Ferris Bueller Tinha um Plano de Ataque — Red Team Antes de Existir Red Team
Reconhecimento, criatividade adversarial e a ideia de que o verdadeiro alvo nem sempre é a tecnologia: são as suposições de quem construiu o sistema.
✨ Bem-vindo ao meu espaço! ✨ Este blog é o diário de um otaku apaixonado por animes, tecnologia de mainframe e viagens. Cada entrada é uma mistura única: relatos de viagem com fotos, filmes, links, artigos e desenhos, sempre buscando enriquecer a experiência de quem lê. Sou quase um turista profissional: adoro dormir em uma cama diferente, acordar em um lugar novo e registrar tudo com minha câmera sempre à mão. Entre uma viagem e outra, compartilho também reflexões sobre cultura otaku/animes
| Bellacosa Mainframe e o chatgpt |
Chicago, 1986.
Ferris Bueller precisava de talento.
Precisava improvisar.
Precisava observar pessoas.
Precisava decorar nomes.
Precisava entender horários.
Precisava telefonar.
Precisava convencer Cameron.
Precisava montar histórias.
Precisava reagir em tempo real.
Precisava, acima de tudo, ser Ferris Bueller.
Esse detalhe importava.
Porque toda a operação dependia da inteligência, da personalidade, do timing e da capacidade social de uma única pessoa.
Agora pule quarenta anos.
Ferris continua criativo.
Continua irresponsavelmente curioso.
Continua olhando para sistemas e perguntando:
“E se eu fizer isto?”
Só que agora existe uma diferença.
Ferris não está sozinho.
Na mesa dele existem:
LLMs;
agentes;
automação;
voz sintética;
deepfakes;
scripts;
busca automatizada;
análise de documentos;
geração de texto;
correlação de dados;
classificação;
sumarização;
tradução;
síntese de contexto.
Ferris de 1986 tinha Cameron.
Ferris de 2026 pode ter:
Bem-vindo ao décimo episódio de:
Hoje a pergunta não é:
A pergunta correta é:
Esse ponto precisa ser entendido.
IA generativa não inventou:
engenharia social;
phishing;
OSINT;
fraude;
pretexting;
automação;
malware;
manipulação.
Tudo isso já existia.
O que muda é:
escala.
Velocidade.
Personalização.
Persistência.
Custo marginal.
Ferris precisava estudar uma pessoa.
Agora um sistema pode ajudar a organizar dados sobre milhares.
Vamos lembrar nosso Ferris original.
Para criar um pretexto convincente, ele precisava:
conhecer nomes;
saber relacionamentos;
entender cultura;
memorizar detalhes;
adaptar fala.
Isso exige trabalho.
Então existe um limite natural.
Uma pessoa consegue operar um certo número de alvos.
Agora imagine automação fazendo a parte repetitiva.
O humano continua definindo objetivo.
Mas máquinas ajudam a preparar terreno.
Imagine um pipeline hipotético:
Dados públicos
↓
Coleta
↓
Classificação
↓
Resumo
↓
Perfil de contexto
↓
Geração de mensagem
↓
Interação
Nenhuma dessas etapas precisa ser mágica.
A novidade é conseguir fazer muitas vezes.
Ferris virou fábrica.
Essa talvez seja uma das características mais relevantes.
Humanos têm limites.
Cansaço.
Horário.
Atenção.
Máquinas podem operar continuamente.
Isso permite:
processar informação;
organizar fontes;
priorizar alvos;
preparar variantes;
analisar respostas.
A capacidade ofensiva passa a ganhar paralelismo.
Em 1986, Ferris fazia uma ligação.
Em 2026, sistemas automatizados podem manter múltiplos fluxos.
Isso muda economia do ataque.
Antes, personalização era cara.
Ataque em massa era genérico.
Agora a distância entre:
massivo
e:
personalizado
fica menor.
Isso é importante.
O velho phishing dizia:
Prezado cliente, sua conta foi bloqueada.
Todo mundo ria.
Agora imagine uma mensagem usando:
nome real;
empresa;
projeto;
linguagem interna;
evento recente;
fornecedor conhecido.
Mesmo sem ser perfeita, parece mais plausível.
FerrisGPT não precisa produzir Shakespeare.
Precisa produzir contexto suficiente.
OSINT produz material.
IA ajuda a organizar.
Isso é diferente de descobrir magicamente segredos.
Ferramentas podem ajudar a resumir:
perfis;
documentos;
vagas;
posts;
notícias;
repositórios;
apresentações.
