Keith Stewart, Fundador e CEO da Humanix – Série de Entrevistas

Keith Stewart, Fundador e CEO da Humanix, é um veterano da segurança cibernética com mais de 25 anos de experiência em gestão de produtos, engenharia, desenvolvimento de negócios e liderança executiva em algumas das empresas mais reconhecidas da indústria, incluindo Cisco, Brocade, Riverbed e vArmour. Antes de fundar a Humanix em 2023, ele atuou como CEO Interino e Vice-Presidente de Produto e Engenharia da vArmour, onde ajudou a guiar a empresa durante sua aquisição e transição para um modelo de negócios baseado em SaaS. Ao longo de sua carreira, Stewart liderou equipes globais, impulsionou importantes iniciativas de produtos de segurança cibernética, participou de atividades de captação de recursos e fusões e aquisições, e desempenhou um papel fundamental no desenvolvimento de tecnologias de segurança de próxima geração. Sua ampla experiência em segurança de empresas e sua profunda compreensão de como os atacantes exploram o comportamento humano o levaram a estabelecer a Humanix com a missão de proteger as pessoas contra ataques de engenharia social cada vez mais sofisticados.

Humanix é uma empresa de segurança cibernética que está pioneira no que chama de Detecção e Resposta de Ameaças Humanas (HTDR), uma nova categoria focada em proteger a “camada humana” da segurança de empresas. Em vez de se concentrar apenas em pontos de extremidade, redes e infraestrutura, a Humanix usa inteligência artificial conversacional treinada em psicologia humana e padrões de ataques de linguagem natural para detectar manipulação, engano, impersonação e outras táticas de engenharia social em interações de voz, chat, e-mail, vídeo e serviço de mesa. A plataforma é projetada para identificar ataques em tempo real, ajudando as organizações a interromper violações antes que os atacantes explorem funcionários, contratados ou clientes. A abordagem da Humanix reflete um reconhecimento crescente de que a maioria dos ataques cibernéticos bem-sucedidos visa pessoas, e não sistemas, e a empresa tem como objetivo fornecer às equipes de segurança o mesmo nível de visibilidade e capacidades de resposta para ameaças direcionadas a humanos que elas já têm para ameaças cibernéticas tradicionais.

Você liderou grandes transformações em empresas como a vArmour, incluindo transições para SaaS, escalonamento de equipes de engenharia e navegação em aquisições. Qual foi o gap ou ponto de inflexão específico que o levou a fundar a Humanix, e por que se concentrou tanto em segurança de humanos em vez de sistemas?

O maior desafio na postura de segurança de qualquer organização é o risco humano. Os humanos são ao mesmo tempo nosso ativo defensivo mais poderoso e nossa maior área de vulnerabilidade persistente. No entanto, é um problema que tem sido continuamente não abordado. A resposta da indústria tem sido o treinamento — efetivamente tentando transformar o funcionário médio em um especialista em segurança cibernética em uma sessão de uma hora. Sabemos que não funciona, mas não tivemos soluções melhores.

Dois things mudaram recentemente, um para pior e um para melhor. Primeiro, o pior: a IA torna os ataques que visam humanos diretamente muito mais acessíveis. Agora você pode ser um adolescente do outro lado do mundo, não falar uma palavra de inglês, não saber nada sobre uma empresa específica e, de repente, uma LLM permite que você saiba quase tudo e soe como quase qualquer um. Isso cria um perigo real e presente.

Segundo, uma mudança para melhor: agora temos a tecnologia para detectar esses ataques. As LLMs são muito boas em entender a nuances e a complexidade das interações humanas. Com a inteligência artificial conversacional, podemos identificar padrões nessas interações e responder em tempo quase real.

Já não precisamos mais depender apenas de estratégias baseadas em treinamento antiquadas. Pela primeira vez, temos uma maneira de resolver o problema da vulnerabilidade humana diretamente. É por isso que construímos a Humanix.

Seu trabalho tem se concentrado em grandes conjuntos de dados, análise de comportamento e modelos de segurança baseados em grafos. Como essas experiências moldaram a abordagem da Humanix para detectar ataques que não se parecem com violações tradicionais?

