Rascunho v1.0

Autores: Equipe de Segurança e Engenharia da Energent.ai

Resumo

A Energent.ai fornece um agente de desktop virtual impulsionado por IA que automatiza fluxos de trabalho complexos de múltiplas aplicações para usuários empresariais. Como o agente opera com dados empresariais sensíveis e pode ter amplos privilégios em desktops de usuários e recursos em nuvem, segurança e privacidade são fundamentais para o design de nosso produto. Este whitepaper documenta o modelo de ameaça, a arquitetura defensiva, os controles de segurança e a postura de conformidade da plataforma Energent. Ele é modelado com base na abordagem estruturada e orientada a dados utilizada no whitepaper AnyParser da CambioML e está alinhado com as melhores práticas do Pilar de Segurança do AWS Well-Architected e as diretrizes de controle de segurança do NIST SP 800-53 Rev 5.

Índice

1. Introdução
2. Arquitetura da Plataforma Energent
3. Modelo de Ameaça
4. Controles de Segurança
5. Conformidade & Governança
6. Segurança Operacional
7. Opções de Implantação do Cliente
8. Conclusão
9. Apêndice A – Mapeamento de Controles
10. Referências

1 Introdução

1.1 Propósito

Este documento permite que equipes de segurança, TI e conformidade avaliem se a Energent.ai atende aos requisitos de segurança organizacional. Ele detalha como protegemos dados, sistemas e usuários ao longo do ciclo de vida do agente, desde o desenvolvimento até as operações em produção.

1.2 Escopo

• Energent Cloud (SaaS). Serviço multi-tenant operado pela Energent.ai na AWS.
• Nuvem Privada / Isolada por VPC. Pilha dedicada de tenant único implantada em uma conta controlada pelo cliente na AWS, Azure ou GCP.
• On-Prem/VM. Imagem de VM Linux isolada para ambientes altamente regulamentados.

1.3 Público-Alvo

CISOs, arquitetos de segurança, engenheiros de DevOps, auditores e profissionais de compras avaliando a Energent.ai.

2 Arquitetura da Plataforma Energent

2.1 Componentes de Alto Nível

Figura 1. Visão lógica dos componentes Energent e limites de confiança.

2.2 Princípios de Seguro por Design

1. Menor privilégio & micro-segmentação. Funções IAM e grupos de segurança restringem cada serviço às permissões mínimas necessárias.
2. Criptografia de ponta a ponta. TLS 1.2+ para dados em trânsito; AES-256-GCM para dados em repouso usando chaves gerenciadas pelo KMS.
3. Infraestrutura imutável. Todos os nós de computação são reconstruídos a partir de AMIs assinadas; nenhuma alteração no local.
4. Automação de conformidade contínua. Guardrails codificados em IaC e regras do AWS Config para detectar desvios.

3 Modelo de Ameaça

3.1 Ativos

• Credenciais de usuário e tokens de API
• Artefatos de fluxo de trabalho (capturas de tela, dados extraídos, documentos gerados)
• Lógica de fluxo de trabalho proprietária

3.2 Adversários & Capacidades

3.3 Limites de Confiança

• Isolamento de tenant entre pilhas de clientes.
• Separação entre plano de controle e plano de dados.
• Sandbox em VM vs. ambiente host.

4 Controles de Segurança

4.1 Identidade, Autenticação & Autorização

• SSO via SAML 2.0 / OIDC com aplicação de MFA.
• Políticas IAM ABAC de granularidade fina para todos os microserviços.
• Acesso privilegiado just-in-time (JIT) com auto-expiração.

4.2 Segurança de Rede & Infraestrutura

• Gateways de saída apenas em nível de VPC; sem balanceadores de carga públicos no modo de nuvem privada.
• Todo o tráfego de API é encerrado no AWS ALB com WAF WebACL (conjunto de regras OWASP Top 10).
• Conectividade privada opt-in via AWS PrivateLink ou VPN do cliente.

