Blog

  • Amazon Cognito passa a suportar importação de usuários com hashes de senha

    O que mudou no Amazon Cognito

    A AWS anunciou uma atualização relevante para quem trabalha com migrações de sistemas de autenticação: o Amazon Cognito agora suporta a importação de usuários com hashes de senha diretamente em arquivos CSV. Essa novidade resolve um ponto de atrito bastante comum em projetos de migração de identidade.

    Como era antes

    Até então, quando uma equipe precisava importar uma base de usuários para o Amazon Cognito via arquivo CSV, os usuários chegavam sem senha válida no novo sistema. Isso significava que cada pessoa precisava redefinir sua senha no primeiro acesso — uma experiência ruim para o usuário final e um obstáculo operacional para as equipes responsáveis pela migração.

    O que muda na prática

    Com a nova funcionalidade, é possível incluir o hash da senha de cada usuário diretamente no arquivo CSV de importação. No momento de criação do processo de importação, a equipe especifica qual algoritmo de hash foi utilizado pelo sistema de origem. O Amazon Cognito então importa esses usuários e, no primeiro login, verifica a senha informada contra o hash importado — tudo de forma transparente para o usuário final.

    O resultado prático é direto: os usuários migrados conseguem acessar o sistema imediatamente com as mesmas credenciais que já utilizavam, sem nenhuma interrupção no fluxo de autenticação.

    Algoritmos de hash suportados

    A AWS incluiu suporte aos principais algoritmos modernos de hash de senha utilizados pelo mercado:

    • bcrypt
    • scrypt
    • Argon2id
    • PBKDF2 com SHA-256

    Vale destacar que todos os hashes importados recebem uma camada adicional de proteção criptográfica antes de serem armazenados no Cognito. Ou seja, a AWS não apenas aceita o hash existente — ela reforça a segurança desses dados na camada de armazenamento.

    Disponibilidade e como começar

    A funcionalidade de importação com hash de senha está disponível em todas as regiões da AWS onde o Amazon Cognito já está presente. Para utilizá-la, basta criar um processo de importação de usuários pelo Console de Gerenciamento da AWS, pela Interface de Linha de Comando (CLI) da AWS ou pelos Kits de Desenvolvimento de Software (SDKs) da AWS. Para instruções detalhadas, a AWS disponibiliza o guia do desenvolvedor com o passo a passo completo.

    Por que isso importa

    Migrações de base de usuários são momentos críticos em qualquer projeto. Forçar uma redefinição de senha em massa gera atrito, aumenta chamados de suporte e pode comprometer a adoção do novo sistema. Com essa atualização, o Amazon Cognito passa a oferecer uma rota de migração muito mais fluida — especialmente para equipes que estão consolidando sistemas legados ou migrando de provedores de identidade terceiros para a AWS.

    Fonte

    Amazon Cognito now supports importing users with password hashes (https://aws.amazon.com/about-aws/whats-new/2026/07/amazon-cognito-password-hash-import/)

  • Console do AWS Lambda ganha prompt de configuração com um clique para agentes de codificação

    Configuração de agentes de codificação no Lambda ficou muito mais simples

    A AWS anunciou uma novidade interessante para desenvolvedores que utilizam agentes de codificação com o AWS Lambda: o console do serviço agora oferece um prompt de configuração com um único clique. Esse prompt prepara o agente automaticamente com as AWS Serverless Skills e o servidor MCP (Model Context Protocol) Serverless, incorporando boas práticas de desenvolvimento serverless desde o primeiro momento.

    Qual problema esse recurso resolve?

    Até então, configurar um agente de codificação para trabalhar com desenvolvimento serverless era uma tarefa trabalhosa. O desenvolvedor precisava navegar por diversas páginas de documentação para reunir as configurações corretas — um processo que gerava fricção desnecessária, especialmente para quem estava começando com o Lambda.

    O novo prompt de um clique elimina exatamente esse obstáculo. Ele instrui o agente a instalar as AWS Serverless Skills (hospedadas no Agent Toolkit para AWS) e o servidor MCP Serverless diretamente no agente de codificação preferido do desenvolvedor.

    O que está incluído no prompt de configuração?

    O prompt referencia o guia de configuração do agente Lambda, que traz comandos de instalação para os seguintes agentes de codificação:

    • Claude Code
    • Kiro
    • Cursor
    • GitHub Copilot
    • Codex
    • Devin Desktop
    • OpenCode

    Além disso, o guia cobre as AWS Serverless Skills, três habilidades especializadas do Lambda — MicroVM, Managed Instances e durable functions — e a configuração do servidor MCP Serverless.

    Para desenvolvedores que ainda não têm autenticação local da AWS configurada, o prompt também orienta sobre como se conectar utilizando a skill signing-in-to-aws.

    Onde o prompt aparece no console?

    A AWS posicionou o recurso de forma estratégica: o prompt está disponível em todos os pontos do console onde o desenvolvedor inicia sua jornada com o Lambda — seja na tela de primeiros passos, na exploração das capacidades do serviço ou logo após a criação da primeira função.

    Disponibilidade

    O recurso está disponível em todas as regiões comerciais da AWS onde o Lambda opera, com exceção do Oriente Médio (Bahrein) e Oriente Médio (EAU). As regiões do AWS GovCloud (US) também são contempladas.

