Um agente de endpoint não pode relatar sua própria ausência. O Relatório de Actionability da Axonius de 2026, realizado com o Ponemon Institute e pesquisando 662 profissionais de TI e segurança, apontou um número para uma lacuna que as equipes de SOC têm trabalhado durante anos. Em toda a base de clientes da Axonius, 12,7% dos dispositivos em um inventário médio de 298.000 dispositivos não possuem o agente de segurança esperado.

Se um dispositivo não tiver agente, nenhum console de gerenciamento o mostrará. Se um registro do CMDB estiver obsoleto, nenhuma reconciliação o sinalizará. Um funcionário que instalou o Claude Enterprise fora de compras criou um espaço de trabalho SaaS, uma superfície de identidade e uma pegada de token de API que a telemetria de endpoint por si só não irá inventariar de forma confiável. A percentagem de cobertura no painel do EDR está estruturalmente incompleta porque o mecanismo de relatório não consegue ver o que não cobre.

Essa lacuna é mais importante agora do que há seis meses. Os fornecedores de SOC e XDR estão promovendo investigação e remediação mais autônomas na produção. Esses agentes consultarão os mesmos painéis, confiarão nas mesmas porcentagens de cobertura e agirão nos mesmos pontos cegos que os analistas humanos aprenderam a contornar. Um analista humano adivinha um número de cobertura de 98%. Um agente autônomo trata isso como uma verdade básica e se move na velocidade da máquina.

Três sinais independentes convergiram para a mesma lacuna

A pesquisa de 2026 da Gravitee com mais de 900 executivos descobriu que 88% relataram incidentes confirmados ou suspeitos relacionados à IA, e apenas 14,4% enviaram agentes ao vivo com aprovação total de segurança. O relatório Axonius/Ponemon descobriu que 52% dos entrevistados permitiriam que agentes autônomos agissem de acordo com as recomendações – enquanto 63% disseram que os dados subjacentes carecem de informações importantes. O Agentic Trust Framework do CSA exige governança de dados verificada antes que os agentes atuem em qualquer descoberta.

Mike Riemer, CISO de campo da Ivanti, disse que as vulnerabilidades conhecidas nas redes honeypot do Azure agora são atacadas em menos de 90 segundos. “As medidas de segurança tradicionais continuam a funcionar”, disse Riemer ao VentureBeat.

A ressalva é que essas medidas protegem apenas o que podem ver. Um agente EDR implantado em 87,3% do inventário de dispositivos deixa os 12,7% restantes fora da telemetria, aplicação de políticas e lógica de detecção desse agente.

Dados de implantação exclusivos quantificam a escala

Joe Diamond, CEO da Axonius, disse ao VentureBeat que o CISO médio vê cerca de 50% do que realmente está na rede. “Digamos que 50% do seu ambiente está assentado em matéria escura”, disse Diamond. “Eles não sabem o que é, ou onde está, ou quem tem acesso a ele, se é seguro, se não é seguro.”

Os dados de implantação de mais de 900 clientes Axonius confirmam esses números. A TransUnion passou de 70% para 99% de cobertura de endpoint após verificação fora de banda. A Western Union passou de 85% para 99% consolidando dados de 38 ferramentas e reduzindo pela metade a carga de trabalho manual. A Lumen descobriu 1,1 milhão de ativos, enquanto o CMDB mostrou 17 mil. Isso se traduz em cerca de 37.000 endpoints não gerenciados por organização, fora de todas as políticas, de todos os ciclos de patches e de todas as regras de detecção.

Diamond apontou o Mythos, o modelo de raciocínio de fronteira da Anthropic, como um sinal de que a capacidade ofensiva à velocidade da máquina tornará qualquer ativo desconhecido muito mais arriscado do que é hoje. “As pessoas tendem a ter a síndrome do objeto brilhante”, disse ele. “Se você não entendeu como era 50% do seu ambiente de uma perspectiva de endpoint tradicional e acha que vai avançar para o controle granular e a governança da IA, seu programa irá falhar.” Diamond chamou a mudança mais ampla da IA ​​de “tão grande, senão maior que a Internet”.

Três abordagens competem para preencher a lacuna

Nenhuma arquitetura resolve o problema de visibilidade hoje. Três abordagens competem, cada uma com compensações nomeadas que as equipes de segurança devem avaliar antes da aquisição.

Uma camada de integração dedicada usa adaptadores de API bidirecionais para criar um inventário sempre atual. Axonius executa mais de 1.400 adaptadores e agora descobre instalações shadow Claude Enterprise por meio de seu adaptador Anthropic (GA em 15 de junho). “Criamos uma integração bidirecional de API com todos os sistemas de TI e todos os controles de segurança para construir um inventário sempre atualizado da aparência do ambiente”, disse Diamond ao VentureBeat.

