Além do Código: O que o Hack'a Valley 2026 Revela Sobre Arquitetura, IA e Segurança

A maioria dos tutoriais de programação ensina a construir no cenário ideal: a tela abre, o botão responde e o banco de dados salva a informação. O problema é que o ambiente de produção não perdoa pequenos descuidos de arquitetura.

Neste fim de semana, acompanhei as nove palestras da Trilha Técnica do Hack’a Valley Security Conference 2026, no Vale do Paraíba. Em um único dia, vi demonstrações práticas de um Rádio Definido por Software (SDR) manipulando a localização de um smartphone via radiofrequência, e um API Gateway vazando a memória de uma aplicação bancária por causa de uma rota coringa mal configurada.

Chegada e credenciamento no Hack’a Valley 2026: imersão na trilha técnica de segurança ofensiva e defensiva.

Mesmo estando no primeiro semestre de Análise e Desenvolvimento de Sistemas (ADS) na FATEC, minha decisão de participar da conferência teve um objetivo claro: observar a tecnologia pela perspectiva de quem testa limites, identifica falhas estruturais e projeta defesas em ambientes críticos.

A experiência reforçou uma conclusão prática: segurança não é uma camada adicionada no final do projeto, mas parte inseparável da engenharia de software. Compreender redes, concorrência, gerenciamento de memória e permissões é o que sustenta um sistema estável.

Abaixo, reuni os principais aprendizados técnicos e arquiteturais de cada apresentação.

1. Agentes de IA em Ação: Desafios da Segurança na Era da Autonomia

Palestrante: Poliana Moraes (Especialista em InfoSec & Governança na CI&T)

A apresentação abordou a transição da inteligência artificial dos chatbots de texto para os agentes autônomos. Esses modelos recebem objetivos em alto nível, planejam etapas de forma dinâmica e acionam ferramentas externas como APIs, bancos de dados e interpretadores de comando com intervenção humana reduzida.

Poliana Moraes (CI&T) detalhando o fluxo de percepção, centro de controle e atuadores em sistemas agênticos.

O ponto central foi o contraste entre dois modelos fundamentais de computação:

1. Computação Clássica: Determinística, onde regras lógicas estritas aplicadas às entradas sempre produzem rigorosamente a mesma saída.
2. Sistemas com IA: Probabilísticos, onde o modelo deduz padrões a partir de dados e pode tomar decisões e caminhos diferentes a cada ciclo de execução.

Proteger arquiteturas probabilísticas exige novos critérios de desenho:

• Isolamento de Blast Radius: O agente não deve herdar permissões administrativas totais da conta do usuário. Ele precisa de uma identidade de serviço própria, restrita ao menor privilégio necessário para a tarefa.
• Mitigação de Goal Hijacking: Quando um agente processa conteúdos externos da web ou de bancos de dados, instruções maliciosas ocultas podem desviar seu objetivo primário.
• Human-in-the-Loop (HITL): Ações de alto impacto, como transações financeiras, exclusão de dados ou alterações de infraestrutura, precisam de validação humana explícita antes da execução.

2. Back to the Roots: CTI e a Maestria dos Fundamentos

Palestrante: Thiago Bordini (Diretor de CTI no Cyber Horizon Group)

Com mais de duas décadas de experiência na resposta a incidentes críticos no Brasil, Bordini analisou como operam os grupos de ataque que visam o sistema financeiro e corporativo nacional.

Thiago Bordini (Cyber Horizon Group) mapeando o ciclo de ataque real contra o sistema financeiro e corporativo brasileiro.

Ele demonstrou que as invasões mais graves raramente dependem de técnicas cinematográficas. Na prática, os atacantes exploram descuidos comuns de desenvolvimento:

• Chaves de acesso e variáveis de ambiente esquecidas em coleções públicas do Postman.
• Repositórios de código corporativo publicados sem proteção em contas pessoais do GitHub.
• Credenciais capturadas por InfoStealers associadas à falta de autenticação multifator em acessos via linha de comando.
• Injeção de mensagens diretamente em filas corporativas como RabbitMQ e Azure ServiceBus para emitir ordens fraudulentas de liquidação via PIX.

O recado principal foi a valorização do básico bem executado. Adquirir ferramentas caras não resolve falhas estruturais de visibilidade de logs, excesso de privilégios e desconhecimento dos fluxos do próprio negócio.

Bordini destacou a importância do brio intelectual, lembrando que dominar a computação exige a disciplina de estudar documentações densas e fundamentos de arquitetura, sem depender de atalhos superficiais.

3. Explorando Vulnerabilidades em APIs Gateways

Palestrante: Fepame (Especialista em API Security & OffSec)

Uma análise prática de como decisões de roteamento em arquiteturas de microsserviços afetam a segurança da aplicação. O API Gateway funciona como ponto central de entrada, validando requisições públicas e distribuindo o tráfego para serviços internos.

