Alan LeFort, CEO e Co-Fundador da StrongestLayer – Série de Entrevistas

Alan Lefort é um líder em cibersegurança com mais de 15 anos de experiência em construir e escalar produtos de segurança utilizados por empresas do Fortune 500. Ele liderou unidades de produto e negócios na Proofpoint, McAfee e Intel (INTC ) Security, onde se concentrou em proteção contra ameaças avançadas, risco interno e análise comportamental. Na Intel, ele ajudou a impulsionar a estratégia de produto em mercados globais, liderando equipes nos EUA, Europa e Israel. Agora, como CEO da StrongestLayer, Alan está utilizando essa profunda experiência em empresas para parar ataques de phishing impulsionados por IA antes que eles atinjam os usuários – redefinindo a segurança de e-mail para a era da IA.

StrongestLayer é uma plataforma de segurança de e-mail nativa em IA projetada para parar ataques de phishing avançados e comprometimento de e-mail empresarial. Usando seu motor TRACE proprietário, aplica modelos de linguagem grande, inferência comportamental e análise contextual para identificar e-mails maliciosos que sistemas baseados em regras tradicionais perdem. A plataforma se integra rapidamente com o Microsoft 365 e o Google Workspace, adiciona proteções de navegador e fornece treinamento de funcionários impulsionado por IA, oferecendo às organizações tanto uma defesa sólida quanto uma cultura mais consciente em termos de segurança.

O que o inspirou e aos seus co-fundadores a criar a StrongestLayer, e qual foi a lacuna específica no cenário de cibersegurança que vocês estavam tentando resolver com base em suas experiências em empresas como Proofpoint, FireEye e Mandiant?

A empresa evoluiu com a perspectiva de cada co-fundador. Começou com Riz, nosso CTO, reconhecendo que o phishing estava se tornando muito sofisticado para o treinamento tradicional de funcionários. Sua percepção foi de que a personalização impulsionada por IA poderia melhorar fundamentalmente a conscientização sobre segurança.

Quando Josh se juntou como nosso Diretor de Produto, ele trouxe a peça que faltava. Enquanto testava nosso produto inicial, ele descobriu que nossa análise de IA estava detectando ataques complexos que os fornecedores de segurança de e-mail estabelecidos estavam completamente perdendo. Foi então que percebemos que não estávamos apenas melhorando o treinamento – estávamos identificando uma lacuna fundamental na detecção de ameaças.

Eu me juntei como CEO no início de 2025, após aconselhar a equipe, e vi a oportunidade estratégica claramente: se apenas a IA pode defender contra a IA armada, então precisamos repensar não apenas a detecção, mas como empoderamos os humanos nessa nova realidade. A decisão foi simples – ir em frente com a detecção e prevenção nativas em IA.

Por que você acredita que o e-mail continua sendo um vetor de ataque tão crítico, especialmente na era da IA geradora?

O e-mail permanece como o principal vetor de ataque porque é o canal onde o contexto empresarial é mais importante, e a IA geradora tornou trivial a exploração desse contexto.

Os ataques de e-mail tradicionais eram baseados em volume e óbvios. A IA muda o jogo completamente – os atacantes agora podem gerar e-mails personalizados que entendem hierarquias organizacionais, imitam estilos de comunicação e referenciam processos de negócios reais. Eles não estão mais enviando apenas phishing genérico; estão criando ataques que parecem autênticos para organizações específicas.

O e-mail também é onde as decisões de confiança acontecem diariamente. Os funcionários recebem regularmente solicitações de fornecedores, parceiros e colegas de trabalho que exigem julgamentos sobre legitimidade. Os ataques impulsionados por IA exploram exatamente essas relações de confiança, aparecendo como se viessem de entidades conhecidas com solicitações plausíveis.

O desafio fundamental é que a segurança de e-mail sempre foi sobre detectar “padrões técnicos ruins”, mas os ataques de IA parecem tecnicamente bons, enquanto têm intenções maliciosas.