À primeira vista, detectar ataques de engenharia social interativa parece desanimador. Cada pessoa é diferente. A linguagem natural é extremamente de alta dimensionalidade. Modelos de comportamento centrados em ML clássicos não entendem o contexto e, portanto, frequentemente disparam em falso.

No entanto, quando você mergulha um pouco mais fundo, pode ver que essa classe de ataque tem padrões como qualquer outra. Em vez de overflow de buffer ou zero days, os atacantes exploram lacunas nos processos de negócios e confiança humana. Os atacantes têm livros de jogadas que eles consistentemente executam contra organizações, o que significa que devemos ser capazes de detectar e responder a esses ataques da mesma forma que fazemos em pontos de extremidade, rede, nuvem ou identidade.

Essa percepção nos permite combinar padrões de detecção e resposta clássicos que sabemos ser eficazes — incluindo análise de comportamento e teoria de grafos — com capacidades de raciocínio semântico de modelos de linguagem. A Humanix usa essa combinação para entender entidades, relacionamentos, comportamento, risco e a interação em si. É assim que criamos uma nova classe de produto de detecção e resposta: Detecção e Resposta de Ameaças Humanas.

Grupos emergentes como o BlackFile estão usando phishing de voz e engenharia social em tempo real em vez de táticas pesadas de malware. O que essa mudança nos diz sobre como o cenário de ameaças está mudando?

O BlackFile faz parte de uma mudança mais ampla em direção a ataques que são menos sobre obter malware em um ambiente e mais sobre usar linguagem natural para fazer com que uma pessoa abra a porta.

Esses grupos descobriram que um telefonema convincente, um pretexto plausível e a quantidade certa de urgência podem ser tão eficazes quanto um exploit técnico, e muitas vezes mais difíceis para as equipes de segurança verem. A superfície de ataque não mudou tanto quanto o foco do atacante mudou. As pessoas sempre fizeram parte da superfície de ataque. O que mudou é a escala, maturidade e repetibilidade do livro de jogadas.

A engenharia social está sendo copiada, aprimorada e industrializada porque funciona. Ela aproveita como os negócios realmente operam, especialmente em fluxos de trabalho onde as pessoas são esperadas para ajudar rapidamente, resolver exceções e manter as coisas em movimento.

Estamos vendo atacantes se passarem por mesas de ajuda e explorar funcionários diretamente para ganhar acesso. Por que técnicas como vishing e manipulação de mesa de ajuda estão se tornando pontos de entrada primários tão eficazes?

Técnicas como vishing e manipulação de mesa de ajuda são tão eficazes porque exploram a combinação de confiança, urgência e acesso encontrada em muitos fluxos de trabalho de suporte e administrativo.

Se eu quiser entrar no seu ambiente, posso gastar semanas procurando por um exploit técnico. Ou posso ligar para alguém que está treinado para ajudar, criar uma história crível e fazer com que ele faça o que eu preciso que ele faça, seja resetar uma senha, registrar um novo fator de autenticação, alterar uma permissão ou aprovar um pedido.

A pessoa do outro lado da ligação muitas vezes está tentando resolver um problema real, com pressão de tempo e informações incompletas. É exatamente isso que torna a mesa de ajuda um alvo atraente. É um dos poucos lugares onde uma conversa pode se transformar diretamente em acesso. Uma vez que o acesso é concedido, o resto pode acontecer muito rapidamente.

A indústria investiu pesadamente em treinamento de funcionários, mas as violações que visam pessoas continuam a aumentar. Onde a conscientização de segurança tradicional está falhando, e o que precisa mudar?

O treinamento de conscientização de segurança tem sido tratado como a principal defesa contra a engenharia social, embora os resultados mostrem claramente seus limites. As organizações continuam a investir pesadamente em treinamento, mas os atacantes continuam a ter sucesso porque estão visando pessoas em interações ao vivo, e não testando se os funcionários lembram do material de um curso.

Um ataque de engenharia social não é um teste. É uma pessoa do outro lado de uma ligação ou thread de chat criando urgência, construindo confiança e tentando fazer com que alguém tome uma ação que não deve tomar. O modelo atual quebra porque espera que o funcionário reconheça e pare o ataque enquanto o atacante está ativamente manipulando a interação.