    Para experimentar, basta acessar o console do AWS Lambda ou consultar o guia de configuração do agente Lambda para mais detalhes.

    Fonte

    AWS Lambda console provides a one-click setup prompt for coding agents (https://aws.amazon.com/about-aws/whats-new/2026/07/aws-lambda-prompt-coding-agents/)

  • Amazon Managed Service for Apache Flink agora oferece AI Agent Skills para simplificar o desenvolvimento e a operação de aplicações Flink

    O que foi anunciado

    A AWS anunciou que o Amazon Managed Service for Apache Flink agora conta com AI Agent Skills — um conjunto de habilidades especializadas que fornece orientação atualizada e precisa para assistentes de codificação com Inteligência Artificial (IA). O objetivo é tornar mais simples tanto o desenvolvimento quanto a operação de aplicações Flink, sem exigir que o desenvolvedor seja um especialista profundo no framework.

    O que são as AI Agent Skills

    As skills funcionam como um guia de especialista embutido no seu agente de IA. Em vez de o desenvolvedor precisar dominar todos os detalhes do Apache Flink para executar tarefas comuns, o agente passa a contar com instruções contextualizadas e atualizadas diretamente sobre o serviço gerenciado da AWS.

    As áreas cobertas pelas skills incluem:

    • Criação de aplicações Flink
    • Troubleshooting (diagnóstico e resolução de problemas)
    • Escalabilidade
    • Monitoramento
    • Configuração de rede
    • Otimização de custos

    Com isso, tarefas que antes exigiam conhecimento especializado em Apache Flink passam a ser conduzidas de forma guiada, acessível a desenvolvedores de diferentes níveis de experiência.

    Benefícios práticos para as equipes

    Segundo a AWS, as equipes que adotarem as AI Agent Skills poderão:

    • Manter aplicações Flink saudáveis e com boa performance
    • Acelerar o desenvolvimento de novas aplicações de streaming
    • Realizar upgrades para versões mais recentes do Apache Flink com mais facilidade — incluindo a versão 2.2

    A proposta é clara: democratizar o acesso ao Apache Flink, reduzindo a barreira técnica para times que precisam trabalhar com processamento de dados em tempo real.

    Como começar a usar

    As AI Agent Skills são compatíveis com os principais agentes de codificação com IA do mercado, como Kiro, Claude Code e Cursor. Para começar, basta configurar o Agent Toolkit para AWS utilizando a Interface de Linha de Comando da AWS (AWS CLI) e, em seguida, fazer perguntas ao seu agente de codificação, como:

    • “How do I create a new Flink application on MSF?”
    • “My Flink application is unhealthy — what’s wrong?”

    O agente, equipado com as skills, será capaz de oferecer respostas contextualizadas e orientadas ao Managed Service for Apache Flink (MSF).

    Fonte

    Amazon Managed Service for Apache Flink now offers AI Agent Skills to simplify building and operating Flink applications (https://aws.amazon.com/about-aws/whats-new/2026/07/amazon-managed-service-flink-agent-skills/)

  • Security Hub ganha proteção para cargas de trabalho de IA e suporte multicloud para Microsoft Azure

    O Security Hub dá dois passos importantes

    O AWS Security Hub sempre foi posicionado como a base de operações de segurança para quem roda na AWS — um ponto central onde os sinais de risco são coletados, priorizados e transformados em ação. Agora, a AWS anunciou duas expansões significativas que ampliam esse papel de forma concreta: proteção dedicada a cargas de trabalho de Inteligência Artificial (IA) e monitoramento de segurança para ambientes Microsoft Azure.

    Ambas as direções vieram de demandas reais dos clientes, e juntas representam um movimento claro da AWS em direção a uma plataforma de segurança full-stack — ou seja, que cobre toda a pilha de tecnologia de uma empresa, independentemente de onde ela roda.

    Gerenciamento de segurança multicloud para o Microsoft Azure

    Muitas organizações já operam em mais de uma nuvem há anos. O problema é que, até agora, o Security Hub era focado exclusivamente no ambiente AWS. Essa lacuna começa a ser fechada: o Security Hub passa a descobrir e monitorar recursos do Microsoft Azure, incluindo Máquinas Virtuais (VMs), imagens de contêiner, Function Apps e identidades.

    A avaliação cobre problemas de configuração incorreta, exposição à internet e vulnerabilidades de software, com verificações de postura baseadas no CIS Microsoft Azure Foundations Benchmark™ — um padrão amplamente reconhecido do setor para boas práticas de segurança no Azure.

    O que torna isso relevante do ponto de vista operacional é a integração: as descobertas do Azure são priorizadas lado a lado com as descobertas da AWS, usando o mesmo formato de alerta, as mesmas automações e os mesmos fluxos de resposta. O time de segurança passa a trabalhar com uma visão unificada de risco, sem precisar alternar entre ferramentas diferentes para cada ambiente.

    Em termos de preço, os recursos do Azure são cobrados nas mesmas tarifas dos recursos equivalentes na AWS, sem taxas adicionais, e há um período de teste gratuito independente de 30 dias. Para mais detalhes, a AWS publicou um post no What’s New.