O humano então identifica relações.
Antes:
dez PDFs.
Vinte perfis.
Cinco vagas.
Três apresentações.
Um humano poderia passar horas.
Agora ferramentas podem ajudar a extrair:
nomes;
tecnologias;
datas;
relações;
projetos;
termos recorrentes.
Reconhecimento fica mais eficiente.
Esse é um detalhe crítico.
Modelos podem errar.
Inferir demais.
Alucinar.
Misturar pessoas.
Interpretar contexto errado.
Então atacante também pode ser enganado pela própria automação.
Isso é interessante.
FerrisGPT pode ser muito rápido...
e muito errado.
Se taxa de erro é pequena, escala transforma em volume grande.
Isso vale para defesa e ataque.
Um sistema que classifica 95% corretamente parece ótimo.
Em um milhão de eventos, 5% é muita coisa.
Por isso supervisão continua relevante.
Aqui entramos numa parte particularmente cinematográfica.
Ferris usava Cameron como voz.
Cameron precisava participar.
Agora tecnologias de voz sintética podem imitar características de fala de pessoas.
Isso fragiliza uma autenticação informal que utilizamos há décadas:
Esse sinal sozinho ficou mais fraco.
Isso deixa de ser prova forte.
Uma operação crítica não pode depender apenas disso.
Então precisamos de:
callback;
canal independente;
verificação adicional;
procedimento;
MFA fora da voz.
A tecnologia muda.
O princípio permanece:
Agora imagine autoridade.
Diretor.
CEO.
Executivo.
Se uma pessoa vê vídeo convincente de alguém importante solicitando uma ação urgente, Authority Gradient entra em cena.
O ataque não precisa apenas parecer real.
Pode explorar hierarquia.
Ferris encontrou Rooney.
FerrisGPT encontra cultura corporativa.
Talvez não.
Mas se todo processo cede imediatamente a essa frase, problema já existia.
Deepfake apenas amplifica.
Novamente:
tecnologia nova.
Vulnerabilidade humana antiga.
Esse ponto precisa ser justo.
Se empresa possui processo sólido, deepfake encontra resistência.
Se empresa funciona na base de:
“manda quem pode, obedece quem tem juízo”,
então tecnologia adversarial ganha força.
Red Team deve avaliar cultura.
Pergunta melhor:
Isso é segurança madura.
Porque qualidade de deepfake vai mudar.
Processo precisa continuar válido.
Antes, escrever mensagem convincente exigia habilidade.
Agora ferramentas ajudam.
Isso reduz barreira de entrada.
Não transforma todo atacante em gênio.
Mas torna mediocridade mais produtiva.
Essa é uma mudança enorme.
Precisa ser:
bom o suficiente;
rápido;
barato;
persistente.
Se 1% funcionar em grande volume, já existe retorno.
Isso é economia adversarial.
Agora chegamos ao ponto interessante.
LLM isolado responde.
Agente pode:
planejar;
usar ferramentas;
consultar dados;
executar passos;
verificar resultado;
seguir.
Isso aproxima automação de workflows.
Imagine em termos conceituais:
Objetivo
↓
Coletar contexto
↓
Analisar
↓
Escolher abordagem
↓
Gerar mensagem
↓
Avaliar resposta
↓
Adaptar
Isso se parece cada vez mais com operação.
Por isso agentes precisam de controles fortes.
Essa metáfora merece moldura.
Se um agente pode:
ler e-mail;
enviar mensagem;
acessar arquivos;
chamar API;
alterar dados;
então ele possui poder operacional.
Não é “só chatbot”.
É identidade com capacidade.
Aqui a história vira de ponta-cabeça.
Até agora IA ajuda Ferris.
Mas IA também vira alvo.
Prompt injection.
Tool abuse.
Context poisoning.
Data poisoning.
Excesso de permissões.
Ferris agora pergunta:
“O que esse agente acredita?”
Essa analogia é deliciosa.
Engenharia social humana diz:
“Ignore o processo, faça isto.”
Prompt injection tenta algo parecido com modelo:
“ignore instruções anteriores.”
É claro que sistemas são mais complexos que essa frase.
Mas filosoficamente existe similaridade.
Você tenta influenciar quem executa decisão.
Antes:
Ferris → Cameron → telefone.
Agora:
Ferris
↓
Agent
↓
Tool
↓
API
↓
System
A cadeia continua.