Quando algo dá errado, a resposta é frequentemente culpar o funcionário e atribuir mais treinamento. Mas o funcionário estava usualmente tentando ajudar, o que é exatamente o que o negócio pede que ele faça todos os dias. Precisamos parar de tratar a engenharia social como um problema de conscientização apenas. É uma classe de ataque, e devemos detectá-la e respondê-la enquanto a interação está acontecendo.

A Humanix se posiciona em torno da detecção de ataques em pessoas em tempo real. O que a observabilidade do risco humano parece na prática?

A observabilidade do risco humano significa dar às equipes de segurança visibilidade nas interações ao vivo onde os atacantes tentam manipular as pessoas para mudar o acesso, contornar um procedimento necessário ou tomar alguma outra ação insegura em nome do atacante.

Hoje, essas interações são efetivamente invisíveis para a segurança. Alguém liga para a mesa de ajuda, abre um ticket ou começa um chat. Uma senha é resetada, um fator de autenticação é registrado, uma permissão é alterada ou uma exceção é aprovada. Esses são fluxos de trabalho altamente sensíveis, mas as equipes de segurança não têm visibilidade ou observabilidade.

A Humanix muda isso. Conectamos aos sistemas de comunicação de empresa já em uso — Microsoft 365, ServiceNow , Zoom, Slack e mais. A Humanix monitora ações e interações sobre esses canais e as compara com táticas de ataque e procedimentos corporativos.

O chamador foi adequadamente verificado? Eles conversaram ao redor da verificação? Havia urgência, impersonação ou pressão para pular um passo necessário? O agente estava prestes a tomar uma ação de alto risco? Como o perfil de risco mudou à medida que a ligação progredia? A Humanix fornece detecção e resposta de segurança à medida que a interação acontece e deixa a equipe de segurança saber se algo parece suspeito.

O objetivo final dessa análise não é punir as vítimas após o fato. É protegê-las no momento. Se uma conversa se torna um ataque, a equipe de segurança precisa saber.

À medida que as tecnologias de voz e deepfake geradas por IA melhoram, estamos próximos de um ponto em que a confiança humana se torna a superfície de ataque mais fraca?

A confiança humana tem sido uma das superfícies de ataque mais fracas por um longo tempo. A IA torna os ataques contra a confiança mais fáceis de criar, personalizar e escalar.

No entanto, precisamos ter cuidado para não super-rotar no caso específico do “deepfake”. Os deepfakes são apenas um meio que os atacantes podem usar para manipular alguém. Na verdade, se olharmos para a maioria dos ataques de engenharia social bem-sucedidos nos últimos anos, a maioria não eram deepfakes — são apenas atacantes humanos e golpistas pegando o telefone. Grupos como Scattered Spider, ShinyHunters e BlackFile mostraram que um telefonema normal, um pretexto crível e a quantidade certa de urgência são mais do que suficientes para fazer com que alguém tome uma ação em nome do atacante.

As equipes de segurança precisam se concentrar na mensagem, não no meio. Alguém sendo pressionado a violar a política ou aprovar uma exceção em circunstâncias suspeitas — esses são os comportamentos de risco reais. Os riscos estão na interação em si e na ação que ela é projetada para induzir.

A confiança não é algo que podemos remover dos negócios. As pessoas precisam atender chamadas, resolver problemas, aprovar pedidos e ajudar umas às outras. A resposta não pode ser tornar todos menos humanos. Tem que ser proteger os momentos em que a confiança está sendo explorada.

Qual papel a IA deve desempenhar na defesa contra a engenharia social impulsionada por IA, e quais são os principais desafios técnicos na detecção de manipulação em tempo real?

A inteligência artificial conversacional desbloqueia a oportunidade de transformar a engenharia social impulsionada por IA de um problema de treinamento em um problema de detecção e resposta. Os modelos de linguagem permitem que apliquemos todas as nossas lições de domínios como ponto de extremidade ou rede e apliquemos à camada humana. Precisamos detectar e responder a esses ataques, não continuar no caminho inútil de tentar treinar para afastá-los.

