Contenção automática: o que a IA pode desligar sozinha

São 3h07 de um sábado. O agente conclui, com a evidência toda anexada, que a conta do diretor financeiro está sendo usada de um dispositivo não gerenciado, em outro país. Já houve até tentativa de criar regra de encaminhamento na caixa de e-mail. Ele desabilita a conta.

Na segunda-feira, uma de duas coisas aconteceu: ou a contenção automática interrompeu uma fraude no meio, ou ela travou o fechamento do mês por causa de uma viagem que ninguém avisou ao time de segurança.

A parte incômoda é que a diferença entre os dois desfechos não estava na qualidade da detecção. Estava na ação escolhida — e em quantas pessoas aquela ação derruba se estiver errada.

A tese em uma frase: a pergunta certa não é "quanto da resposta dá para automatizar", é "esta ação específica pode ser desfeita, e quem ela atinge se o agente estiver errado" — porque investigar é ler, conter é escrever, e escrita se libera por classe de ação, nunca por nível de confiança do modelo.

Por que a contenção automática existe

Antes do freio, o número que justifica o acelerador. O relatório Cost of a Data Breach 2025, da IBM com o Ponemon Institute, mediu a média global de US$ 4,44 milhões por violação. E um ciclo médio de 241 dias para identificar e conter — o menor em nove anos, e ainda assim oito meses. Um humano no meio de cada decisão não é neutro: ele custa dias.

Do outro lado, os fornecedores publicam números de velocidade que só existem porque a ação dispensa aprovação. A Microsoft reportou interrupção de ransomware em média de três minutos com contenção automática — número autorreportado, medido em ambiente próprio, como já discuti em agentes de IA no SOC. Mesmo descontando o marketing, a ordem de grandeza é honesta: nenhum plantão humano responde em três minutos às 3h da manhã de sábado.

Então a resposta preguiçosa — "não deixe a IA agir sozinha" — está errada. A resposta útil é decidir o que ela pode fazer.

Investigar é ler, conter é escrever

Essa é a linha, e ela não passa onde a maioria dos comitês desenha.

Um agente que enriquece alerta, consulta reputação de IP, monta a linha do tempo e conclui "isso é falso positivo" fez um trabalho inteiramente de leitura. Se ele errar, o custo é o tempo de quem revisa a conclusão. É por isso que a triagem automatizada se espalhou tão rápido. E é por isso que ela merece rodar solta.

A contenção automática é outra categoria de operação. Ela escreve no ambiente: derruba sessão, aplica política, muda estado de conta, corta rota. Erro de leitura você corrige lendo de novo. Erro de escrita você corrige com um segundo incidente — o seu.

E aqui entra o detalhe que quase todo material de fornecedor omite: o nível de confiança não resolve isso. Um detector com 99% de precisão que executa mil ações por mês erra dez vezes. Se essas dez ações forem revogação de sessão, ninguém nota. Se forem desabilitação de conta de serviço, você tem dez interrupções de produção por mês, causadas pela própria segurança.

O que a contenção automática já desliga sozinha

Vale olhar a lista concreta, porque ela é mais agressiva do que a maioria dos times percebe. A documentação da interrupção automática de ataques do Microsoft Defender (atualizada em 11/06/2026) lista as ações que a plataforma executa sem intervenção. Reorganizei por raio de alcance, que é como elas deveriam ser apresentadas:

Duas leituras saltam da tabela. A primeira: quase tudo é reversível, o que é uma boa notícia e uma armadilha — reversível não significa inofensivo, significa que existe caminho de volta depois que o prejuízo aconteceu.

A segunda é a linha que mais me impressiona: "conter usuário" tem nome de ação pontual e comportamento de ação global. Ela aplica política em toda a frota monitorada. É a ação certa contra movimentação lateral e é exatamente o tipo de coisa que ninguém deveria descobrir durante o incidente.

A resposta do fornecedor ao raio de alcance: granularidade

O que a Microsoft faz com esse problema é interessante o bastante para ser copiado como critério de compra.

Primeiro, ela declara o patamar. A documentação afirma manter confiança de 99% ou mais para ações de contenção, medida por relação sinal-ruído em dados de produção. Os detectores passam por modo de auditoria antes da liberação ampla. Segundo, garante que toda ação automática pode ser desfeita pelo time.