O palestrante destacou os riscos de configurações permissivas:

• Uso de Wildcards (/**): Mapeamentos genéricos de rotas repassam caminhos arbitrários para a rede interna, expondo serviços que nunca deveriam ser acessíveis externamente.
• Exposição de Endpoints de Diagnóstico: Manter ativas rotas do Spring Boot Actuator em produção expõe variáveis de ambiente (/actuator/env) e permite o download do heapdump da memória da JVM (/actuator/heapdump).
• Path Traversal e WAF Bypass: Manipulações de codificação na URL (como Double URL Encoding) que contornam filtros do firewall de aplicação, permitindo extrair da memória tokens JWT e cabeçalhos de autenticação de sessões ativas para assumir contas de clientes bancários.

A lição para quem projeta software é direta: a segurança das rotas precisa ser validada tanto no Gateway quanto individualmente em cada microsserviço de retaguarda.

4. Além dos Prompts: Integrando Agentes de IA em OSINT

Palestrante: Vinícius Vieira (SecOps Manager na Trustly)

Apresentação voltada para o uso de agentes de IA em operações de OSINT (Open Source Intelligence), estruturando investigações em fontes abertas de maneira modular.

Vinícius explicou a diferença entre consultas isoladas em chatbots e a construção de pipelines agênticas especializadas. Em vez de concentrar instruções em um único prompt extenso, a arquitetura recomendada utiliza um orquestrador central que distribui tarefas para agentes com funções delimitadas: coleta de registros, cruzamento de dados públicos, detecção de anomalias e consolidação de relatórios com persistência de contexto entre execuções.

O palestrante também tratou do rigor de segurança operacional (OPSEC):

• Dados corporativos confidenciais ou evidências sensíveis não devem ser enviados para provedores de modelos em nuvem pública sem garantias contratuais de retenção zero.
• O uso de modelos abertos executados localmente, como a família Llama via ferramentas de inferência local, garante que nenhuma informação saia da infraestrutura própria.
• A responsabilidade pelas conclusões de uma análise permanece com o operador humano, que deve checar a veracidade das fontes e não tratar probabilidades de modelos como fatos comprovados.

5. A História da Segurança da Informação: De 1940 aos Dias de Hoje

Palestrante: Felipe Prado (Head de IA & Cyber Analytics na Credicorp)

Uma retrospectiva histórica que conectou as origens da computação aos desafios atuais de nuvem e inteligência artificial.

Prado destacou marcos fundamentais ao longo das décadas:

• Décadas de 1940 a 1970: Os trabalhos pioneiros de John von Neumann e Alan Turing, a criação da ARPANET e a era do phreaking, quando John Draper descobriu que o apito de brinquedo do cereal Cap’n Crunch (na frequência de 2600 Hz) permitia controlar comutadores telefônicos para efetuar chamadas gratuitas.
• Décadas de 1980 e 1990: A chegada dos computadores pessoais, a disseminação dos primeiros vírus em disquetes, o AIDS Ransomware (1989) e as práticas de engenharia social física (dumpster diving), em que informações corporativas eram obtidas diretamente de documentos descartados no lixo de instituições financeiras.

A principal observação foi o caráter cíclico da área: novas tecnologias frequentemente recriam problemas conhecidos de validação, identidade e controle de acesso, apenas sob novas camadas de abstração.

6. Quebrando o Air-Gap com Suporte de IA: Engenharia de Detecção em SOC de TO

Palestrante: Osmany Arruda (Incident Response Specialist na Tempest e Docente na FATEC)

Uma análise sobre a segurança em ambientes de Tecnologia Operacional (TO), que controlam processos industriais, redes elétricas e linhas de produção fabris.

Arruda detalhou o contraste de prioridades operacionais entre os dois mundos:

• Em TI Tradicional: A prioridade central costuma ser a Confidencialidade dos dados.
• Em TO Industrial: A prioridade máxima é a Disponibilidade e a Integridade Física (Safety), pois paralisar uma linha de produção ou maquinário pesado para aplicar correções de sistema pode gerar prejuízos elevados e riscos diretos às pessoas.

O palestrante desmistificou o isolamento total (Air-Gap), mostrando que redes sem fio de manutenção e dispositivos temporários criam pontes de entrada. Em seguida, demonstrou como o uso orientado de IA auxilia na escrita rápida de consultas KQL (Kusto Query Language) dentro de plataformas de SIEM, identificando anomalias em protocolos industriais legados (como Modbus e CIP) sem causar interrupções operacionais.

7. É Possível Hackear o Sistema de GPS em Casa? (SDR & Aviação)

Palestrante: Alberto Magno (Pesquisador e Especialista em Cibersegurança Aeroespacial)

Apresentação técnica sobre a camada física de transmissões de radiofrequência e a vulnerabilidade das constelações de satélites GNSS (GPS, GLONASS, Galileo e BeiDou).