Há muitos desafios técnicos em tornar essa visão uma realidade. A linguagem natural é altamente dimensional, o que significa que há inúmeras maneiras diferentes de transmitir o mesmo significado. Dizer “Estou travado no meu sistema” é uma declaração funcionalmente equivalente a dizer “Preciso que minha senha seja redefinida”, mesmo que as palavras “senha” e “redefinir” nunca tenham sido usadas.

Outro é a importância do contexto. As interações humanas são contextuais e cumulativas, e portanto, a manipulação humana também é. Um chamador pode soar calmo, polido e crível enquanto ainda está direcionando alguém ao redor da verificação ou em direção a uma ação insegura. Precisamos combinar múltiplos sinais e dados contextuais para separar com precisão o benigno do malicioso.

Finalmente, cada organização é diferente. Tem procedimentos e normas diferentes, quase todos os quais não são legíveis por máquina. É outra área onde a IA pode ser de grande ajuda — entender essas políticas e compará-las com comportamentos observados no mundo real.

Muitas ferramentas de segurança ainda se concentram em pontos de extremidade, redes e sistemas de identidade. Como os CISOs devem repensar sua arquitetura se o principal campo de batalha se mudar para o comportamento humano?

Primeiro, os CISOs devem formalmente reconhecer o que todos sabemos intuitivamente: o capital humano de uma organização é uma classe de ativos (como ponto de extremidade, rede ou nuvem) que precisa ser gerenciado. As ameaças e riscos precisam ser modelados e controlados com precisão.

O Quadro de Segurança Cibernética do NIST já fornece orientação sobre como fazer isso. A “identificação” e “gerenciamento” das pessoas são parte do subconjunto de identificação de risco (ID.AM) da identificação de risco. No entanto, muitas organizações definem o problema de risco humano como um problema de treinamento e apenas o gerenciam por meio do requisito de conformidade de treinamento de conscientização de segurança. Isso precisa mudar.

Quando tratamos o capital humano como sua própria classe de ativos, isso abre os livros de jogadas padrão que executamos para qualquer outra classe de ativos. Quais são os principais riscos (ID.RA)? Como posso defender sistematicamente contra eles (Proteger)? Quais são nossos sistemas e processos para detectar se um atacante está prestes a violar essas defesas ou, pior, já o fez (Detectar)? Como a organização responde para conter a ameaça e, em última análise, restaurar os serviços (Responder e Recuperar)? Ao tomar a mesma abordagem sistemática para nosso capital humano como fazemos com qualquer outra classe de ativos, podemos identificar riscos mais claramente e priorizar recursos para gerenciar esses riscos de forma mais eficaz.

Olhando para o futuro, você espera que os ataques de camada humana dominem o cibercrime ou veremos um modelo híbrido onde a automação impulsionada por IA e a engenharia social converge em algo mais difícil de defender?

Com certeza será um modelo de ameaça misto. Temos duas coisas acontecendo simultaneamente. Primeiro, os atacantes estão aprendendo a escalar seus ataques com a IA, aumentando o acesso e reduzindo o custo dessa classe de ataque. Segundo, as próprias empresas estão passando por uma transformação de IA agente liderada pelos próprios serviços de negócios que estão sendo atacados pelo BlackFile e seus pares.

Serviços de atendimento ao cliente, mesa de ajuda, serviço de mesa, operações financeiras e fluxos de trabalho de suporte interno estão sendo transformados de entregues por humanos para entregues por IA. Isso significa que experimentaremos uma explosão na superfície de ataque de linguagem natural, enquanto eliminamos o senso comum humano. Os grandes modelos de linguagem são treinados para responder a instruções e ser úteis. Os sentimentos humanos de suspeita ou “intuição” que têm sido algumas de nossas melhores defesas contra ataques de engenharia social foram deliberadamente removidos das respostas do modelo. A transição para serviços entregues por IA aumentará o risco de ataques de engenharia social, não os reduzirá.

Como resultado, a exposição das empresas a essa classe de ataque quase certamente continuará a crescer nos próximos anos. Os humanos e os agentes são ambos vulneráveis a ataques de linguagem natural. As equipes de segurança precisam começar a planejar hoje para um plano de defesa e resposta sistemáticos para essa nova realidade.

Obrigado pela grande entrevista, leitores que desejam aprender mais Humanix.