    Vale destacar que essa não é a primeira iniciativa multicloud do Security Hub. Anteriormente, a AWS já havia lançado o Security Hub Extended, que integra soluções de parceiros especializados em nove categorias de segurança — cobrindo endpoints, identidades, e-mail, navegadores e dados em qualquer nuvem ou ambiente on-premises. O suporte nativo ao Azure complementa essa estratégia, ampliando o que as próprias capacidades da AWS conseguem cobrir.

    Proteção para cargas de trabalho de IA

    O outro grande movimento anunciado é a proteção dedicada a workloads de IA. Equipes de desenvolvimento estão colocando modelos em produção em ritmo acelerado — usando Amazon Bedrock, SageMaker e AgentCore — mas os times de segurança frequentemente não têm visibilidade sobre o que está rodando, quem está invocando modelos e quais agentes estão orquestrando fluxos de trabalho.

    Um exemplo citado pela própria AWS ilustra bem o problema: um líder de segurança só descobriu que uma conta de serviço comprometida estava invocando um modelo de fundação milhares de vezes porque o time financeiro questionou a fatura. O incidente de segurança foi identificado por uma revisão contábil — não por uma ferramenta de segurança. Essa lacuna de visibilidade é real e já está gerando custos.

    Para endereçar isso, a AWS anunciou três lançamentos relacionados à segurança de IA.

    GuardDuty AI Protection (disponível para todos)

    O Amazon GuardDuty AI Protection é uma capacidade de detecção de ameaças construída especificamente para Bedrock e SageMaker. Ele detecta invocações anômalas de modelos, ataques de “colheita de custos” — onde credenciais comprometidas são usadas para rodar inferências às custas da vítima — e tentativas de injeção de prompt, por meio da integração com o Bedrock Guardrails.

    O mecanismo de detecção analisa dados de eventos do CloudTrail, aprende o padrão normal de invocação em escala e sinaliza desvios que indicam comprometimento ou abuso. A AWS destaca que esse tipo de detecção só é possível na escala da AWS, onde é possível observar o comportamento de milhões de workloads para definir o que é “normal”. O GuardDuty AI Protection está disponível para todos os clientes do GuardDuty com um período de teste gratuito de 30 dias.

    Investigações com IA no GuardDuty (em prévia)

    As investigações com IA do GuardDuty automatizam boa parte do trabalho manual de investigação que consome o tempo dos times de segurança e contribui para a fadiga de alertas. A capacidade analisa automaticamente as descobertas do GuardDuty e o contexto das contas envolvidas, separando ameaças reais de atividades benignas.

    O processo examina o contexto de cada descoberta, atividades relacionadas dos últimos 90 dias, recursos afetados e indicadores de ameaça — usando grafos de conhecimento e inteligência de ameaças para concluir em minutos o que antes levava horas. Cada investigação retorna uma avaliação de disposição com pontuação de confiança, classificação pelo framework MITRE ATT&CK®, evidências de suporte e recomendações claras para suprimir, conter ou remediar o problema. A funcionalidade está disponível em prévia em 10 regiões da AWS.

    Inventário de IA no Security Hub (disponível para todos)

    O terceiro lançamento é o inventário de IA do Security Hub — uma visão continuamente atualizada de todos os ativos de IA da organização e sua postura de segurança.

    O inventário descobre e cataloga cargas de trabalho de IA de duas formas: para serviços gerenciados, ele mapeia recursos do AWS Config no Bedrock, SageMaker e AgentCore; para workloads auto-hospedados e externos, ele identifica modelos rodando em EC2, ECS e EKS por meio de análise em tempo de execução, além de identificar endpoints de modelos externos que suas aplicações consomem.

    Cada ativo é mapeado à infraestrutura subjacente — incluindo computação, rede, funções do IAM (Gerenciamento de Identidade e Acesso) e armazenamentos de dados — e correlacionado com sinais de segurança, como descobertas do GuardDuty. Quando o GuardDuty AI Protection sinaliza uma invocação anômala, o inventário de IA mostra imediatamente qual infraestrutura está envolvida, o que está conectado a ela e onde ela se encaixa na ordem de prioridades.

    Esse recurso está disponível no plano Security Hub Essentials sem custo adicional.

    Uma abordagem diferente para segurança full-stack

    O que une todos esses lançamentos é uma filosofia de integração: não é necessário adquirir proteção de IA como um produto separado, nem montar operações isoladas para o Azure. Tudo é adicionado ao Security Hub que a equipe já opera, aparecendo na mesma visão priorizada de risco.

    Essa mesma lógica se aplica ao Security Hub Extended, que agora conta com 21 parceiros curados em nove categorias: 7AI, Britive, CrowdStrike, Idira (CyberArk), Cyera, Island, LayerX, Native Security, Noma, Okta, Oligo, Opti, Proofpoint, SailPoint, SentinelOne, Splunk, Sublime, Upwind, Varonis, Zenity e Zscaler. São soluções de referência em endpoint, identidade, e-mail, rede, dados, navegador, nuvem, IA e operações de segurança.

    Nenhum desses parceiros está presente por padrão — cada um foi selecionado com base em critérios de qualidade e comprometimento com uma visão compartilhada de segurança empresarial. O benefício comercial do Extended já é tangível hoje: precificação pay-as-you-go, fatura única na AWS, elegibilidade para o EDP (Programa de Desconto Empresarial) e sem compromissos de longo prazo.