Apenas trocamos humano intermediário por software semiautônomo.
Swiss Cheese novamente.
Esse é um risco importante.
Agente recebe objetivo.
Executa ação.
Mas contexto de negócio pode ser incompleto.
Exemplo:
“Resolver problema de acesso.”
Pode escolher conceder privilégio.
Funcionalmente resolveu.
Security incident criado.
Ferris sorriria.
Muito importante.
Agente deve possuir apenas ferramentas necessárias.
Se precisa ler calendário, não deveria apagar dados.
Se precisa gerar relatório, não deveria executar transferência.
Menor privilégio vale para humanos, serviços e agentes.
Talvez agente precise acesso temporário.
Conceda pelo tempo necessário.
Depois expire.
Não deixe credencial poderosa eterna na memória operacional.
Ferrari novamente.
Precisamos saber:
qual modelo;
qual prompt;
qual ferramenta;
qual identidade;
qual dado;
qual ação;
qual resultado.
Sem isso, investigação vira:
“a IA fez.”
Isso é equivalente a:
“foi APIUSER.”
Insuficiente.
Agente precisa ser observável.
Ferramentas chamadas.
Tokens usados.
Decisões relevantes.
Falhas.
Aprovações humanas.
Esse contexto ajuda a detectar abuso.
Para ações críticas, humano pode aprovar.
Mas cuidado.
HITL não é mágica.
Se humano apenas clica “Approve” automaticamente, virou decoração.
Automation Bias.
Se sistema pede aprovação 300 vezes por dia, usuário aprende a clicar.
Isso é alert fatigue.
Controle existe.
Psicologicamente morreu.
FerrisGPT adora botão automático.
Outra abordagem:
máquina age dentro de limites.
Humano supervisiona.
Para tarefas menos críticas pode funcionar.
O importante é definir fronteira de risco.
Quanto maior impacto potencial, menor autonomia cega.
Um agente que resume e-mails pode ter liberdade.
Um agente que altera produção?
Outro nível.
Agora vamos ao Bellacosa Mainframe.
Imagine IA integrada a ambientes corporativos.
Pode ajudar em:
explicar JCL;
analisar COBOL;
sugerir correção;
interpretar logs;
gerar REXX;
resumir abend;
auxiliar operações.
Fantástico.
Mas integração cria superfície.
Pergunte:
com qual identidade?
quais permissões?
quais endpoints?
pode executar workflow?
pode submeter job?
pode ler dataset?
Agora chatbot virou operador.
Outra pergunta:
que APIs pode invocar?
qual identidade é propagada?
há limite?
há aprovação?
Um agente com acesso a APIs críticas precisa de governança de verdade.
Talvez manipule agente autorizado a chamar API legítima.
A cadeia seria:
Prompt malicioso
↓
Agent
↓
Tool
↓
z/OS Connect
↓
CICS
↓
COBOL
↓
Db2
Todos os componentes podem funcionar perfeitamente.
O problema está na intenção propagada.
Claro.
É a mesma série inteira.
Ferris não quebra componentes.
Explora confiança entre eles.
Agora a confiança ganhou embeddings e token budget.
Modelos recebem contexto.
Documentos.
Mensagens.
Histórico.
Dados recuperados.
Se contexto contém informação manipulada, saída pode ser influenciada.
Então:
RAG também precisa de segurança.
Imagine base de conhecimento contendo documento malicioso.
Agente recupera.
Confia.
Executa instrução embutida.
Esse cenário mostra por que conteúdo e instrução precisam ser separados.
Nem tudo que modelo lê deveria ter poder de instruí-lo.
Documento é dado.
Policy é instrução.
Ferris tentaria misturar.
Segurança precisa separar.
Uma arquitetura madura pergunta:
quem controla cada uma?
SYSTEM POLICY
≠
USER INPUT
≠
RETRIEVED DATA
≠
TOOL OUTPUT
Misturar prioridades cria risco.
Se IA processa dados sensíveis, organizações precisam pensar:
onde modelo roda?
quem acessa?
dados são retidos?
quais ferramentas conectadas?
qual jurisdição?
FerrisGPT não é apenas threat actor.
É também governança.
Funcionário pega dado interno.
Cola em ferramenta externa.
Conveniente.
Rápido.
Talvez violando política.
Isso cria novo caminho de exfiltração.
Nenhum malware.
Nenhum exploit.
Apenas produtividade.
Por isso empresas precisam fornecer alternativas seguras.
