou que muitas empresas ainda constroem sistemas pensando somente em usuários humanos e tentam incorporar agentes posteriormente, inclusive em ambientes legados cujos desafios de identidade e acesso ainda não foram resolvidos.
O risco não está apenas em acompanhar a evolução da AI, mas em deixar de acompanhar aquilo que já foi implementado. Como ressaltou Ismael, usar AI sem definir o objetivo e sem preparar os processos pode criar uma armadilha para a própria organização. A automação potencializa aquilo que já existe. Por isso, fundamentos como Security by Design, gestão de identidades e revisão de código continuam indispensáveis.
Diego destacou que “a AI veio para impulsionar negócios, mas quem entende dos negócios somos nós”. Marcos acrescentou que a AI consegue indicar pontos de falha, mas as decisões mais agressivas continuam sob responsabilidade das pessoas. Na arquitetura de proteção, ele resumiu a relação entre escala e execução: “A inteligência pode ser centralizada, mas a proteção deve ser distribuída.”
“Eu automatizo a execução, mas a decisão não pode ser terceirizada”, concluiu Rafael.
Criptografia pós-quântica: o risco começa antes do Q-Day
Enquanto o painel discutiu a governança das decisões tomadas hoje, Luis Artur Rossa, Principal Product Marketing Manager na Azion, chamou atenção para dados que podem estar em risco agora, mesmo que computadores quânticos capazes de quebrar a criptografia atual ainda não estejam disponíveis.
Na palestra “PQC e mTLS: protegendo APIs contra ameaças quânticas”, Artur explicou o cenário conhecido como harvest now, decrypt later. Um agente malicioso pode capturar e armazenar tráfego criptografado hoje para tentar decifrá-lo no futuro, quando a capacidade computacional necessária estiver disponível.
Essa possibilidade muda a forma de calcular a urgência. Empresas precisam considerar quanto tempo levarão para migrar seus sistemas, por quanto tempo seus dados devem permanecer confidenciais e quando computadores quânticos poderão ameaçar os algoritmos atuais. Se a soma do tempo de migração com a vida útil da informação ultrapassar esse horizonte, o risco já existe.
O NIST publicou os primeiros padrões de criptografia pós-quântica em 2024, incluindo o ML-KEM para estabelecimento de chaves. No Brasil, a Instrução Normativa ITI nº 35, publicada em janeiro de 2026, acrescentou suporte aos algoritmos pós-quânticos ML-KEM e ML-DSA nos padrões criptográficos da ICP-Brasil. Esses movimentos mostram que a transição saiu do campo experimental e entrou no planejamento técnico e regulatório das organizações.
PQC e mTLS protegem dimensões diferentes
Artur também mostrou como a criptografia pós-quântica se relaciona com o mTLS na proteção de APIs. O TLS protege os dados em trânsito. Já o mTLS acrescenta autenticação mútua: o cliente verifica a identidade do serviço, e o serviço também valida quem está se conectando antes de permitir que a requisição chegue à aplicação.
Esse mecanismo sustenta ecossistemas com grande volume de integrações sensíveis, como o Open Finance. A chegada da computação quântica, porém, exige revisar os algoritmos usados para estabelecer conexões e validar identidades.
Na Azion, o trecho entre clientes compatíveis e a plataforma pode negociar o grupo híbrido X25519MLKEM768, que combina criptografia clássica e pós-quântica. A proteção do caminho completo até a origem depende de compatibilidade entre todos os lados, por isso a migração tende a acontecer de forma gradual.
O primeiro passo para as empresas é identificar quais aplicações transportam dados que não podem ser expostos agora nem no futuro. A partir daí, é possível construir um inventário criptográfico, priorizar informações sensíveis e de longa duração, testar abordagens híbridas e exigir agilidade criptográfica de sistemas e fornecedores.
Quando o Swagger se transforma em política de segurança
A proteção de APIs também esteve no centro da apresentação de Bruno de Jesus Paixão, Solutions Engineer na Azion. Em “Agentic API Security: o Swagger vira Firewall”, ele mostrou uma aplicação prática de agentes de AI na manutenção do perímetro de uma API.
Times de desenvolvimento já mantêm um contrato formal que descreve endpoints, métodos, parâmetros e estruturas esperadas: a especificação Swagger ou OpenAPI. O problema é que esse contrato nem sempre acompanha as políticas de segurança. Enquanto APIs mudam com frequência, regras criadas manualmente podem ficar desatualizadas e permitir que endpoints antigos ou não documentados continuem expostos.
Na abordagem apresentada por Bruno, a própria especificação se transforma em uma política de allowlist. Um agente compara cada requisição com o contrato da API. Paths, métodos e requisitos de autorização previstos seguem para a origem. O que estiver fora da especificação pode ser bloqueado antes de alcançar a aplicação.
A AI Inference acrescenta uma camada contextual a essa checagem estrutural ao classificar payloads e padrões de tráfego suspeitos. Quando a especificação muda, a política também pode ser atualizada, reduzindo o intervalo entre a publicação de um novo endpoint e sua proteção.
Cada decisão gera eventos que podem alimentar as ferramentas de observabilidade e o SIEM da equipe. Assim, a automação não elimina a supervisão. Ela aplica controles de forma consistente e oferece evidências para que os times acompanhem o comportamento da API e do agente.
Aceleração com contexto e controle
Os conteúdos levados pela Azion ao segundo dia do Mind The Sec mostram que os próximos desafios da segurança não serão resolvidos apenas pela adoção de novas ferramentas.
Nas operações de segurança, a AI precisa compreender o contexto para ajudar pessoas a tomar decisões melhores. Na proteção de APIs, agentes podem transformar especificações existentes em políticas executáveis, desde que suas ações sejam observáveis e governadas. Na criptografia, a preparação precisa começar antes que a ameaça quântica se torne uma capacidade acessível aos atacantes.
Em todos esses cenários, o princípio permanece o mesmo: a tecnologia pode acelerar análises, respostas e mudanças, mas a organização precisa preservar sua capacidade de decidir o que deve acontecer, verificar o que aconteceu e adaptar seus controles quando o ambiente mudar.
Conheça as soluções da Azion para proteger aplicações e APIs com políticas programáveis executadas em uma infraestrutura distribuída.