4.3 Proteção de Dados

• Criptografia do lado do servidor (SSE-KMS) para S3; SDK de criptografia do lado do cliente disponível.
• Criptografia em nível de campo para PII/PHI usando AES-256 + chaves de envelope.
• Rotação automática de chaves e CMKs por tenant.

4.4 Segurança de Aplicações

• Padrões de codificação segura (OWASP ASVS L2).
• Pipelines automatizados de SCA, SAST e DAST integrados ao CI/CD.
• Bloqueios de dependência com assinaturas verificadas do PyPI/npm.

4.5 Gerenciamento de Segredos & Chaves

• Segredos armazenados no AWS Secrets Manager com rotação automática.
• Agentes puxam tokens de sessão com escopo de tempo via STS AssumeRole, nunca chaves de longa duração.

4.6 Ciclo de Vida de Desenvolvimento Seguro

• Modelagem de ameaças para cada épico (metodologia STRIDE).
• Revisões de código exigem aprovação de duas pessoas e aprovação em portões de segurança.
• Compilações reproduzíveis com proveniência do Sigstore.

5 Conformidade & Governança

5.1 Modelo de Responsabilidade Compartilhada

A Energent adota a abordagem de responsabilidade compartilhada da AWS, onde a AWS protege a nuvem subjacente "da nuvem," e a Energent protege tudo "na nuvem."

5.2 Certificações de Auditoria (Em Andamento 2025)

5.3 Mapeamento de Controles

O Apêndice A fornece um mapeamento detalhado dos controles da Energent para as famílias do NIST SP 800-53 Rev 5 (AC, AU, SC, SI, etc.).

6 Segurança Operacional

6.1 Monitoramento, Detecção & Resposta

• Agregação de logs centralizada no Amazon OpenSearch com backups S3 imutáveis.
• GuardDuty, Inspector e Security Hub permitem detecção contínua de ameaças.
• Equipe de Resposta a Incidentes de Segurança (SIRT) disponível 24×7 com runbooks documentados.

6.2 Gerenciamento de Vulnerabilidades & Testes de Penetração

• Escaneamentos semanais de imagens de contêiner; CVEs críticos corrigidos em até 24 horas.
• Testes de penetração de terceiros anuais e testes encomendados pelos clientes permitidos.

6.3 Continuidade de Negócios & Recuperação de Desastres

• Todos os dados persistentes armazenados em S3 multi-AZ, versionados com Replicação entre Regiões.
• RPO ≤ 15 minutos, RTO ≤ 1 hora para serviços críticos.

7 Opções de Implantação do Cliente

7.1 Energent Cloud (SaaS)

• Opção padrão; onboarding mais rápido; herda a segurança da infraestrutura global da AWS.

7.2 Nuvem Privada / Isolada por VPC

• Pilha Energent implantada pelo Terraform na conta AWS do cliente, com controle de residência de dados.

7.3 On-Prem / Apenas VM

• Imagem de VM com capacidade offline; atestação de raiz de confiança de hardware suportada via TPM/SGX.

8 Conclusão

A Energent.ai combina engenharia de defesa em profundidade, processos operacionais rigorosos e conformidade transparente para proteger os dados dos clientes em todas as camadas. Ao aderir a estruturas de liderança do setor, como o AWS Well-Architected e o NIST SP 800-53, entregamos uma plataforma que possibilita automação segura e escalável sem comprometer a confiança do usuário.

Apêndice A – Mapeamento de Controles (Trecho)

Matriz completa disponível mediante solicitação.

Referências

1. AWS Well-Architected Framework – Pilar de Segurança, 6 de novembro de 2024
2. NIST SP 800-53 Rev 5, “Controles de Segurança e Privacidade para Sistemas de Informação e Organizações,” setembro de 202
3. CambioML & Epsilla, “Alcançando 2× Precisão na Recuperação de Conhecimento de Gráficos e Tabelas,” 2 de agosto de 2024