Se proibir tudo, pessoas criam atalhos.
De novo, cultura e arquitetura.
Red Team pode usar IA para simular ataques de forma autorizada.
Gerar variantes.
Testar processos.
Criar cenários.
Blue Team pode usar para:
analisar logs;
sumarizar incidentes;
correlacionar contexto;
gerar hipóteses.
A tecnologia não pertence a um lado.
Agora temos simetria.
Atacante automatiza reconhecimento.
Defensor automatiza triagem.
Atacante personaliza pretexto.
Defensor analisa comportamento.
Atacante escala.
Defensor também.
É corrida.
Ela conhece o ambiente.
Ou deveria.
Conhece:
identidades;
processos;
baseline;
ativos;
histórico.
Esse contexto interno pode ser enorme diferencial.
Desde que esteja organizado.
IA defensiva sem bons dados vira adivinhação sofisticada.
Logs.
IAM.
Network.
Endpoint.
Mainframe.
API.
Tudo precisa conversar.
FerrisGPT trabalha com contexto.
Blue Team também.
Aqui fica divertido.
Imagine modelos ajudando a interpretar SMF.
RACF events.
Db2 activity.
CICS.
JES.
Correlacionar comportamento.
Pode ser poderoso.
Mas explicabilidade e validação importam.
Ótimo.
Por quê?
Qual evidência?
Qual baseline?
Se resposta não é auditável, cuidado.
Security não pode virar oráculo.
Agora Rooney ganha IA.
Antes:
“Eu sei que é Ferris.”
Depois:
“A IA diz que é Ferris.”
Isso pode piorar Authority Bias.
Automation Bias.
Algorithmic Deference.
A ferramenta ganha aura de certeza.
Modelos produzem probabilidade, classificação ou linguagem.
Não epistemologia divina.
Analista continua responsável por contexto.
Ferris pode tentar manipular score.
Sistemas de IA precisam considerar entrada hostil.
Usuário normal quer resposta boa.
Atacante quer comportamento inesperado.
Essa diferença é essencial.
Construir IA apenas para happy path é perigoso.
Agora a disciplina cresce.
Teste:
prompt injection;
tool misuse;
exfiltração;
policy bypass;
context poisoning;
excessive agency;
data leakage.
Objetivo é descobrir falhas antes do atacante.
É muito mais amplo.
Testa sistema inteiro.
Modelo.
Aplicação.
Ferramentas.
Identidade.
Dados.
Integração.
Processos.
FerrisGPT está no ecossistema.
Pode incluir:
API;
prompt;
RAG;
plugin;
tool;
identity;
model output;
memory;
logging.
Cada camada merece ameaça.
Nunca trate prompt como cofre.
Se sistema precisa usar credencial, use secret management.
Não coloque chave permanentemente num contexto textual.
Ferris adoraria um prompt contendo senha.
Outro problema.
Prompt.
Resposta.
Headers.
Tokens.
Tudo pode acabar em logs.
Observabilidade precisa redigir dados sensíveis.
Agente deve ver apenas o necessário.
Se tarefa precisa nome e ticket, não envie banco inteiro.
Menos dados.
Menor impacto.
Hoje agente começa:
“Só lê documento.”
Amanhã:
“Também manda e-mail.”
Depois:
“Pode abrir ticket.”
Depois:
“Pode executar workflow.”
Dois anos depois:
“Por que esse chatbot possui acesso a produção?”
Ratchet Effect tecnológico.
Assim como usuários humanos, agentes precisam recertificação.
Ainda precisa desse acesso?
Qual função?
Qual dono?
Qual risco?
Identidade de máquina também envelhece.
Cada agente deveria ter identidade clara.
Não compartilhar credencial genérica.
Isso permite rastrear.
Revogar.
Limitar.
Auditar.
A piada parece boba.
Mas arquiteturas tendem a criar uma conta poderosa para facilitar integração.
Ferris vê.
Ferrari aberta novamente.
Sistemas agentes precisam poder ser interrompidos.
Desativar ferramenta.
Revogar token.
Parar execução.
Porque autonomia sem freio é risco.
Se comportamento excede limite:
pare.
Número de ações.
Valor financeiro.
Volume.
Escopo.
Velocidade.
Controles de segurança podem impor limites.
Se agente pode enviar 10 mil mensagens por segundo, erro vira desastre rapidamente.
Limite reduz blast radius.
Escala é vantagem e risco.
Pergunta fundamental:
se FerrisGPT for comprometido, até onde vai?
