Resumo: Aikido Faça agora testes de penetração na sua rede externa. Os atacantes já testam o seu perímetro todos os dias e, com os agentes de IA a fazerem o trabalho pesado, são mais rápidos do que nunca. Agora pode realizar o mesmo teste primeiro. Basta fornecer um domínio aos nossos agentes e eles irão mapear os sistemas expostos à Internet que gere e atacá-los a partir do exterior, exatamente como um agente malicioso faria.
Neste preciso momento, algures, ferramentas automatizadas estão a analisar os seus subdomínios, a identificar as características dos seus servidores e a verificá-los em relação a vulnerabilidades conhecidas, como o PHP2Shell — as falhas críticas do PHP que, na semana passada, passaram de uma fuga de informação para uma exploração ativa em apenas algumas horas. Os agentes de IA já não se limitam a detetar uma estrutura desatualizada ou um ficheiro de configuração exposto. Tentam a exploração, adaptam-se quando esta falha e utilizam tudo o que encontrarem para aceder ao sistema seguinte. As vulnerabilidades que antes exigiam um especialista e um fim de semana livre tornaram-se alvos fáceis que são explorados automaticamente, em milhares de empresas ao mesmo tempo.
Quão rápido é isso? Quando o PHP2Shell foi divulgado, o siteCloudflare já tinha registado milhares de tentativas de exploração nas 10 horas que antecederam o anúncio. Esse número disparou para dezenas de milhares em 45 minutos, centenas de milhares em duas horas e milhões no dia seguinte.
A esse ritmo, a resposta oficial às falhas mais graves pode consistir em desligar os sistemas expostos até que sejam corrigidos. Quando os atacantes visaram os dispositivos VPN da Ivanti em 2024, a Agência de Cibersegurança e Segurança das Infraestruturas dos EUA (CISA) concedeu às agências federais 48 horas para desligarem todos os dispositivos afetados, só permitindo que voltassem a ficar online depois de terem sido reconstruídos e totalmente atualizados. E o PHP2Shell não é um caso isolado. Os números do «Zero Day Clock», compilados pela a16z, mostram que, em 2018, 18,7% das vulnerabilidades exploradas pelos atacantes foram aproveitadas no próprio dia em que foram divulgadas ou antes disso. Até agora, em 2026, essa percentagem é de 86,7%.
Mas só é possível desligar um sistema de que se tem conhecimento, e só depois de alguém nos avisar de que está em risco. Quando os atacantes agem com tanta rapidez, a única forma de nos anteciparmos a eles é realizar testes com a mesma frequência.
Wout Debaenst, responsável pelos testes de penetração da Aikido, passou anos a realizar estes testes manualmente:
«O que estamos a testar é exatamente o que já está a ser testado constantemente. Podem deixar-nos fazer a pirataria informática, ou podem deixar que sejam os grupos criminosos a fazê-lo. É o mesmo teste e é melhor que sejamos nós a descobri-lo do que eles.»
A partir de hoje, já pode realizar esse teste em primeiro lugar. O Aikido realiza testes de penetração na rede externa, atacando o seu perímetro tal como um invasor externo o faria, partindo apenas do seu domínio e de um pequeno exército de agentes de IA.
O que é um teste de penetração na rede externa?
Os termos relacionados com testes de penetração são utilizados de forma pouco precisa, por isso, eis o que cada um deles normalmente significa:
- Teste de penetração de aplicações web: analisa em profundidade uma aplicação, a sua lógica, as funções dos utilizadores e o seu código. É aqui que se revelam as falhas na lógica de negócio e os controlos de acesso deficientes.
- Teste de penetração da rede externa: abrange tudo o que é acessível a partir da Internet pública no âmbito do seu domínio, como servidores, gateways VPN e servidores de e-mail. As suas aplicações também estão incluídas no âmbito do teste, mas apenas a parte que qualquer pessoa na Internet pode ver: o servidor em que são executadas e as páginas a que se acede sem iniciar sessão. Testar o que acontece após o início de sessão, como as funções dos utilizadores e a lógica de negócio, requer um teste de penetração de aplicações web.
- Teste de penetração interno: abrange sistemas que não estão acessíveis a partir da Internet, como uma rede de escritório, uma nuvem privada ou o Active Directory. Os testes de penetração de rede externos não incluem estes sistemas.
Se a maior parte da sua atividade empresarial depende de uma única aplicação, comece por aí. Realize primeiro um teste de penetração à aplicação web nessa aplicação e corrija as falhas detetadas. Em seguida, realize um teste de penetração à rede externa para testar tudo o que a rodeia, de modo a que o resto do seu perímetro não ofereça aos atacantes uma via de acesso mais fácil.
O seu perímetro muda mais depressa do que o seu calendário de testes de penetração
Muitas empresas realizam testes de penetração na sua rede externa uma ou duas vezes por ano, e tudo o que muda depois de os testadores terminarem fica por testar até à próxima vez. Se alguém criar um novo subdomínio na semana seguinte ao teste de penetração, este pode ficar lá durante meses antes de alguém da vossa equipa tentar invadi-lo. No relatório «2026 State of AI in Pentesting» daAikido, 48% dos 400 líderes de segurança e engenharia que inquirimos afirmaram que as conclusões dos testes de penetração já estão desatualizadas quando chegam às mãos dos responsáveis.