    Mas o que a AWS descreve como o trabalho mais importante vai além da parte comercial. As descobertas de cada solução parceira são emitidas no formato OCSF (Framework Aberto de Esquema de Cibersegurança) e agregadas no Security Hub. A direção é construir uma correlação única entre todos eles, para que um sinal de uma solução de endpoint, uma de identidade e uma de nuvem se combinem em uma única exposição e um único caminho de ataque — em vez de três alertas desconectados. Para saber mais, a AWS publicou um post no What’s New sobre o Extended.

    O que esperar a seguir

    O panorama geral está ficando mais claro: o Security Hub está se expandindo em três direções simultaneamente. Primeiro, em cobertura de provedores de nuvem — começando pelo Azure, com outros clouds previstos. Segundo, em tipos de workload — com proteção e inventário específicos para IA. Terceiro, em categorias de segurança — por meio do Extended e seus parceiros curados.

    O que começou como uma ferramenta para organizar descobertas de segurança na AWS está se tornando a forma como empresas cada vez maiores operam segurança em toda a sua infraestrutura. A base é detecção e visibilidade. O que a AWS está construindo em cima disso é uma experiência que conecta sinais de todas as fontes confiáveis e ajuda os times a responder mais rápido.

    Fonte

    Security Hub adds AI workload protection and multicloud support for Microsoft Azure (https://aws.amazon.com/blogs/security/security-hub-adds-ai-workload-protection-and-multicloud-support-for-microsoft-azure/)

  • Autentique tráfego legítimo de agentes de IA com o AWS WAF Bot Control

    O problema de identificar bots legítimos em escala

    À medida que agentes de Inteligência Artificial (IA) e ferramentas automatizadas passam a acessar aplicações web com mais frequência, distinguir tráfego legítimo de tentativas maliciosas tornou-se um dos desafios centrais de segurança na nuvem. As abordagens tradicionais — como filtros baseados em Protocolo de Internet (IP) e consultas reversas de Sistema de Nomes de Domínio (DNS) — simplesmente não funcionam bem em ambientes multi-tenant, como o Amazon Bedrock AgentCore, onde milhares de cargas de trabalho distintas compartilham o mesmo espaço de IPs.

    Nesse cenário, atacantes conseguem facilmente falsificar cabeçalhos de agente de usuário, e listas de permissão manuais não acompanham o crescimento da demanda. Para endereçar esse problema, a AWS introduziu a Autenticação Web de Bots (WBA — Web Bot Authentication) no AWS WAF Bot Control em novembro de 2025.

    Como funciona a Autenticação Web de Bots (WBA)

    A WBA utiliza criptografia assimétrica para verificar identidades de bots por meio de assinaturas de mensagens HTTP. O mecanismo se apoia em dois rascunhos ativos da Força-Tarefa de Engenharia da Internet (IETF — Internet Engineering Task Force): um rascunho de diretório para compartilhamento de chaves públicas e um rascunho de protocolo que define como as chaves associam a identidade do crawler às requisições HTTP.

    O fluxo de funcionamento é o seguinte:

    • Registro do bot: os operadores de bots publicam suas chaves públicas em um diretório de assinaturas. O AWS WAF consulta esses diretórios periodicamente e mantém um registro atualizado de chaves válidas.
    • Assinatura das requisições: cada requisição do operador de bot é assinada com sua chave privada, seguindo o padrão IETF de Assinaturas de Mensagens HTTP (RFC 9421).
    • Verificação: o AWS WAF valida as assinaturas contra as chaves públicas conhecidas associadas ao operador do bot e adiciona rótulos relacionados ao status de verificação.

    Uma requisição típica assinada com WBA inclui cabeçalhos como os seguintes:

    Signature-Agent: https://signature-agent.test
    Signature-Input: sig2=("@authority" "signature-agent") ;created=1735689600 ;keyid="poqkLGiymh_W0uP6PZFw-dvez3QJT5SolqXBCW38r0U" ;alg="ed25519" ;expires=1735693200 ;nonce="e8N7S2MFd/qrd6T2R3tdfA..." ;tag="web-bot-auth"
    Signature: sig2=:jdq0SqOwHdyHr9+r5jw3iYZH6aNGKijYp/EstF4RQ..

    O diagrama abaixo ilustra como o AWS WAF verifica as assinaturas dos bots e aplica rótulos para decisões de permissão ou bloqueio:

    Imagem original — fonte: Aws

    O fluxo representado no diagrama segue estas etapas: um bot envia uma requisição assinada ao Amazon CloudFront, que é inspecionada pelo AWS WAF Bot Control; o serviço recupera a chave pública do operador no diretório de assinaturas; verifica a assinatura ed25519; adiciona um rótulo de verificação (verified, invalid, expired ou unknown_bot); e, por fim, avalia as regras configuradas para permitir ou bloquear a requisição.