Inteligência EDR e XDR nativa da plataforma cria um contexto de ativos mais rico dentro da área de atuação do agente. A profundidade na área de atuação do agente é a vantagem. A limitação é estrutural. A inteligência nativa da plataforma é limitada pelo que o agente pode ver, e a lacuna identificada pelo relatório Ponemon reside exatamente onde essa visibilidade termina.

Modernização do CMDB requer reconciliação contínua com três ou mais fontes de telemetria independentes. Apenas 13% das organizações fazem reconciliações diariamente, de acordo com dados da Axonius/Ponemon. Os 87% restantes operam com registros obsoletos que alimentam a priorização incorreta em qualquer pipeline de remediação automatizado.

Preparação de dados EDR: cinco portas antes da remediação autônoma

Antes de permitir que agentes SOC autônomos fechem tickets ou coloquem ativos em quarentena, esta lista de verificação informa se seus dados de EDR e de ativos são sólidos o suficiente para serem confiáveis. Ele é independente de fornecedor, funciona com qualquer EDR e CMDB e oferece cinco portas de aprovação/reprovação que você pode executar em uma única sessão de trabalho.

Cinco perguntas a serem feitas antes de permitir a ação autônoma do SOC

1. O que verifica de forma independente a cobertura do agente de endpoint fora do console EDR?

2. Como o SOC reconcilia conflitos entre EDR, CMDB, inventário de nuvem, IdP e ferramentas de descoberta?

3. Os agentes de IA podem agir sobre ativos de propriedade desconhecida ou disputada?

4. O sistema consegue distinguir “não vulnerável” de “não visível”?

5. Que barreira de qualidade dos dados bloqueia a remediação autónoma quando a cobertura ou a propriedade cai abaixo do limite?

Estrutura de risco pronta para o conselho

Kayne McGladrey, membro sênior do IEEE, confirmou o padrão em várias entrevistas publicadas do VentureBeat. A lacuna estrutural na cobertura autodeclarada não é nova. A novidade é que os agentes autónomos agirão à velocidade da máquina, sem as soluções institucionais que os analistas humanos desenvolveram ao longo de anos de experiência. Diamond expôs claramente o que está em jogo no nível do conselho em um comunicado à imprensa de abril de 2026: “As descobertas se acumulam porque os dados não são confiáveis, a propriedade não é clara e classes inteiras de ativos nem sequer estão em cena”.

O Agentic Trust Framework da CSA exige que qualquer agente promovido a um nível de autonomia superior passe por cinco portas, incluindo precisão demonstrada e uma auditoria de segurança. As obrigações de transparência do Artigo 50 da Lei de IA da UE entram em vigor em 2 de agosto de 2026. O Digital Omnibus de maio de 2026 adiou as obrigações do sistema de alto risco para dezembro de 2027, mas as organizações que implantam agentes SOC agenticos em dados de ativos incompletos enfrentam um risco operacional imediato que ultrapassa qualquer cronograma regulatório.

A frase pronta para uso: nossos relatórios de cobertura de EDR estão estruturalmente incompletos porque um agente de endpoint não pode relatar sua própria ausência, e estamos verificando a cobertura por meio de descoberta fora de banda antes de implantar agentes autônomos que atuariam nesses relatórios na velocidade da máquina.

Manual do diretor de segurança

1. Execute a descoberta de ativos fora da banda esta semana. Compare os resultados com a exportação do CMDB e a contagem do console EDR. Se o delta exceder 10%, interrompa a definição do âmbito da remediação automatizada até que a lacuna seja reconciliada.

2. Implante a descoberta de SaaS para serviços de IA. Os funcionários instalam IA antes das compras, antes da segurança. As verificações semanais são o mínimo. Encaminhe qualquer instância não gerenciada de alto risco para sua fila de resposta a incidentes para triagem antes da revisão da exceção.

3. Mapeie a propriedade dos ativos para a responsabilidade de remediação. Ponemon descobriu que apenas 32% das organizações aplicam tags de forma consistente. Se três sistemas mostrarem três proprietários diferentes para o mesmo ativo, a correção automatizada não terá destino de roteamento. Corrija a camada de propriedade antes de implantar agentes que dependam dela.

4. Elimine métricas de cobertura somente auto-relatadas. Qualquer cálculo de risco ou relatório do conselho que se baseie apenas na cobertura informada pelo console EDR é baseado em dados que o sistema de relatórios não pode verificar. Exija verificação fora de banda para cada número de cobertura que informa uma decisão de risco.

Fonte ==> Cyberseo