Como a arquitetura LLM-nativa da StrongestLayer difere fundamentalmente das soluções de segurança de e-mail tradicionais?

Construímos a primeira arquitetura LLM-como-mestre, fundamentalmente diferente dos fornecedores que adicionam recursos LLM a sistemas de correspondência de padrões existentes. A distinção é arquitetônica – o LLM orquestra todo o processo de análise, em vez de ser um módulo adicional.

As soluções tradicionais operam como um sistema de tribunal somente com promotor – elas só podem caçar culpa, sem mecanismo para provar inocência. Isso cria a tensão clássica entre falsos positivos e falsos negativos que nunca pode ser resolvida dentro de uma arquitetura somente com promotor.

Nossa inovação é a coleta de evidências dupla. Quebramos o paradigma somente com promotor inteiramente, tendo todos os e-mails recebendo seu “dia no tribunal”. Nosso sistema atua como defensor público e promotor, enquanto um juiz LLM imparcial pondera as evidências e emite um veredito.

A arquitetura exigiu infraestrutura completamente nova: coordenação LLM-como-mestre, algoritmos de síntese de evidências dupla, arquitetura de mistura de especialistas para análise especializada e arquitetura de zero-memória para privacidade de dados empresariais. Entregamos o poder de raciocínio de mil analistas de elite com a memória de um peixe dourado – capacidade analítica máxima, zero persistência de dados.

Pode explicar como o sistema TRACE (Threat Reasoning AI Correlation Engine) funciona e o que o torna singularmente eficaz contra ataques de phishing impulsionados por IA?

TRACE opera por meio da coleta de evidências dupla, que fundamentalmente muda a economia da segurança de e-mail.

Para cada e-mail, executamos duas investigações paralelas: evidências do defensor público coletando indicadores de normalidade e evidências do promotor coletando sinais de ameaça. Um juiz LLM imparcial pondera todas as evidências para emitir decisões automatizadas confiáveis.

Vamos considerar um pagamento de $50M de um fornecedor para o seu CFO durante o fechamento trimestral. Sistemas legados veem linguagem urgente, valor grande, carimbo de data/hora fora do horário de trabalho – todos os padrões gritam ameaça. O e-mail é colocado em quarentena, e o negócio é interrompido.

Nossa arquitetura de evidências dupla executa investigações paralelas: as evidências do defensor público incluem os padrões de comunicação do CFO, a relação estabelecida do fornecedor, o pagamento dentro dos limites de compras, seguindo fluxos de trabalho documentados. As evidências do promotor incluem inteligência de ameaça externa, análise de intenção de comunicação, padrões de manipulação de urgência.

O juiz LLM pondera todas as evidências. Indicadores de legitimidade forte superam sinais de ameaça menores. O e-mail é liberado automaticamente com alta confiança, a continuidade dos negócios é mantida, e os analistas se concentram em ameaças reais.

O que torna isso singularmente eficaz contra ataques de IA é que nos concentramos em indicadores estáveis que persistem independentemente da novidade do ataque – padrões de legitimidade de negócios e padrões de intenção maliciosa permanecem consistentes, mesmo quando os métodos de ataque são completamente novos.

Como sua plataforma permanece à frente dessas ameaças em evolução, agora que a IA permite que os atacantes gerem e-mails personalizados em escala?

A chave para a insight é que, embora a IA torne a geração de ataques infinitamente escalável, ela não resolve o problema da lógica de negócios para os atacantes.

A IA pode criar gramática perfeita, imitar estilos de comunicação e referenciar informações públicas sobre organizações. Mas não pode entender perfeitamente os processos de negócios internos, fluxos de trabalho de aprovação, ciclos de contratos e dinâmicas de relacionamento em todas as organizações simultaneamente.

Nossa plataforma permanece à frente, focando na razoabilidade dos negócios em vez de padrões técnicos. À medida que os ataques de IA se tornam mais sofisticados em sua apresentação técnica, eles frequentemente se tornam mais desesperados em sua lógica de negócios – criando urgência onde nenhuma deveria existir, ignorando processos normais ou solicitando ações que não se alinham com relacionamentos estabelecidos.

