João Miguel Mesquita
A inteligência artificial está a tornar o desenvolvimento de software mais rápido, mais acessível e, em muitos casos, mais automatizado. Os agentes de codificação já ajudam a criar, alterar e rever código com uma velocidade que seria difícil de replicar apenas com equipas humanas. Mas essa evolução levanta uma questão as empresas, quanto mais código é produzido, mais difícil se torna garantir que chega à produção sem falhas de segurança relevantes.
É precisamente nesse ponto que a AWS posiciona o Continuum, um novo serviço desenhado para descobrir, investigar e corrigir vulnerabilidades em ambientes empresariais. A proposta não se limita ao código desenvolvido internamente pelas organizações. O serviço também pretende atuar sobre código de terceiros, respondendo a uma realidade comum nas empresas, onde aplicações próprias, bibliotecas externas e componentes de fornecedores convivem no mesmo ecossistema tecnológico.
A AWS quer que o Continuum vá além da geração de alertas e acompanhe as vulnerabilidades ao longo de todo o ciclo de correção. A diferença é relevante porque, em muitas organizações, a segurança aplicacional continua dependente de processos manuais, nos quais equipas de desenvolvimento e de cibersegurança têm de analisar descobertas, perceber se são realmente exploráveis e definir prioridades de remediação.
Segundo Chet Kapoor, vice-presidente de Segurança e Observabilidade da AWS, o objetivo do serviço é reduzir esse desequilíbrio. Para aplicações próprias, o Continuum pode analisar o código, validar se uma vulnerabilidade pode ser explorada, gerar recomendações de correção e propor alterações que os programadores podem rever dentro dos fluxos habituais de desenvolvimento de software.
Na prática, a AWS procura aproximar a segurança do próprio processo de criação de código. Em vez de tratar a segurança como uma etapa posterior, dependente de relatórios, painéis e triagens manuais, o Continuum tenta integrar a análise e a correção nos mecanismos que as equipas já utilizam para desenvolver e rever software.
Quando o serviço tiver aprendido o suficiente sobre o ambiente e as regras internas da organização, poderá ser colocado num modo de imposição para corrigir automaticamente falhas de código. Esta capacidade introduz uma mudança importante no modelo operacional, porque desloca parte da resposta à vulnerabilidade para sistemas automatizados. Ainda assim, a existência de revisão pelos fluxos de trabalho existentes mantém uma ligação direta às equipas de desenvolvimento, sobretudo nas fases em que a organização ainda está a validar o comportamento do serviço.
O Continuum aproveita algumas funcionalidades já presentes no Security Agent, incluindo capacidades de testes de penetração e análise de código. A AWS acrescenta, no entanto, novas funções, entre as quais a modelação de ameaças. Esta funcionalidade foi concebida para gerar automaticamente modelos de ameaça a partir de código-fonte ou documentos de projeto, permitindo exportar essa análise no formato STRIDE.
A modelação automática de ameaças pode ajudar as equipas a perceber, mais cedo, onde uma aplicação está exposta e que tipos de risco devem ser tratados primeiro. Em termos simples, trata-se de transformar documentação técnica e código em mapas de risco mais estruturados, facilitando a discussão entre desenvolvimento, segurança e gestão.
A chegada do Continuum acompanha uma mudança mais ampla na forma como o software é produzido. À medida que as empresas adotam ferramentas de codificação baseadas em IA, o volume de código criado ou alterado tende a crescer. Esse aumento pode trazer ganhos de produtividade, mas também pressiona os métodos tradicionais de validação de segurança.
Akshat Tyagi, da HFS Research, resume esse desafio ao considerar que o problema já não está apenas em encontrar vulnerabilidades. A dificuldade passa por distinguir quais são reais, quais importam no contexto concreto da empresa e quais devem ser resolvidas primeiro. Os modelos tradicionais baseados em painéis e triagem manual mostram limitações quando confrontados com esse volume, porque identificam o acumulado de problemas, mas não validam automaticamente a descoberta, nem avaliam o impacto no negócio, nem ajudam diretamente na correção.
O Continuum surge, assim, como uma tentativa da AWS de alinhar a segurança aplicacional com a velocidade introduzida pela programação assistida por IA. Para os decisores tecnológicos, a questão de fundo será perceber até que ponto este tipo de serviço consegue reduzir o trabalho manual sem retirar controlo às equipas responsáveis pelo risco, pela qualidade do software e pela continuidade operacional.
O desafio estará em demonstrar, em ambientes empresariais reais, que a automatização consegue acelerar a correção de vulnerabilidades sem criar novas zonas de incerteza no ciclo de desenvolvimento.
