Aviatrix lança o Clearance para conter cargas de trabalho comprometidas na nuvem e de IA

Aviatrix lançou o Contenção, uma solução de segurança na nuvem desenvolvida para limitar os danos que uma carga de trabalho comprometida pode causar, restringindo os destinos e as demais cargas de trabalho que ela pode alcançar. Sua proposta central é tanto operacional quanto técnica: as equipes de segurança podem testar uma política restritiva com base no tráfego real antes de permitir que ela bloqueie conexões de produção.

Anunciado em 26 de outubro, o Clearance combina contenção de tráfego de saída e lateral com uma camada automatizada de políticas chamada Aviatrix Active Defense. A empresa também está disponibilizando contenção de tráfego de saída, contenção lateral e prevenção contra intrusões para empresas, sem limite de cargas de trabalho, por meio de um programa temporário de resposta que vai de 1º de novembro de 2026 a 1º de maio de 2027.

Para as organizações que implantam agentes de IA junto com aplicações convencionais na nuvem, o problema subjacente tem consequências cada vez mais significativas. Um serviço explorado ou um agente manipulado talvez já disponha de credenciais úteis e acesso à rede. Impedir o comprometimento inicial continua sendo essencial, mas as conexões disponíveis depois ajudam a determinar se o comprometimento permanece localizado ou se espalha.

Negação por padrão com uma prévia das consequências

O Clearance é executado na Aviatrix Containment Platform, desenvolvida com base na Cloud Native Security Fabric da empresa. A solução define um conjunto explícito de caminhos de comunicação permitidos para as cargas de trabalho e nega todos os demais por padrão.

A contenção de tráfego de saída controla as conexões com destinos externos, definidos por domínio, e não apenas por endereço de rede. A contenção lateral controla a comunicação entre cargas de trabalho com base em suas identidades, estendendo o modelo a várias nuvens e a recursos como contêineres, funções sem servidor, bancos de dados e agentes de IA.

O desafio da implantação é que muitas vezes é difícil enumerar todas as dependências legítimas de uma aplicação. Uma regra que parece correta durante a análise ainda pode interromper um serviço de pagamentos, uma tarefa em segundo plano ou uma integração usada com pouca frequência.

O Clearance enfrenta esse risco com um conjunto de regras sombra. Primeiro, uma política proposta é executada em modo de monitoramento, em paralelo à política ativa, mostrando o tráfego que teria sido negado sem bloquear essas conexões. As equipes podem identificar os caminhos necessários, revisar as permissões e, então, ativar a aplicação da política. Segundo a Aviatrix, tanto a aplicação quanto a reversão exigem uma única ação.

Isso faz da prévia uma etapa importante do fluxo de trabalho, e não uma garantia de que uma alteração não causará uma interrupção. O tráfego observado durante determinado período talvez não inclua o processamento de fim de mês, a recuperação de desastres ou outra atividade rara, mas legítima. As equipes ainda precisam escolher períodos de observação e exceções que reflitam o funcionamento real de suas aplicações.

Como a aplicação de políticas de rede se integra às aplicações na nuvem

Em seu site de produtos, a Aviatrix descreve uma inserção transparente no nível da VPC, que preserva os endereços originais sem exigir um agente no host, um SDK ou alterações no código da aplicação. A empresa também afirma que as políticas podem ser representadas por meio do Terraform e de recursos personalizados do Kubernetes, além de orquestradas em grupos de segurança e no Kubernetes NetworkPolicy quando não é necessário um gateway.

Isso é importante porque a infraestrutura na nuvem muda mais rapidamente do que uma lista estática de endereços. Um contêiner pode mudar de lugar, uma função pode ser dimensionada e uma aplicação pode abranger várias redes. Definir a intenção em relação à carga de trabalho e aos destinos de que ela precisa pode tornar uma política mais duradoura do que tratar cada alteração de endereço como uma decisão de segurança separada.

O objetivo prático é fechar caminhos de comunicação que um invasor poderia usar, sem obrigar todas as equipes de aplicação a adotar uma nova integração. Ainda assim, a contenção de rede controla a conectividade: uma conexão permitida ainda pode transportar atividades nocivas. Ela complementa a aplicação de patches, os controles de identidade, a segurança de aplicações e a detecção, em vez de tornar esses controles desnecessários.

