Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

As equipes de segurança acabam de ganhar uma arma nova e completamente gratuita. O OWASP Noir é uma ferramenta de análise estática open-source que lê o código-fonte da sua aplicação e lista todos os endpoints expostos, com caminhos, métodos HTTP, parâmetros, headers e cookies vinculados ao arquivo e à linha exatos de origem. O grande trunfo: as shadow APIs, rotas não documentadas que os atacantes adoram, finalmente aparecem lado a lado com todo o resto.

O Noir cobre 29 linguagens e 205 frameworks em um único binário, sem plugins nem configuração por linguagem. Ele sinaliza chaves, tokens e credenciais embutidos no código com regras graduadas por severidade, marca handlers com tags como jwt, payment, admin e file_upload e exporta em 22 formatos, incluindo JSON, SARIF, OpenAPI e Postman. Ele ainda alimenta rotas direto no ZAP, no Burp Suite e em pipelines de CI por meio de uma GitHub Action, cobrindo os pontos cegos que scanners dinâmicos simplesmente não alcançam.

Para quem defende uma base de código, isso é uma mudança real. Em vez de adivinhar qual rota esquecida continua respondendo a estranhos na internet, você tem um inventário completo e honesto. Está disponível de graça no GitHub e eleva o padrão de como toda a indústria mapeia a própria superfície de ataque.

OWASP Noir é uma ferramenta gratuita e open-source que revela cada endpoint de API escondido no seu código

#open-source #cybersecurity #devsecops #api-security #owasp #appsec #static-analysis

Ver detalhe →

A demonstração termina e, por alguns segundos, a sala fica em silêncio. O agente leu os e-mails do cliente, consultou o CRM, cruzou as condições comerciais, preparou uma proposta e disparou a mensagem, tudo antes que alguém precisasse alternar de tela. Então vem a pergunta que desmonta o encantamento: com as credenciais de quem esse agente fez tudo isso?

O risco mudou de lugar. Um chatbot que responde errado gera constrangimento; um agente conectado a sistemas corporativos transforma uma resposta errada em ação real, como alterar um contrato ou aprovar um desconto indevido. O OWASP Top 10 for Agentic Applications 2026 coloca o sequestro do comportamento do agente e o abuso de privilégios entre os riscos centrais, e com acesso suficiente uma instrução maliciosa pode expor dados de clientes ou acionar outro sistema crítico. O ataque entra pela linguagem, o dano aparece na autorização.

A solução é arquitetura, não prompt melhor. O agente precisa de identidade própria, separada da pessoa que o acionou e do sistema que o hospeda. A permissão deve acompanhar a tarefa, com escopo reduzido e validade curta, em vez de credenciais duradouras e abrangentes. E a trilha precisa registrar quem originou a solicitação, qual agente decidiu, qual ferramenta foi chamada, quais dados foram usados e qual foi o resultado. Autonomia sem controle é apenas uma conta privilegiada com capacidade de improvisar. No fim, é a segurança que determina a velocidade de adoção e o retorno real sobre o investimento.

Seu agente de IA tem credencial. Mas quem autorizou a decisão?

#cybersec #ciberseguranca #identidade-digital #governanca #ia-agentica #seguranca-da-ia #controle-de-acesso #owasp

Ver detalhe →