Mais de 50 Técnicas em Menos de Dez Horas. Branch Protection Foi o Único Controle Que Resistiu

Mais de 50 técnicas do MITRE ATT&CK, executadas em menos de 10 horas. A própria linha de base da Unit 42 para o mesmo escopo, com operadores humanos, é de cerca de duas semanas. Nenhum zero-day foi usado. O atacante forneceu os objetivos; um agente forneceu o ofício.

Essa taxa de compressão é o número que abre a investigação da Unit 42 publicada em setembro de 2026. É a parte menos útil do relatório.

A parte útil é a linha do tempo. Percorra etapa por etapa, controle por controle, e o texto deixa de ser uma história sobre velocidade e vira um inventário de quais controles corporativos sobreviveram ao contato com um agente e quais cederam. Várias superfícies nomeadas falharam. Uma resistiu. A que resistiu tem uma propriedade que as outras não têm, e essa propriedade é o achado inteiro.

O Que Aconteceu, Etapa Por Etapa

A Unit 42 descreve uma cadeia com estágios distintos, cada um mapeando para um controle que a maioria das empresas acredita já possuir.

O ponto de entrada foi um endpoint de API público. Foi comprometido. Controle de perímetro: falhou.

A partir dali, subagentes vasculharam repositórios e extraíram tokens hard-coded. Higiene de segredos no código-fonte: falhou. É um dos achados mais antigos da segurança de aplicações e continua sendo o que dá retorno.

Esses tokens chegaram ao sistema de gestão de segredos, e o agente colheu credenciais mestras a partir dele. Esse é o estágio que merece um minuto de atenção. Um cofre de segredos é comprado exatamente para isso: conter o estrago de um token vazado. Aqui ele funcionou como amplificador: um token hard-coded em um repositório alcançou as credenciais mestras que o cofre guardava.

Depois o pipeline de CI/CD foi sequestrado por meio de workflows customizados. Integridade de pipeline: falhou. E chaves de nuvem roubadas foram reaproveitadas para transformar os próprios endpoints de IA da vítima em infraestrutura de pós-comprometimento. O gasto de IA da organização virou orçamento de computação do atacante.

A Unit 42 também relata uma tentativa que não funcionou. O agente tentou plantar um backdoor no Terraform. A branch protection no repositório de infraestrutura como código bloqueou a tentativa. Esse é o único controle que o relatório descreve como tendo interrompido uma etapa.

Vale cuidado aqui, porque o relatório é uma investigação isolada e uma etapa bloqueada não é um experimento controlado. A Unit 42 não afirma que branch protection é a resposta. Mas a assimetria entre o que falhou e o que resistiu é específica o bastante para raciocinar em cima, e o raciocínio se sustenta.

A Propriedade Que Separou os Dois Grupos

Olhe as falhas como conjunto. A API de perímetro, o token no repositório, o cofre de segredos, o pipeline. Cada um desses controles é real, tem orçamento e provavelmente passa por auditoria. Cada um deles também depende, no instante do comprometimento, de algo que acontece fora do próprio controle: um alerta chegando a alguém, uma revisão sendo feita, uma anomalia sendo percebida, um token sendo rotacionado em um cronograma feito para semanas, não para horas.

Branch protection opera por outro mecanismo. Ela é uma pré-condição da escrita. O push satisfaz a regra ou a escrita não acontece. Ninguém é consultado, nenhuma fila é drenada, nenhum analista precisa estar acordado. O controle é uma recusa que executa no mesmo instante da tentativa, e a recusa é o fim do assunto.

Com as cerca de duas semanas que um time humano levaria no mesmo escopo, a diferença entre esses dois formatos de controle é invisível. Sobra folga para um humano entrar no laço. Em menos de dez horas, com mais de 50 técnicas já gastas, a folga acabou. Um controle que emite um alerta e espera é, na prática, um controle que registra a violação.

Esse é o achado que eu levaria a um conselho: os controles que sobrevivem à velocidade de máquina são os que não exigem um humano observando na hora em que disparam.

Por Que o Agente Foi Rápido, em Termos Mecânicos

A velocidade tem explicação mecânica, e o que a Unit 42 nomeia merece leitura como engenharia, e não como teatro de ameaça.

A operação usou chamadas paralelas a LLMs em múltiplos modelos de fronteira. Usou arquivos Markdown estruturados como estado compartilhado entre agentes, ou seja, o substrato de coordenação foi um sistema de arquivos, não um framework sob medida. A persistência foi sobreposta em camadas: chaves SSH, funções serverless, políticas de restart de container, identidades de nuvem. Cada uma dessas é um ponto de apoio separado, com ciclo de vida separado, e remover uma deixa as outras intactas.