    Novas capacidades adicionadas ao AWS WAF

    Verificação criptográfica de bots

    Quando um bot envia uma requisição, ela inclui assinaturas de mensagens HTTP que o AWS WAF valida na borda usando o grupo de regras do AWS WAF Bot Control (versão 4.0 ou superior). Essa validação adiciona latência mínima às requisições e oferece certeza criptográfica sobre a identidade do bot. O padrão RFC 9421 é aberto e definido pela IETF — na prática, significa que o bot assina criptograficamente cabeçalhos e metadados específicos de cada requisição, e o receptor pode verificar essa assinatura usando a chave pública publicada pelo bot.

    Novos rótulos para controle granular

    O AWS WAF valida automaticamente as assinaturas e marca o tráfego verificado com sucesso. Esses rótulos podem ser usados em regras do WAF e políticas de gerenciamento de bots. Veja o significado de cada rótulo e a ação sugerida:

    • awswaf:managed:aws:bot-control:bot:web_bot_auth:verified — Verificação criptográfica bem-sucedida → Permitir
    • awswaf:managed:aws:bot-control:bot:web_bot_auth:invalid — Tentativa de verificação falhou → Bloquear ou limitar taxa
    • awswaf:managed:aws:bot-control:bot:web_bot_auth:expired — Chave expirada utilizada → Bloquear e alertar
    • awswaf:managed:aws:bot-control:bot:web_bot_auth:unknown_bot — Chave não reconhecida → Monitorar ou bloquear
    • awswaf:managed:aws:bot-control:bot:vendor:<vendor_name> — Fornecedor ou operador do bot → Usar em regras por fornecedor
    • awswaf:managed:aws:bot-control:bot:name:<rfc_name> — Nome do bot (token RFC da WBA) → Usar em regras por bot específico
    • awswaf:managed:aws:bot-control:bot:account:<hash> — Identificador de conta AWS (somente agentes Amazon Bedrock AgentCore) → Usar para controles por conta

    Permissão automática para tráfego verificado de agentes de IA

    O AWS WAF Bot Control passou a respeitar o status de verificação da WBA por padrão, permitindo automaticamente o tráfego de agentes de IA verificados. Isso trouxe duas mudanças de comportamento específicas:

    • Atualização da regra Category:AI: anteriormente, essa regra bloqueava bots não verificados. Agora, o Bot Control verifica o status WBA antes de aplicá-la.
    • Atualização da regra TGT_TokenAbsent: essa regra, que detecta requisições sem token do WAF, não mais corresponde a requisições que carreguem o rótulo web_bot_auth:verified.

    Benefícios para quem usa o AWS WAF

    A WBA integrada ao AWS WAF traz vantagens concretas para organizações que gerenciam tráfego automatizado em escala:

    • Maior visibilidade de bots: identificação clara de bots distintos operando em plataformas multi-tenant como o Amazon Bedrock AgentCore. O console do AWS WAF inclui um novo painel de atividade de IA com uma visão centralizada do tráfego de bots e agentes de IA em todos os recursos protegidos.
    • Segurança aprimorada: verificação criptográfica de identidades de bots usando mecanismos de assinatura baseados em padrões da indústria.
    • Redução de falsos positivos: distinção precisa entre tráfego automatizado legítimo e malicioso, especialmente em ambientes de IP compartilhado.
    • Alinhamento com a indústria: compatibilidade com padrões amplamente adotados e com os principais provedores de Rede de Distribuição de Conteúdo (CDN — Content Delivery Network) para autenticação consistente de bots entre plataformas.

    Casos de uso da WBA com AWS WAF

    A WBA se aplica a diferentes cenários onde agentes automatizados precisam de acesso seguro e controlado a aplicações web:

    • Agentes de suporte ao cliente verificados: autenticação de bots de chat e suporte com IA, permitindo que os sites os reconheçam como agentes aprovados e registrados, com trilhas de auditoria completas.
    • Crawling e indexação automatizados: crawlers de mecanismos de busca e indexadores de conteúdo podem acessar páginas com identidade clara e permissões definidas, reduzindo bloqueios por falsos positivos.
    • Integrações com parceiros: agentes de terceiros acessam portais de clientes e Interfaces de Programação de Aplicações (APIs) com consentimento explícito e controles de acesso granulares, facilitando integrações seguras entre empresas (B2B — Business-to-Business).
    • Automações e agentes corporativos: ferramentas de automação internas — incluindo sistemas de monitoramento, bots de Garantia de Qualidade (QA), pipelines de Integração e Entrega Contínua (CI/CD) e soluções de Automação Robótica de Processos (RPA) — obtêm acesso autenticado a aplicações web com princípios de menor privilégio e auditabilidade completa.

    Como começar: guia rápido para desenvolvedores

    Passo 1: Implantar o Bot Control com suporte a WBA

    Adicione o grupo de regras do AWS WAF Bot Control ao seu Web Controle de Acesso (ACL — Access Control List) associado ao CloudFront usando a versão estática Version_4.0 ou Version_5.0 — ambas incluem suporte à WBA para verificação criptográfica de bots. A versão 5.0 (lançada em fevereiro de 2026) cobre mais de 650 bots e agentes únicos em categorias como crawlers de mecanismos de busca com IA, coletores de dados com IA, assistentes de IA e crawlers de treinamento de Modelos de Linguagem de Grande Escala (LLM — Large Language Model).