Terceiro, e é aqui que fica interessante: ela permite excluir usuários, dispositivos e IPs críticos da resposta automática. E, na mesma documentação, recomenda não usar essa exclusão, porque ela enfraquece a defesa.

Essa contradição aparente é a coisa mais honesta do documento. A saída que a plataforma oferece não é aprovação humana. É contenção granular por papel do ativo: num controlador de domínio ou servidor DNS, ela bloqueia só as funções de rede usadas no ataque, mantendo de pé o que a operação precisa.

Traduzindo para decisão de quem compra: o fornecedor maduro é o que sabe conter pela metade. Se a única opção do produto é isolar tudo ou não fazer nada, o raio de alcance vira problema seu, e a lista de exclusões vira a sua única ferramenta de governança.

Sobre listas de exclusão, uma opinião de quem já manteve algumas: toda lista de exclusão longa é um cemitério de incidentes anteriores. Cada linha foi acrescentada num dia ruim, por alguém com pressa, e quase nunca é revisada. Ela precisa ter dono, data e revisão trimestral — ou vira exatamente o mapa que um atacante gostaria de ler.

As decisões que precisam estar tomadas antes das 3h

O plano de resposta a incidentes já cobre a parte humana disso. A automação acrescenta três decisões próprias, e todas são de negócio, não de tecnologia:

1. Quais ativos nunca são contidos sem gente. Não é lista de máquinas, é lista de funções: o que fatura, o que paga, o que atende cliente, o que sustenta autenticação. Se ninguém escreveu, a decisão vai ser tomada por um agente às 3h da manhã com base em nada.
2. Qual é a janela de reversão e quem tem o dedo no botão. Ação automática que só pode ser desfeita por um engenheiro específico, em horário comercial, não é reversível — é irreversível com atraso. Teste o desfazer com a mesma seriedade com que testa a restauração de backup. A razão é a mesma: ninguém sabe se funciona até precisar.
3. O que a contenção pode destruir. O NIST SP 800-61r3 (abril/2025) coloca a preservação de evidência entre os critérios que definem a estratégia de contenção, junto com dano potencial, disponibilidade do serviço e recursos disponíveis. Isolar preserva; matar processo e apagar artefato destroem. Se a apuração posterior importa — e ela importa se houver notificação, seguro ou processo —, ação destrutiva vem depois da coleta, nunca antes.

A escada de autonomia, e a métrica que a sustenta

O padrão de implantação que funciona é chato e incremental, o que explica por que quase ninguém segue.

Modo sombra primeiro. O agente decide e registra, sem executar. Você compara o que ele teria feito com o que o time fez. Semanas, não dias.

Promoção por classe de ação, não por confiança. Libere primeiro o quadrante seguro: revogação de sessão, isolamento de endpoint de usuário final, bloqueio de indicador. Deixe conta privilegiada, conta de serviço, servidor e IP de borda no caminho da aprovação.

Expansão medida. A cada classe promovida, a métrica de acompanhamento não é o tamanho da fila — é quantas ações foram revertidas e por quê. Reversão é o único sinal honesto de que a automação acertou o alerta e errou o alvo. Zero reversões em seis meses não é excelência: é sinal de que ninguém está olhando, ou de que a automação está tão restrita que não faz nada.

Essa é, aliás, a pergunta que eu levaria para a renegociação com qualquer provedor de SOC as a Service ou MDR: quantas ações automáticas vocês reverteram nos meus ativos no último trimestre, e por quê? Quem responde com números tem operação. Quem responde com a precisão do modelo tem folheto.

O ponto que fica

A discussão pública sobre automação em segurança está presa num falso dilema entre confiar e não confiar na IA. O eixo útil é outro, e é bem mais simples de operacionalizar: investigação automatiza-se por padrão; ação automatiza-se por classe, e a classe é definida por reversibilidade e raio de alcance.

Quem organiza a contenção automática assim ganha os três minutos da máquina onde eles são baratos. E mantém a decisão humana exatamente onde ela é cara: onde o erro derruba o negócio, e não só um alerta.

E fica uma pergunta de verificação, para fazer ao fornecedor ou ao seu próprio time, com a mesma utilidade das duas: quando a contenção automática errar — e ela vai errar —, quanto tempo leva até alguém desfazer, e quem é essa pessoa às 3h da manhã de sábado?