O agente também produziu, sob direção do atacante, uma auditoria técnica de 80 páginas detalhando dezenas de achados explorados. O artefato de saída da invasão era um entregável. Esse detalhe diz mais sobre o modelo operacional do que a contagem de técnicas: o humano tocou isso como um projeto com exigência de relatório, e o agente ocupou o papel de analista.

Nada nessa lista exige capacidade inédita. Chamadas paralelas de modelo, arquivos como estado compartilhado, múltiplos mecanismos de persistência. Qualquer time que já construiu um sistema de agentes reconhece tudo, porque é a mesma arquitetura apontada para outro objetivo.

A Curva de Capacidade Não É Plana

Em setembro de 2026, a CNBC informou que a OpenAI afirma que o modelo Astra consegue encontrar falhas de segurança até então desconhecidas e explorá-las sem orientação humana passo a passo, cruzando pela primeira vez o limiar ‘Crítico’ de cibersegurança do Preparedness Framework da OpenAI. A capacidade está restrita a uma coalizão chamada Daybreak.

O Astra não teve participação alguma na invasão da Unit 42, e vale registrar isso de forma explícita. Os dois dados aparecem lado a lado por outro motivo. O atacante do caso Unit 42 ainda precisou fornecer objetivos e direção; o agente forneceu execução. O Astra é descrito como eliminando a necessidade da metade passo a passo dessa divisão. O gating é uma mitigação real para aquele modelo específico, e não diz nada sobre como se comporta uma capacidade equivalente quando deixa de ser restrita.

Se o seu modelo de controle já pressupõe um adversário que executa mais de 50 técnicas em menos de dez horas, a direção dessa curva é insumo de planejamento. Se pressupõe duas semanas, a curva é um problema que você ainda não começou a resolver.

Faça Isso Agora: Separe Seus Controles em Duas Pilhas

O exercício leva uma hora e precisa do líder de segurança e do líder de plataforma na mesma sala.

Liste os controles que você citaria se um regulador perguntasse como conteria um comprometimento de credenciais. Para cada um, responda a uma única pergunta: este controle bloqueia a ação ou produz um sinal sobre o qual alguém precisa agir?

Controles de bloqueio incluem branch protection sem caminho de bypass, revisões obrigatórias que travam o próprio merge, política de rede com negação por padrão, admission controllers que rejeitam um manifesto, credenciais de curta duração que expiram sem ninguém decidir revogá-las, e caminhos de escrita que simplesmente não existem para aquela identidade.

Controles de sinal incluem tudo o que termina em um painel, um chamado, um e-mail ou um alerta de plantão. Valem a pena. Mas não são o que fica entre um agente e o seu estado do Terraform dentro de uma janela de dez horas.

Depois, pegue as superfícies que a Unit 42 viu falhar e audite as suas contra elas, uma a uma. Tokens hard-coded são encontráveis nos seus repositórios agora, por uma varredura que você roda e não por uma que você supõe ter rodado? Um token comprometido em um repositório alcança as credenciais mestras do seu cofre, ou esse caminho está segmentado? Uma mudança em arquivo de workflow dentro de um pull request altera o que o seu pipeline de CI executa, sem aprovação separada? Uma identidade de nuvem comprometida consegue invocar os seus próprios endpoints de modelo, e isso apareceria como algo além de uma anomalia de gasto no fechamento do mês?

As respostas vão incomodar, e o incômodo é o objetivo. Já defendemos aqui que a detecção precisa migrar de técnicas para intenção e que raio de dano é a unidade de projeto. Este caso acrescenta a terceira peça. Entre esses dois, no momento da execução, está a pergunta sobre se o controle precisa de você acordado.

A branch protection resistiu porque ninguém precisou ser acionado para ela funcionar. Construa mais controles com essa propriedade.

Fontes

Unit 42, Palo Alto Networks. “An AI-Assisted Cyber Attack: Inside a Unit 42 Investigation.” Setembro de 2026.
CNBC. “OpenAI says its Astra AI model crosses ‘Critical’ cybersecurity capability threshold.” Setembro de 2026.

A Victorino ajuda organizações de engenharia a separar controles de bloqueio de controles de sinal e a reconstruir os que dependem de alguém acordado: contato@victorino.com.br | www.victorino.com.br