Local?
Departamento?
Empresa inteira?
Mainframe?
Menor blast radius é melhor.
Não dê a um agente todas as ferramentas.
Use agentes especializados.
Cada um com escopo.
Isso reduz consequência.
Antes:
Cameron.
Telefone.
Escola.
Agora:
Agent Recon.
Agent Writer.
Agent Caller.
Agent Analyzer.
Essa decomposição pode existir ofensivamente e defensivamente.
Alguém coordena.
Humano ou agente.
Essa camada merece proteção especial.
Quem define objetivo?
Quem aprova?
Quem observa?
Se atacante consegue alterar objetivo do agente, pode redirecionar operação.
Isso é especialmente perigoso.
Agente obediente executa tarefa errada com excelência.
Ferris adoraria funcionários assim.
Antes de ação crítica, sistema deveria validar intenção.
Não apenas comando.
A tarefa faz sentido?
É permitida?
Está dentro do escopo?
Ferris testa fronteira.
Regra crítica não deve depender apenas de modelo “lembrar”.
Implemente controles determinísticos fora.
Exemplo:
agente nunca transfere acima de X sem aprovação.
Isso é mais robusto.
Essa frase merece camiseta.
Use LLM para interpretar.
Não para decidir sozinho toda autorização.
Controle de acesso deve continuar em mecanismos apropriados.
FerrisGPT pergunta.
RACF responde.
E RACF deveria responder com política, não charme.
Há algo quase poético nisso.
Depois de quatro décadas de IA, cloud e agentes...
continuamos precisando de:
identidade;
autorização;
logging;
segregação;
transação;
auditoria.
Velhos fundamentos.
Novas interfaces.
Ferris de 1986 usava telefone.
Ferris de 2026 usa agente.
Mas pergunta continua:
quem confia em quem?
Quem autentica?
Quem autoriza?
Quem observa?
Quem pode corrigir?
Voltemos ao início.
Um Ferris humano tem limite.
FerrisGPT pode operar em paralelo.
Isso altera threat model.
Ataques podem ser:
mais personalizados;
mais persistentes;
mais baratos;
mais numerosos.
Defesa precisa considerar volume.
Se custo por tentativa cai, ataques que antes não valiam a pena podem valer.
Não precisa alta taxa de sucesso.
Basta retorno positivo.
Isso é transformação econômica.
Antes, atacantes focavam grandes empresas porque personalização era cara.
Automação pode permitir atacar alvos menores com mais contexto.
Isso amplia risco.
Ferramentas sofisticadas ficam acessíveis.
Isso é bom em muitos contextos.
Mas ofensivamente reduz barreira.
O segredo deixa de ser saber criar tudo.
Passa a ser combinar ferramentas.
Ferris sempre foi bom em combinação.
Essa é uma evolução interessante.
O antigo script kiddie copiava comando sem entender.
Agora pode perguntar.
Receber explicação.
Adaptar.
Isso acelera aprendizado.
Mas também pode produzir falsa confiança.
IA também pode continuar plano ruim.
Se não recebe feedback correto.
Se objetivo é mal definido.
Se contexto está contaminado.
Automação pode escalar viés.
Agente segue objetivo apesar de sinais novos.
Se não existe mecanismo de revisão, continua.
É Rooney com API.
Por isso loop de avaliação importa.
Modelo revisar modelo pode ajudar.
Mas não substitui controle externo.
Mesma família de erro pode persistir.
Diversidade de validação importa.
Humanos continuam importantes para:
ações críticas;
anomalias;
contexto;
exceções.
Mas precisam ser treinados para não confiar demais na IA.
“O modelo recomendou.”
Isso não encerra discussão.
FerrisGPT pode errar.
Ferris humano também.
Blue Team precisa manter julgamento.
Essa é uma postura saudável.
Use capacidade.
Questione.
Valide.
Audite.
Se sistema possui scoring, atacante pode tentar parecer normal.
Se sabe quais sinais importam, ajusta comportamento.
Goodhart aparece de novo.
Se IA usa:
frequência;
horário;
volume;
então adversário pode tentar moldar esses sinais.
Detection Engineering precisa considerar adversarial behavior.
Atacante pode agir lentamente.
IA pode ajudar a manter consistência em campanhas longas.
Ferris talvez não precise mais improvisar cada interação.
Sistema guarda contexto.
Agentes com memória lembram:
quem respondeu;
o que disse;
qual pretexto;
próxima etapa.