Também nos beneficiamos do aprendizado entre clientes sem expor dados de clientes individuais. Padrões de abuso de lógica de negócios são frequentemente consistentes entre organizações, mesmo quando a implementação técnica varia.

Quais tipos de organizações estão atualmente mais em risco de phishing aprimorado por IA, e como sua plataforma aborda os desafios únicos dessas organizações?

Organizações com relações complexas de fornecedores e processos de aprovação estão no maior risco – particularmente serviços financeiros, saúde e firmas legais. Esses setores têm dados valiosos, processos de negócios estabelecidos que os atacantes podem pesquisar e funcionários que lidam regularmente com solicitações sensíveis.

Empresas de mercado médio enfrentam um desafio específico: elas têm obrigações e complexidade de nível empresarial, mas sem o pessoal de segurança ou orçamentos para corresponder. Elas são sofisticadas o suficiente para serem alvos atraentes, mas limitadas em recursos, de modo que ataques avançados têm sucesso.

Nossa plataforma aborda isso, automatizando a análise de contexto de negócios que normalmente exigiria analistas de segurança dedicados. Em vez de exigir que as equipes investiguem manualmente cada solicitação suspeita, o TRACE fornece o raciocínio que ajuda as organizações a tomar decisões informadas rapidamente.

Também nos concentramos na experiência do usuário, porque essas organizações não podem se dar ao luxo de soluções que criam fricção operacional ou exigem treinamento extensivo.

Como o seu sistema de detecção de campanhas previsíveis identifica e neutraliza sites de empresas falsos tão rapidamente?

Nossa abordagem combina monitoramento de registro de domínio em tempo real com análise de contexto de negócios.

Monitoramos registros de domínio globalmente, procurando padrões que sugiram campanhas de falsificação – grafia semelhante a domínios legítimos, clusters de registro de tempo, infraestrutura consistentes com preparação de ataque.

Mas a chave diferenciadora é correlacionar essa inteligência técnica com contexto de negócios. Quando vemos domínios registrados que poderiam imitar fornecedores ou parceiros de clientes, podemos prever alvos e cronograma de campanhas com base em relacionamentos e ciclos de negócios.

A “neutralização” ocorre por meio de alerta antecipado – alertamos os clientes sobre campanhas de falsificação potenciais semanas antes que os e-mails sejam enviados, permitindo que eles preparem defesas e notifiquem funcionários sobre ameaças específicas a observar.

Essa detecção de pré-campanha só é possível porque entendemos tanto a infraestrutura de ataque técnica quanto o contexto de negócios que os atacantes provavelmente explorarão.

Quais foram alguns dos problemas técnicos mais difíceis que você encontrou ao construir uma solução de cibersegurança verdadeiramente nativa em IA?

O problema mais difícil foi construir um sistema que pudesse raciocinar sobre o contexto de negócios sem expor dados organizacionais sensíveis, enquanto provava que funcionava contra ataques novos que os sistemas legados perdem.

Recentemente, tivemos uma validação quando nosso sistema TRACE detectou um ataque de exploração do Direct Send do Microsoft 365 que tanto a segurança nativa da Microsoft (MSFT ) quanto o líder de mercado completamente perderam. O ataque foi publicado e validado pela Dark Reading. Ele explorou recursos legítimos da Microsoft, usou ofuscação baseada em imagem e personalizou dinamicamente páginas de phishing – técnicas completamente novas sem padrões históricos para corresponder.

Os desafios técnicos foram significativos: construir coordenação LLM-como-mestre que pudesse realizar raciocínio sofisticado, enquanto mantinha dados sensíveis localizados, evitando armadilhas de falsos positivos ao mudar da correspondência de padrões para raciocínio e otimizando o desempenho para fornecer decisões em tempo real dentro dos requisitos de latência de fluxo de e-mail.