O Active Defense automatiza a manutenção de políticas

O Aviatrix Active Defense é a camada autônoma da solução. Segundo o anúncio, seus agentes criam um modelo do ambiente do cliente, elaboram as políticas necessárias às aplicações, avaliam-nas em modo de monitoramento e as mantêm atualizadas conforme as cargas de trabalho mudam. As políticas resultantes continuam legíveis e editáveis pela equipe de segurança.

“Não é possível resolver isso apenas aplicando patches ou detectando ameaças no tempo de que você dispõe, e esse ciclo de aplicação de patches coincide com o congelamento de mudanças durante as festas de fim de ano”, afirmou o CEO da Aviatrix, Doug Merritt, no anúncio, explicando a decisão da empresa de oferecer uma proteção temporária de contenção enquanto os clientes avaliam e corrigem os sistemas.

O site acrescenta uma distinção importante sobre disponibilidade: o Active Defense está em acesso antecipado gratuito para parceiros de design que usam o Aviatrix Enterprise e está planejado para o Aviatrix Cloud. Isso deve ser diferenciado da disponibilidade dos controles de contenção do Clearance. A página também afirma que a automação opera dentro dos limites definidos pelas equipes e não modifica regras criadas por pessoas.

O benefício potencial é reduzir o trabalho manual necessário para traduzir o comportamento dos aplicativos em políticas aplicáveis. A exigência operacional correspondente é manter clara a responsabilidade: regras elaboradas automaticamente precisam de um processo definido de revisão e aprovação, sobretudo quando o comportamento observado de um aplicativo já pode incluir conexões indesejadas.

Por que a possibilidade de acesso é mais importante para os agentes de IA

A tecnologia mais ampla da Aviatrix para proteger cargas de trabalho de IA usa dados de fluxo de rede, registros DNS e inventário de ativos na nuvem para descobrir agentes, endpoints de modelos e infraestrutura relacionada. A empresa descreve essa abordagem como uma forma de as equipes de segurança identificarem o uso de IA sem depender inteiramente de que os desenvolvedores instrumentem os aplicativos.

A descoberta e a contenção resolvem problemas diferentes. A descoberta ajuda a determinar quais sistemas existem e a que se conectam. A contenção determina quais dessas conexões continuam possíveis quando uma política é aplicada.

Considere um agente que precisa de um provedor de modelos e de um serviço interno aprovado. Restringir os caminhos de rede pode reduzir os destinos disponíveis para roubo de dados ou acesso adicional caso esse agente seja comprometido. Isso não comprova que os prompts, o raciocínio ou as ações autorizadas do agente sejam seguros; esses aspectos exigem controles em outras camadas.

Essa distinção torna concreta a relevância do produto para a IA. Clearance trata de limitar o que um agente pode acessar pela rede, enquanto Active Defense usa automação para ajudar a manter esses limites.

O programa gratuito e a oferta padrão

Aviatrix afirma que todas as empresas estão aptas a participar de seu programa de resposta, que abrange contenção de tráfego de saída, contenção lateral e prevenção de intrusões em todo o ambiente, sem limite de cargas de trabalho, de 1º de novembro a 1º de maio. As inscrições pelo AWS Marketplace começam em 1º de novembro de 2026.

As equipes podem começar com uma Avaliação de Contenção gratuita. O site diferencia uma autoavaliação inicial feita pelo navegador, que fornece resultados provisórios, de uma avaliação de arquitetura posterior que utiliza dados do cliente. Portanto, a pontuação inicial deve ser entendida como um ponto de partida para a investigação, e não como um inventário medido de todos os recursos que podem ser acessados.

Na oferta padrão, Clearance inclui uma avaliação e 15 cargas de trabalho em modo de monitoramento ou de aplicação, sem limite de tempo. A capacidade adicional é cobrada por carga de trabalho; os preços podem ser consultados com a Aviatrix. O anúncio informa que os dois controles de contenção são oferecidos por meio do Aviatrix Cloud e também estão disponíveis no Aviatrix Enterprise.

O lançamento visa superar um obstáculo persistente à segurança empresarial: as organizações costumam concordar que as cargas de trabalho deveriam ter menos acesso, mas hesitam em aplicar restrições quando as consequências são incertas. A importância do Clearance está em vincular esse objetivo de segurança a um processo operacional em etapas — observar a política proposta, resolver dependências, aplicá-la e manter um caminho claro para revertê-la.