Edition 19

Na semana passada usei a palavra rogue. É por isto. Um limiar que se pode calcular e um indicador que se pode posicionar é engenharia, e a engenharia tem responsáveis. Uma ressalva: testaram modelos open-weight pequenos com a filtragem cloud removida, pelo que os números não se transpõem para produção. O mecanismo sim. Use o teste que esta abordagem implica. Antes de um agente receber credenciais, execute-o contra prompts vagos e mal escritos. Fica dentro das suas permissões, contorna restrições, escala para um humano? Sem respostas, sem autonomia.

Cem incidentes, cem organizações. Abordei três este ano, e apenas porque alguém os documentou. Agora olhe para quem paga. A fundação diz que já está a absorver os custos, os seus voluntários fazem a limpeza, e está a pedir às empresas que lucram com estes agentes que ajudem a prevenir e reparar os danos, em vez de deixar que isto se torne a nova normalidade. O problema que isto deixa é o da atribuição. Se expõe uma API pública, não consegue distinguir uma frota de investigação de um crawler hostil, e os seus rate limits foram dimensionados para humanos. Verifique o que o seu sistema entrega a um cliente não autenticado em volume.

Ninguém entrou à força. Uma conta com acesso legítimo para consultar indivíduos identificados foi usada para extrair 8,8 milhões de registos, e a autorização era válida em cada etapa. Nada estava a monitorizar o padrão de utilização. É o risco de terceiros na sua forma mais pura: pode fazer a due diligence da organização, assinar o contrato, executar o questionário, e ainda assim não ter qualquer ideia do que as suas credenciais estão a fazer às três da manhã. E este dano não expira. Um número CPR é um identificador nacional permanente, pelo que estas pessoas não o podem substituir como se substitui uma palavra-passe, e os falecidos certamente também não. Seja justo num ponto: a Dinamarca dispõe do MitID, pelo que um número CPR isolado não permite a ninguém fazer-se passar por outra pessoa. Mas torna cada chamada de phishing convincente, razão pela qual o ministério está a alertar os cidadãos para não fornecerem qualquer informação por telefone ou email, mesmo a um interlocutor que conheça o seu nome, morada e número CPR. Se concede a algum parceiro acesso de consulta a dados de identidade, descubra esta semana se alguém daria conta de mil consultas onde normalmente existem dez.

Duas horas. Menos tempo do que o intervalo entre duas reuniões do change advisory board. Ignore o conforto de necessitar do caminho exato do ficheiro, porque os caminhos da Atlassian estão documentados e são idênticos em todas as implementações. Isto também reforça uma recomendação que já lhe dei duas vezes. Priorizar com base no catálogo de vulnerabilidades exploradas conhecidas da CISA é um bom filtro, e falhou aqui: três dias após exploração ativa, a falha ainda não estava listada. O gatilho é a combinação. Exposto à internet, auto-alojado, código de exploração público, template de scanning em circulação. Aplique o patch com base nisto. Quando o Crowd está no caminho, está a gerir um incidente de identidade.

Três números, uma lacuna. O risco tem nome, um responsável que ninguém acordou, e ninguém qualificado para o rever. A ISO 42001 foi construída precisamente em torno dessas questões: quem decide, quem revê, quem responde depois. Depois há os 21 por cento, face a uma expectativa da UE de que os estados-membros tenham os seus inventários criptográficos concluídos até ao final deste ano. Harvest now, decrypt later significa que o seu relógio começou quando o ciphertext foi capturado. Responda a uma pergunta: alguma informação que detém precisa de permanecer confidencial por mais tempo do que a sua criptografia atual aguentará? Depois construa o inventário.