Resumo da Semana

A semana foi dominada por segurança em IA agêntica: OAuth no MCP Server elimina credenciais avulsas para agentes, Cedar e OAuth 2.0 entregam menor privilégio em sistemas multi-agente, e o WAF agora protege o Bedrock AgentCore em produção. No Security Hub, duas novidades mudam a gestão de postura: varredura de rede para exposição real e suporte nativo ao Azure. Certificados TLS de 45 dias via ACME e retenção zero no Bedrock completam um cenário claro: governança automatizada deixou de ser diferencial e virou requisito operacional para quem roda IA em produção.

O que muda na prática

• Agentes de IA precisam de controle de acesso formal: OAuth no MCP Server e políticas Cedar viram referência de arquitetura, não opção — ambientes sem isso acumulam risco OWASP ASI03 silenciosamente.
• Security Hub agora é painel único para AWS e Azure com varredura de rede real, mudando a priorização de remediação: exposição confirmada na internet pesa mais que configuração permissiva no papel.
• Certificados TLS manuais têm prazo de validade: com ACM suportando ACME e o prazo de 47 dias chegando em 2029, automação de renovação precisa entrar no roadmap ainda este ano.

Ações da semana

• Habilite o Network Exposure Analysis no Security Hub (plano Essentials, sem custo extra) e revise os recursos marcados como realmente públicos — priorize remediação com base em exposição confirmada, não em findings teóricos.
• Se você tem agentes de IA com MCP em produção ou em desenvolvimento, mapeie quais usam credenciais avulsas e planeje a migração para OAuth com IAM nativo — a implementação de referência da AWS já está disponível.