Isso melhora continuidade.
Também cria risco de vazamento.
Quem pode ler?
Quanto tempo guarda?
Quais dados?
Pode ser envenenada?
Ferris também atacaria memória.
Se atacante insere informação falsa, agente pode carregá-la para futuro.
É uma nova forma de persistência sem malware tradicional.
Quase poético.
Antes era relação humana.
Agora sistemas podem armazenar relações semanticamente.
Se essa memória estiver errada, comportamento pode ser influenciado.
Entrada.
Processamento.
Memória.
Ferramenta.
Saída.
Cada fase.
Red e Blue podem compartilhar achados.
Exemplo:
Red descobre prompt injection.
Blue cria detecção.
Engineering adiciona validação.
Governance revisa permissão.
Isso é maturidade.
Comprar ferramenta com AI no nome não resolve.
Pode apenas adicionar outro dashboard.
Ferris ama buzzword sem controle.
Bonito.
Ferris pergunta:
— A conta ainda tem senha compartilhada?
Silêncio.
Fundamentos continuam ganhando.
MFA.
PAM.
Least Privilege.
Patch.
Logging.
Backup.
Segmentation.
Training.
FerrisGPT é sofisticado.
Mas muitas vezes entra pela porta velha.
IA muda ameaça.
Mas não abandone básico.
Um Ferris com LLM ainda vai preferir credencial fraca se funcionar.
Atacante é econômico.
Se phishing simples funciona, por que deepfake?
Se senha reutilizada funciona, por que zero-day?
Ferris não busca glamour.
Busca resultado.
Talvez.
Ferris poderia automatizar muita coisa.
Mas segurança também melhorou.
MFA.
EDR.
SIEM.
Behavior Analytics.
Zero Trust.
PAM.
Então o jogo continua.
Ataque melhora.
Defesa melhora.
Ataque adapta.
Defesa adapta.
Esse é o ciclo.
Imagine o diálogo:
FerrisGPT:
Crie três hipóteses.
CameronGPT:
Não gosto disso.
FerrisGPT:
Execute cenário 2.
CameronGPT:
Isso parece arriscado.
FerrisGPT:
Exatamente.
Talvez tenhamos reinventado a comédia.
No curto prazo, talvez o risco mais banal seja mais relevante:
IA suficientemente boa fazendo trabalho suficientemente útil em escala suficientemente grande.
Não precisa consciência.
Não precisa Skynet.
Precisa API.
Uma frase provocativa.
Automação transforma competência mediana em throughput enorme.
Isso pode ser ofensivamente poderoso.
Ferris não precisa contratar cem gênios.
Precisa de sistemas que executem partes repetitivas.
Essa é a mudança.
Antes Ferris fazia tudo.
Agora ele pode orquestrar.
Pedir coleta.
Pedir resumo.
Pedir variantes.
Avaliar.
Escolher.
Ferris virou manager de agentes.
Essa combinação é provavelmente a mais importante.
Humano define intenção criativa.
Máquina amplia execução.
Isso vale ataque e defesa.
No nosso universo, isso significa integrar IA sem esquecer arquitetura clássica.
Se IA toca mainframe:
RACF continua relevante.
SAF continua relevante.
Auditoria continua relevante.
CICS continua transacional.
Db2 continua guardando verdade.
Só adicionamos nova camada de interpretação.
Talvez seja necessário controlar acesso entre modelos e ferramentas.
Política.
Rate limit.
Autorização.
Logging.
Tudo explícito.
Não deixe agente conversar diretamente com Ferrari.
Agente só usa ferramentas aprovadas.
Sem shell genérico.
Sem “execute qualquer coisa”.
Isso reduz flexibilidade.
E risco.
Segurança sempre negocia.
Ações potencialmente perigosas podem ocorrer em ambiente isolado.
Especialmente geração de código.
Teste antes.
Não deixe FerrisGPT rodar diretamente em produção.
Uma ideia ótima.
Antes de executar, mostrar:
“Essas ações serão realizadas.”
Humano aprova.
Isso ajuda em operações críticas.
Maravilhoso.
Veja o que aconteceria.
Sem executar.
Operações adoram isso.
Não apenas prompt:
“Por favor, não faça coisa perigosa.”
Isso é equivalente a:
“Ninguém toca na Ferrari.”
Já vimos esse filme.
Use controle externo.
Decisão de autorização pode ocorrer fora do modelo.
Modelo pede ação.