    Importante: você deve selecionar explicitamente uma dessas versões estáticas. O trecho de Linguagem de Marcação YAML do CloudFormation abaixo exemplifica a configuração:

    # Bot Control rule group with WBA support
    ManagedRuleGroupStatement:
      VendorName: AWS
      Name: AWSManagedRulesBotControlRuleSet
      # Use Version_4.0 or higher for WBA support
      Version: Version_5.0
      ManagedRuleGroupConfigs:
        - AWSManagedRulesBotControlRuleSet:
            # COMMON level provides WBA verification
            # TARGETED level adds additional bot-specific protections
            InspectionLevel: COMMON

    Passo 2: Assinar requisições do seu bot

    Se o seu agente roda no Amazon Bedrock AgentCore Browser, a assinatura das requisições é feita automaticamente — nenhuma configuração adicional é necessária. Para agentes que rodam fora do AgentCore, há APIs de registro no roadmap que permitirão assinar requisições de forma independente:

    • Gerar um par de chaves ed25519
    • Hospedar sua chave pública em um diretório de assinaturas
    • Assinar as requisições HTTP de saída usando os cabeçalhos Signature-Input e Signature com a tag web-bot-auth

    Para implementações de assinatura em linguagens específicas, consulte o RFC de Assinaturas de Mensagens HTTP (RFC 9421) e a documentação do AWS WAF Bot Control.

    Passo 3: Escrever regras personalizadas com rótulos WBA

    Use os rótulos de verificação em regras personalizadas do WAF para controle granular do tráfego:

    • Permitir: awswaf:managed:aws:bot-control:bot:web_bot_auth:verified
    • Limitar taxa: awswaf:managed:aws:bot-control:bot:web_bot_auth:invalid
    • Alertar: awswaf:managed:aws:bot-control:bot:web_bot_auth:expired

    Passo 4: Monitorar o tráfego WBA

    Use as métricas e logs do AWS WAF para acompanhar o tráfego de bots autenticados:

    • Revise as métricas do Amazon CloudWatch para o Bot Control e configure alarmes para picos anômalos em tentativas de verificação inválidas ou expiradas.
    • Analise os logs do AWS WAF para identificar padrões nas tentativas de autenticação de bots, filtrando pelos rótulos web_bot_auth.
    • Use o Painel de Atividade de IA no console do AWS WAF para uma visão centralizada do tráfego de bots de IA, identificar os bots mais ativos e os caminhos mais visados, e filtrar por status de verificação para decidir quais bots permitir, limitar ou bloquear.

    Disponibilidade

    A WBA foi introduzida na versão Version_4.0 do grupo de regras do Bot Control (novembro de 2025) para distribuições do Amazon CloudFront. A partir da Version_6.0, a WBA está disponível para todos os tipos de recursos suportados pelo AWS WAF nas regiões comerciais padrão da AWS.

    Conclusão

    A WBA integrada ao AWS WAF representa uma mudança significativa na forma como o tráfego automatizado é gerenciado: saindo de listas de permissão baseadas em IP para verificação baseada em assinaturas criptográficas. Isso garante identificação precisa de bots mesmo em ambientes multi-tenant. No roadmap da AWS estão APIs de registro que permitirão aos proprietários de agentes verificar criptograficamente a identidade e a intenção dos seus bots, ajudando os donos de sites a distinguir rapidamente automação confiável de tráfego desconhecido.

    Para começar, consulte a documentação do AWS WAF Bot Control e o RFC de Assinaturas de Mensagens HTTP (RFC 9421).

    Fonte

    Authenticate legitimate AI agent traffic with AWS WAF Bot Control (https://aws.amazon.com/blogs/security/authenticate-legitimate-ai-agent-traffic-with-aws-waf-bot-control/)

  • Escalando testes de UX com Amazon Nova Act: uma nova abordagem para análise de fluxos de usuário

    O problema clássico dos testes de UX

    Testar a experiência do usuário em interfaces digitais é uma das tarefas mais importantes — e mais negligenciadas — no desenvolvimento de produtos. O motivo é simples: escala. Testadores humanos conseguem cobrir apenas uma fração dos fluxos possíveis, priorizando os caminhos críticos e deixando casos de borda sem validação. Já as ferramentas tradicionais de automação, como Selenium ou Playwright, dependem de seletores de elementos hard-coded que quebram toda vez que a interface muda, gerando um custo de manutenção que inviabiliza a cobertura ampla.

    Diferente do Controle de Qualidade (QA) convencional, que busca bugs funcionais, os testes de UX avaliam se o usuário consegue navegar com facilidade para completar uma tarefa — comprar um produto, criar uma conta, finalizar um pagamento. Esse tipo de análise exige raciocínio contextual, não apenas verificação de elementos na tela.

    O que é o Amazon Nova Act e por que ele muda o jogo

    A AWS apresentou o Amazon Nova Act como um modelo de fundação multimodal capaz de entender e interagir com interfaces de navegadores web por meio de visão e ação. Em vez de depender de seletores predefinidos, o Nova Act navega por sites de forma inteligente: ele analisa capturas de tela das páginas exatamente como um testador humano faria, identifica elementos interativos por pistas visuais e toma decisões contextuais sobre qual ação executar em seguida.