Alberto explicou os dois principais tipos de interferência:

• Jamming: Emissão de ruído contínuo na mesma frequência do sinal (Banda L1 em 1575.42 MHz) com potência suficiente para encobrir o sinal dos satélites, resultando em perda de rastreio.
• Spoofing: Transmissão de sinais forjados com potência ligeiramente superior à dos satélites legítimos, induzindo receptores a aceitarem coordenadas, velocidade e horários incorretos.

Utilizando um Rádio Definido por Software (HackRF One) e scripts em Python, ele demonstrou na prática:

1. A alteração das coordenadas de smartphones e módulos GPS para qualquer localização global em tempo real, contornando proteções em nível de software por atuar diretamente na camada física de rádio.
2. A criação de trajetórias dinâmicas contínuas através da fórmula matemática de Haversine, simulando o deslocamento suave de veículos e aeronaves com controle de velocidade e altitude.

O experimento reforçou os riscos para frotas autônomas e a aviação civil, destacando a necessidade de redundância com Sistemas de Navegação Inercial (INS) que não dependem exclusivamente de sinais externos.

8. Crime e Castigo: O Funeral do OPSEC

Palestrantes: Cybelle Oliveira (La Villa Hacker DEF CON) e Divina Vitorino (Coordenadora de InfoSec LATAM)

Estudo de caso investigativo sobre o modelo comercial de Malware-as-a-Service (MaaS), focado na operação do RedLine Stealer, um dos malwares mais disseminados para captura de credenciais, cookies de sessão e carteiras digitais.

Cybelle Oliveira (La Villa Hacker) detalhando a arquitetura de infecção e exfiltração de dados do RedLine Stealer.

A apresentação detalhou como operadores de ataques foram identificados por equipes de inteligência de ameaças (CTI) e autoridades policiais devido a falhas de segurança operacional (OPSEC):

• Reuso de Identidade Digital: Associação de e-mails antigos utilizados em fóruns e redes sociais pessoais aos servidores de compilação do malware.
• Contaminação de Endereço IP: Uso do mesmo IP residencial para atividades de lazer e, minutos depois, para autenticação na infraestrutura de controle do código malicioso.
• Rastreabilidade Financeira: Aceitação de transações em Bitcoin vinculadas a contas em corretoras com verificação formal de identidade (KYC).

A conclusão reforçou que a sofisticação técnica de um software não anula falhas humanas de disciplina e processo.

9. macOS Doesn’t Get Malware… Until It Does

Palestrante: Zoziel Freire (CSIRT Manager na Telefônica Brasil)

Apresentação que desconstruiu a ideia de invulnerabilidade do ecossistema Apple, analisando mecanismos internos de segurança (como Gatekeeper, SIP e XProtect) e apresentando técnicas utilizadas por ameaças direcionadas à plataforma.

Entre os conceitos explorados, destacaram-se:

• Uso de LOLBins (Living off the Land Binaries): Emprego do interpretador Python assinado nativamente pelo sistema para rodar rotinas maliciosas sem disparar alertas de execução não autorizada.
• Persistência no Nível do Usuário: Inclusão de arquivos .plist no diretório ~/Library/LaunchAgents, permitindo que o script inicie automaticamente a cada login sem exigir privilégios de administrador (root).
• Execução em Memória (In-Memory): Injeção de código diretamente na memória RAM sem salvar binários no disco rígido, contornando a detecção por assinaturas estáticas de antivírus convencionais.

O encerramento destacou a importância de telemetria comportamental contínua integrada ao Endpoint Security Framework (ESF) da Apple.

Experiências Práticas e Conexões

Além das palestras no palco principal, o evento proporcionou contato direto com tecnologias emergentes e profissionais da área.

Testando na prática a interface de leitura de ondas cerebrais (EEG) para controle de dispositivos no estande da FIAP.

Nos espaços de comunidade e estandes, como a demonstração de interfaces cérebro-computador (BCI / EEG) da FIAP conectando sinais neurais ao acionamento físico de lâmpadas, ficou evidente como as fronteiras entre hardware, software e dados biométricos estão se estreitando, e como cada nova interface amplia os requisitos de segurança e confiabilidade.

Conclusões e Direcionamento Técnico

Acompanhar a conferência consolidou uma certeza prática: o desenvolvedor que compreende como a infraestrutura opera por baixo dos panos escreve software mais confiável, performático e escalável.

Entender falhas de roteamento em gateways de API, governança de modelos de inteligência artificial, segmentação de redes e retenção de logs não é um tema restrito a especialistas em segurança. É a base técnica necessária para tomar decisões conscientes de arquitetura.

Cada uma das palestras abriu tópicos de aprofundamento que continuarei explorando na FATEC e aplicando no desenvolvimento dos meus projetos práticos.