Policy engine avalia.
Isso separa criatividade de poder.
Agent A propõe.
Agent B valida.
Humano aprova.
Sistema executa.
Talvez exagero para tarefas simples.
Mas útil para alto risco.
Camadas:
System Prompt
↓
Input Filter
↓
Policy Engine
↓
Tool Permission
↓
Human Approval
↓
Logging
↓
Monitoring
Nenhuma é perfeita.
Juntas reduzem risco.
Ferris precisa alinhar mais buracos.
Mesmo quando muda o buzzword.
Procedimento.
Não confie apenas na voz.
Procedimento.
Procedimento.
Permissão.
Logging.
Isolamento.
RACF.
Segregação.
Auditoria.
É quase frustrante.
Depois de toda revolução tecnológica, terminamos falando de:
identidade;
confiança;
privilégio;
contexto.
Ferris entendeu isso em 1986.
Numa War Room de IA:
Essa pergunta define risco.
Se não:
problema.
Se não:
auditoria insuficiente.
Sempre importante.
A Ferrari volta.
Porque ele combina duas eras.
O adolescente analógico.
O mundo de agentes.
Ferris provavelmente olharia para tudo isso e faria uma pergunta muito simples:
“Então eu posso pedir para o computador fazer as partes chatas?”
Sim.
Essa é parte da revolução.
Porque tecnologia não substitui intenção.
Alguém precisa perceber oportunidade.
Combinar contexto.
Escolher timing.
Improvisar.
Criatividade adversarial continua sendo diferencial.
FerrisGPT não mata Ferris.
Amplifica.
Não uma IA autônoma dominando o mundo.
Mas milhares de operadores tendo acesso a ferramentas que reduzem custo de:
reconhecimento;
personalização;
automação;
análise.
A superfície muda economicamente.
Não pode ser:
“bloqueie IA.”
Isso seria inútil.
Precisa ser:
melhore identidade;
fortaleça processo;
reduza privilégio;
aumente observabilidade;
treine verificação;
controle agentes;
proteja dados;
teste.
Porque ambiente muda.
Modelo atualiza.
Agente ganha ferramenta.
Processo muda.
Novo risco aparece.
Teste periódico.
Antes de deploy:
que dados recebe?
que ações faz?
quem controla prompt?
quem pode influenciar RAG?
que ferramentas possui?
qual blast radius?
Isso é muito mais barato antes.
Conselho universal.
Especialmente se o rollback for:
“vamos ver depois.”
Já tivemos artigo sobre Ferrari em marcha a ré.
Protótipo divertido?
Tudo bem.
Produção bancária?
Outro nível.
Governança não pode chegar depois.
Permissão.
Logging.
Fallback.
Monitoring.
Kill switch.
Tudo desde início.
Não coloque depois.
Confiabilidade não aparece por esperança.
É arquitetura.
FerrisGPT precisa aprender com sistemas que sobreviveram a décadas de produção.
Ferris Bueller de 1986 era limitado pelo corpo.
Uma voz.
Um telefone.
Um Cameron.
Um dia.
Ferris de 2026 pode coordenar sistemas.
Processar mais informação.
Gerar mais contexto.
Executar mais interações.
A pergunta de segurança muda.
Não é mais apenas:
“Esse ataque é possível?”
É:
Porque quando custo marginal cai, risco muda.
Engenharia social deixa de ser necessariamente artesanal.
OSINT ganha velocidade.
Phishing ganha personalização.
Voz ganha síntese.
Vídeo ganha fabricação.
Agentes ganham ferramentas.
E sistemas críticos ganham novos intermediários.
Mas existe uma ironia deliciosa.
Depois de toda essa tecnologia...
as fraquezas continuam familiares.
Confiança excessiva.
Privilégio excessivo.
Falta de validação.
Contexto perdido.
Processo fraco.
Identidade mal modelada.
Ferris só ganhou mais braços.
Então, antes de perguntar:
“O que aconteceria se Ferris tivesse IA?”
Pergunte:
Talvez esse seja o verdadeiro salto.
Não Ferris mais inteligente.
Ferris em paralelo.
Ferris no telefone.
Ferris no e-mail.
Ferris no chat.
Ferris analisando documentos.
Ferris imitando voz.
Ferris testando contexto.
Ferris coordenando agentes.
Enquanto Rooney continua olhando para um único alerta e dizendo:
☕ SAVE FERRIS.