    Essa capacidade de compreensão visual torna o Nova Act resiliente a mudanças de interface e a conteúdos dinâmicos — situações que normalmente quebrariam ferramentas de automação tradicionais. Além disso, os logs de raciocínio e cadeia de pensamento (chain of thought) gerados pelo modelo oferecem insights valiosos sobre o design e a intuitividade do site testado.

    Visão geral da solução

    A AWS publicou uma arquitetura de referência que combina o Nova Act com serviços gerenciados para criar uma plataforma de testes de UX implantada na nuvem. A solução é dividida em quatro camadas principais:

    Imagem original — fonte: Aws

    Camada de processamento de documentação

    É a base da solução. O Amazon Simple Storage Service (S3) armazena a documentação do site, guias de usuário e especificações de fluxos de teste. Esse conteúdo não estruturado é ingerido em uma Base de Conhecimento do Amazon Bedrock para busca por similaridade semântica. Em seguida, o AWS Lambda utiliza o Claude 4.5 Sonnet via Amazon Bedrock para transformar fluxos de usuário em cenários de teste detalhados, consultando a base de conhecimento para entender como cada tarefa é realizada na arquitetura específica do site.

    Camada de orquestração

    O Amazon DynamoDB armazena os fluxos de teste gerados com metadados e parâmetros de execução. O DynamoDB Streams dispara o processamento em lote quando novos fluxos ficam disponíveis, e funções Lambda coordenam a execução e acionam tarefas no Amazon Elastic Container Service (ECS) para processamento paralelo.

    Camada de execução

    O Amazon ECS com AWS Fargate fornece computação serverless escalável para a execução paralela dos testes. Os agentes do Amazon Nova Act executam os fluxos de usuário em sessões de navegador simultâneas, com registro em tempo real de toda a interação para análise posterior.

    Camada de análise

    O Amazon S3 armazena os logs detalhados de raciocínio, capturas de tela e dados comportamentais. Funções Lambda processam esses resultados usando o Amazon Bedrock para calcular pontuações de usabilidade, identificar pontos de atrito e analisar padrões de execução em diferentes níveis de granularidade das instruções. Os resultados ficam disponíveis em um dashboard React.

    Como implantar a solução

    Antes de começar, é necessário ter: Node.js v20 ou superior, npm v10.8 ou superior, uma conta AWS e o Kit de Desenvolvimento em Nuvem da AWS (AWS CDK) configurado (veja como começar com o AWS CDK).

    O código completo e as instruções de implantação estão disponíveis no repositório aws-samples no GitHub. A implantação usa o AWS CDK para automatizar toda a infraestrutura:

    git clone git@github.com:aws-samples/sample-nova-act-ux-testing.git
    cd nova-act-ux-testing
    cp template.env .env
    # Add your Nova Act API key in .env
    # Deploy the solution
    ./deploy.sh

    Ao final da implantação, o stack exibe outputs importantes que serão usados nas etapas seguintes.

    Criando fluxos de teste

    Após a implantação, há três abordagens para criar os fluxos de teste: geração automática a partir de documentação, definição manual ou uma combinação das duas. A AWS recomenda o modelo híbrido: usar a geração automática para estabelecer cobertura de base a partir da documentação existente e complementar com fluxos definidos manualmente para casos de borda, novas funcionalidades ou cenários que exigem controle preciso.

    Opção 1: Geração automática de fluxos a partir de documentação

    Uma função Lambda integrada ao Claude 4.5 Sonnet converte tarefas de usuário em fluxos de teste detalhados. Para aproveitar bem o sistema, é recomendado incluir múltiplas formas de atingir o mesmo objetivo. Por exemplo, se “comprar uma cafeteira” é um fluxo-chave, inclua tanto a abordagem por busca quanto a navegação por menus como tarefas separadas.

    O sistema produz instruções em três níveis de detalhe. Uma instrução básica pode ser “compre uma cafeteira de aço inoxidável bem avaliada”, enquanto a versão detalhada expande isso em ações precisas: selecionar eletrodomésticos de cozinha no menu, aplicar filtros de material e avaliação, e concluir o processo de compra. Para mais detalhes, veja o arquivo lambda/flow_discovery/index.py no repositório.

    O processo envolve: fazer upload da documentação do aplicativo no bucket S3 designado (o sistema suporta manuais de usuário, especificações de funcionalidades, documentos de jornadas comuns e casos de teste existentes), fazer upload do arquivo tasks.json no bucket uxflowteststack-tasksbucket para disparar a descoberta de fluxos, aguardar o processamento assíncrono e revisar os fluxos gerados na tabela do DynamoDB.

    Opção 2: Definição manual de fluxos

    Para controle preciso sobre cenários específicos, é possível definir fluxos customizados inserindo-os diretamente na tabela do DynamoDB. Essa abordagem é ideal para testar casos de borda específicos, validar novas funcionalidades antes que a documentação exista e testar fluxos que exigem contexto ou dados específicos de usuário.

    Os componentes principais de um fluxo manual são: flow_id (identificador único para rastreamento e correlação de resultados), starting_url (página onde o fluxo de teste começa), instructions (array de passos em linguagem natural para o Nova Act executar), method_name (representa um método diferente para completar a mesma tarefa, como busca versus navegação) e gran_n (representa diferentes níveis de granularidade das instruções).