Mas a maior inovação foi provar que nossa arquitetura de evidências dupla funcionava no mundo real contra ataques que estabeleceram fornecedores. Essa validação nos deu confiança de que a arquitetura poderia lidar com qualquer técnica nova que os atacantes desenvolvessem em seguida.

Como você vê a paisagem de ameaças evoluindo por 2026-2027, e como você está preparando sua plataforma para atender a esse futuro?

Por 2026-2027, espero que ataques sofisticados aprimorados por IA se tornem mainstream, em vez de território de ameaças persistentes avançadas. As ferramentas e técnicas se tornarão comoditizadas, expandindo dramaticamente o pool de atores de ameaça.

Também veremos ataques se expandindo além do e-mail para todos os canais de comunicação de negócios – Teams, Slack, mensagens de texto. Os atacantes orquestrarão campanhas em vários canais, tornando a detecção de um único ponto insuficiente.

Estamos nos preparando, construindo o TRACE como um motor de raciocínio que pode ser aplicado a qualquer canal de comunicação de negócios. A tecnologia central – entendendo o contexto e a intenção de negócios – não é específica do e-mail. Também estamos investindo pesadamente em capacidades de correlação entre canais.

A outra grande mudança será ataques que exploram a adoção de IA dentro das organizações. À medida que as empresas implantam ferramentas de IA para processos de negócios, os atacantes visarão essas integrações e fluxos de dados.

Quais lições você aprendeu até agora com implantações no mundo real, e como elas moldaram a estratégia do seu produto?

A maior lição é que ataques novos validam nossa abordagem arquitetônica de maneiras que não poderíamos ter previsto. Quando nosso sistema TRACE detectou o ataque de exploração do Direct Send do Microsoft 365 que tanto a Microsoft quanto o líder de mercado perderam, provou nossa tese de que o raciocínio supera a correspondência de padrões contra técnicas verdadeiramente novas.

Aprendemos que a experiência do usuário importa mais do que inicialmente imaginamos, mas não da maneira que esperávamos. As equipes de segurança não querem apenas detecção precisa – elas querem entender por que o sistema tomou decisões. Nossa abordagem de evidências dupla ajuda, porque os analistas podem ver tanto as evidências do promotor quanto as do defensor que levaram ao veredito do juiz LLM.

Também descobrimos que a detecção de ataques novos cria vantagens competitivas que não antecipamos. Quando publicamos a análise do Direct Send que a Dark Reading validou, estabeleceu credibilidade técnica de maneiras que as alegações de marketing nunca poderiam. Os prospectos perceberam que não estávamos apenas alegando detectar ameaças desconhecidas – estávamos provando com casos documentados onde os fornecedores estabelecidos falharam.

Essas lições moldaram nossa estratégia em torno de transparência e validação técnica. Nossa estratégia de produto agora enfatiza não apenas capacidades de detecção, mas a capacidade de explicar o raciocínio e compartilhar inteligência de ameaça com a comunidade de segurança mais ampla.

Onde você vê a StrongestLayer nos próximos dois a três anos, e qual é a visão de longo prazo para a empresa?

Nos próximos dois anos, vejo-nos tornando-nos o motor de raciocínio que protege toda a comunicação de negócios – não apenas e-mail, mas Teams, Slack, mensagens de texto e canais emergentes.

A fundação técnica que construímos com o TRACE – entendendo o contexto e a intenção de negócios – se aplica além da segurança de e-mail. À medida que as organizações adotam mais canais de comunicação e ferramentas de IA, elas precisam de proteção consistente que entenda a lógica de negócios em todas as plataformas.

Em longo prazo, nossa visão é ser a camada de inteligência que ajuda as organizações a se comunicar com confiança em um mundo impulsionado por IA. Em vez de a segurança ser uma barreira à comunicação, queremos ser o sistema que permite que os negócios adotem novas tecnologias de comunicação de forma segura.

O objetivo final é alcançar um ponto em que as organizações não pensem na segurança de e-mail como um problema separado – é apenas como a comunicação de negócios funciona, protegendo-as automaticamente enquanto habilita a produtividade.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar StrongestLayer.