No próximo artigo:
Porque depois de ganhar um exército de estagiários sintéticos...
era inevitável que Ferris acabasse encontrando o 3270.
☕ Um Café no Bellacosa Mainframe — Especial Red Team
Uma série de 12 artigos sobre Red Team, segurança ofensiva, engenharia social, OSINT, integridade de dados, MFA, PAM, rollback, Blue Team, inteligência artificial, RACF e z/OS, usando Ferris Bueller para explorar uma pergunta fundamental: o sistema está realmente seguro ou apenas acredita que está?
Reconhecimento, criatividade adversarial e a ideia de que o verdadeiro alvo nem sempre é a tecnologia: são as suposições de quem construiu o sistema.
Integridade de dados, alteração de registros, privilégio, auditoria e a perigosa diferença entre aquilo que aconteceu e aquilo que o banco de dados afirma ter acontecido.
Pretexting, autoridade inventada e confiança contextual: Identity, Authentication e Authorization não são a mesma coisa.
Como dados públicos sobre pessoas, tecnologias, hábitos, empresas e relacionamentos podem revelar uma superfície de ataque antes do primeiro scan.
Ferris → Cameron → telefone → escola → funcionário → sistema. Nenhuma peça precisa falhar sozinha quando a cadeia inteira possui uma combinação explorável de confiança.
Firewall, SIEM, EDR e Zero Trust podem funcionar perfeitamente enquanto engenharia social, Help Desk e processos humanos criam outro caminho até o objetivo.
Privilégio, acesso físico, MFA, PAM, least privilege e o risco de proteger um ativo crítico apenas com medo, confiança e a esperança de que ninguém ousará tocá-lo.
Rollback, restore, journaling, logs, Db2, VSAM e recuperação: voltar o estado de um sistema não significa apagar as consequências daquilo que aconteceu.
Confirmation Bias, tunnel vision, Sunk Cost, Authority Gradient e o risco de uma resposta defensiva criar mais impacto que o próprio atacante.
IA generativa, agentes, OSINT automatizado, deepfake, voice cloning e automação transformam o ataque artesanal em uma capacidade paralela e escalável.
RACF, SAF, ACEE, APF, USS, TSO, CICS, Db2, MQ, z/OS Connect, Zowe e service accounts vistos pela ótica dos caminhos de ataque até o mainframe.
Red Team não termina em “conseguimos entrar”. Ataque deve gerar descoberta, evidência, correção, detecção e aprendizado para deixar a organização mais resiliente.
Ferris Bueller’s Red Team: Como Hackear o Sistema Sem Precisar Roubar a Ferrari do Cameron reúne os doze episódios e conecta Red Team, engenharia social, IA, Blue Team e segurança de mainframe.
☕ Acessar o especial completo SAVE FERRISA série SAVE FERRIS, publicada no Bellacosa Mainframe, utiliza situações inspiradas em Ferris Bueller para explicar conceitos de Red Team, cybersecurity, segurança ofensiva, engenharia social, OSINT, Blue Team, Purple Team, Zero Trust, MFA, PAM, inteligência artificial, RACF, IBM z/OS, CICS, Db2, MQ e segurança de mainframe.
O fio condutor é simples: um atacante não precisa necessariamente quebrar a tecnologia. Ele pode explorar relações de confiança, processos, identidades, privilégios, integrações e suposições existentes entre pessoas e sistemas.
A temporada acompanha o ciclo completo: reconhecimento → engenharia social → acesso → privilégio → impacto → detecção → correção → aprendizado.
Para Red Teams e Blue Teams, o objetivo final não é provar quem é mais inteligente, mas encontrar caminhos invisíveis antes que um adversário real os descubra.
Gostou deste artigo? 💡💡💡 Conecte-se comigo no LinkedIn e acompanhe conteúdos exclusivos sobre IBM Z, COBOL, Arquitetura, IA, Modernização e Engenharia de Software.
👨💻 Perfil no LinkedIn 📚 Assinar "Aprenda mais no Bellacosa Mainframe" ☕ Acompanhar "Um Café no Bellacosa Mainframe"IBM Champion 2026 • Especialista em IBM Mainframe
Vagner Renato Bellacosa trabalha com IBM Mainframe desde 1988 , é IBM Champion e especialista em COBOL, CICS, Db2, z/OS e IBM Z. Compartilha experiências profissionais, conhecimento técnico, história da computação e práticas do universo mainframe para aproximar novas gerações das tecnologias que sustentam empresas, bancos e governos ao redor do mundo.