Por isso, é necessário realizar testes com maior frequência, idealmente sempre que o seu perímetro sofrer alterações. O teste de penetração da rede externa do Aikido é executado de forma contínua, mapeando constantemente todos os elementos do seu domínio, e os agentes começam a testar cada novo host pouco depois de este ficar ativo. O preço do pentest contínuo é calculado anualmente, com base na dimensão da sua rede externa no momento do primeiro teste de penetração. Se ainda estiver a decidir com que frequência testar cada elemento, veja aqui como planear a frequência e o orçamento dos seus testes de penetração em função do risco.
Como funciona
- Os agentes mapeiam o seu perímetro. Procuram subdomínios e sistemas expostos à Internet sob o seu domínio raiz: sites, aplicações, APIs, gateways VPN, servidores de e-mail e ferramentas auto-hospedadas, como um servidor GitLab. Os subdomínios que apontam para serviços que não lhe pertencem são filtrados automaticamente, e pode remover quaisquer outros que não queira que sejam testados.
- Verifica-se a titularidade. Assim que esta for confirmada, recebe-se um orçamento exato e inicia-se o teste de penetração. Não é necessária nenhuma chamada para definir o âmbito do projeto, nem é necessário ter uma subscrição ativa do Aikido .
- Os agentes atacam cada anfitrião. Cada anfitrião recebe os seus próprios agentes, que atuam através do próprio servidor e tentam infiltrar-se aproveitando vulnerabilidades CVE conhecidas, configurações incorretas e pontos de acesso expostos secrets.
- Apenas as descobertas comprovadas são incluídas no relatório. Antes de as descobertas serem aceites, os agentes têm de fundamentar as suas alegações com provas concretas que sejam validadas e reproduzidas por outros agentes.
- Corrige o problema e volta a testar. Cada resultado vem acompanhado de uma sugestão de correção. Depois de a aplicar, um novo teste inicia um agente adicional que verifica se o problema foi resolvido e se a correção criou uma nova falha noutro local. Os novos testes estão disponíveis durante um período máximo de 6 meses.
Agentes que decidem o seu próximo passo
AikidoO teste de penetração da [empresa] assenta na utilização de agentes. Cada um deles começa num ponto diferente, com o seu próprio foco, e decide o que fazer a seguir com base no que descobre. Uma indicação de versão, uma porta aberta ou um ficheiro exposto alteram o plano, tal como aconteceria com um atacante humano. É isso que lhes permite adaptar-se ao seu ambiente, independentemente da forma como este estiver configurado.
A maioria das ferramentas de « pentest automatizado », incluindo algumas comercializadas como IA, funciona com base num conjunto pré-definido de verificações. Se uma verificação não corresponder exatamente ao seu ambiente, essa parte fica por testar, e é esse tipo de ponto cego que um atacante identifica imediatamente.
Eis como se traduz essa adaptação num perímetro típico:
- Uma pasta .git exposta torna o histórico do repositório acessível num servidor público
- O histórico do repositório contém credenciais SSH
- As mesmas credenciais funcionam num host diferente
- Nesse segundo servidor, os agentes encontram as credenciais do Azure
- Essas credenciais conferem acesso de administrador ao inquilino da nuvem
Poucas dessas descobertas, por si só, seriam o ponto alto de um relatório. Quando analisadas em conjunto, revelam o utilizador da nuvem. O relatório apresenta a cadeia completa, para que se possa ver o que um atacante poderia realmente alcançar e como cada passo o levou até lá.
Uma ferramenta para a sua equipa de testes de penetração
Os testadores humanos dão o seu melhor em trabalhos profundos e criativos, como uma aplicação crítica para o negócio ou um cenário de ataque que só alguém que conheça o seu negócio poderia imaginar. O seu tempo tem menos valor quando é dedicado a verificar novamente centenas de hosts em busca de problemas que surgiram desde a última intervenção.
Os agentes de IA podem e devem começar a assumir essa parte. Eles abrangem todos os anfitriões que encontram em cada execução, para que as pessoas a quem pagas dediquem o seu tempo ao que mais requer discernimento. Para os prestadores de serviços de testes de penetração, a ideia é a mesma: instalar primeiro os agentes ao longo do perímetro do cliente e, em seguida, dedicar o tempo do projeto ao trabalho que requer a vossa atenção.
É seguro executar em ambiente de produção
A sua rede externa é o seu ambiente de produção, pelo que os agentes foram concebidos para a testar sem afetar nada:
- Um agente supervisor analisa cada ação antes da sua execução e bloqueia tudo o que possa perturbar os sistemas.
- Os agentes param assim que a exploração é comprovada e solicitam uma confirmação humana antes de avançarem mais.
- Eles não descarregam nem armazenam os seus dados. As conclusões revelam que os agentes obtiveram acesso, sem copiar nada.
- Para além do seu domínio raiz, verifica-se a titularidade de cada alvo individual, pelo que os agentes nunca testam sistemas que não sejam seus.
- O botão de pânico interrompe imediatamente o trabalho de todos os agentes.
Comece agora
Veja a demonstração para observar os agentes a percorrerem um perímetro.
Se preferires começar logo com o teu próprio projeto, basta escolheres o domínio que mais te interessa e deixar os agentes a trabalhar. Podes acompanhar cada agente em tempo real enquanto trabalha, e o relatório fica pronto em poucas horas.
{{cta}}