    Personalizando a solução

    Para aplicações que exigem autenticação, é possível configurar sessões persistentes no navegador para manter o estado de login entre execuções de teste, eliminando a necessidade de reautenticar a cada execução. O código Python que executa os fluxos do Nova Act no Amazon ECS está em ecs/ecs_act_headless/app.py. Veja um exemplo de configuração de autenticação persistente:

    with NovaAct(
        starting_page="https://yourapp.com/purchase",
        user_data_dir="/tmp/authenticated-session",
        clone_user_data_dir=False
    ) as nova:
        # Your authenticated test flows run here
        nova.act("search for bananas")
        nova.act("purchase 2 bunches")

    O Nova Act também suporta esquemas Pydantic para extração confiável de dados estruturados de páginas web, além de operações com arquivos para testar fluxos de upload e validar conteúdo baixado. Para implementação detalhada dessas funcionalidades, consulte a documentação do SDK do Nova Act.

    Resultados e métricas gerados

    Para cada execução de teste, a solução gera e armazena no Amazon S3 um arquivo results_summary.json contendo métricas de alto nível: duração de cada etapa, número de ações necessárias, status de sucesso ou falha e quaisquer dados extraídos. Veja o formato do arquivo de resumo:

    {
      "flow_id": "ecommerce_purchase_flow",
      "batch_id": "batch_12345",
      "timestamp": "2026-07-01T20:50:01.811454",
      "results": [
        {
          "instruction": "search for desk lamp",
          "response": null,
          "metadata": {
            "num_steps": 3,
            "duration": 17.57,
            "success": true
          }
        },
        {
          "instruction": "select the first result",
          "response": null,
          "metadata": {
            "num_steps": 2,
            "duration": 11.1,
            "success": true
          }
        }
      ]
    }

    Além do resumo, o SDK do Amazon Nova Act gera relatórios HTML detalhados com capturas de tela do que o agente observou, o processo de tomada de decisão e raciocínio, e as ações específicas executadas (cliques, rolagens, preenchimento de formulários).

    A função Lambda de análise processa esses resultados brutos e calcula métricas em diferentes camadas de abstração — contagens brutas, sinais ajustados por infraestrutura e pontuações de qualidade compostas. Essas métricas alimentam um dashboard React organizado em abas, como a aba de Visão Geral (com painel de erros ajustados que separa falhas de infraestrutura de falhas reais do agente) e a aba de Desempenho e Eficiência (que detalha o tempo por etapa e por fluxo conforme o nível de granularidade das instruções).

    Para limpar todos os recursos implantados, basta executar:

    cdk destroy

    O que essa abordagem representa na prática

    Os testes de UX tradicionalmente exigem tempo e recursos significativos, limitando a profundidade com que as equipes conseguem validar suas interfaces. A combinação das capacidades de interação inteligente com navegadores do Nova Act e a infraestrutura escalável em nuvem cria um novo padrão para esse tipo de validação.

    Com essa abordagem, equipes podem testar mais jornadas de usuário, identificar problemas mais cedo no ciclo de desenvolvimento e iterar mais rapidamente na experiência do usuário. Em vez de amostras limitadas, torna-se viável validar jornadas completas em diferentes dispositivos e cenários — reduzindo custos de teste e o tempo gasto em validação manual.

    Para saber mais

    Fonte

    Scaling UX testing with Amazon Nova Act: A new approach to user flow analysis (https://aws.amazon.com/blogs/machine-learning/scaling-ux-testing-with-amazon-nova-act-a-new-approach-to-user-flow-analysis/)

  • Automatizando QA com IA em pipelines CI/CD usando Amazon Nova Act – Parte 2

    Além dos testes individuais: o próximo nível do QA automatizado

    Garantir qualidade em produção vai muito além de executar testes isolados. Equipes de engenharia precisam organizar casos de teste em suítes de regressão, executá-los em lote e integrá-los a pipelines de Integração Contínua e Entrega Contínua (CI/CD) para que os resultados controlem automaticamente o avanço de deploys.

    Em um post anterior, a AWS apresentou o QA Studio, uma solução de referência para automação de garantia de qualidade (QA) baseada em agentes, construída com o Amazon Nova Act. Naquela primeira parte, o foco foi em como definir casos de uso individuais em linguagem natural, executá-los sob demanda com navegação visual assistida por IA e inspecionar os artefatos de execução com visibilidade completa da trajetória.

    Agora, nesta segunda parte, a AWS expande essa base para mostrar como o QA Studio resolve dois desafios centrais: a execução em lote com suítes de regressão e a integração com pipelines CI/CD por meio de uma interface de linha de comando (CLI).

    Suítes de teste para regressão organizada

    Com o QA Studio, é possível agrupar casos de uso individuais — cada um validando uma jornada específica do usuário — em coleções chamadas de suítes de teste, que são executadas em conjunto. Essas suítes suportam testes de regressão estruturados por áreas funcionais.

    A execução das suítes acontece em lote com processamento paralelo: cada caso de uso roda de forma independente em sua própria tarefa worker no Amazon Elastic Container Service (Amazon ECS) com AWS Fargate. Isso significa que uma suíte com 20 testes pode ser executada de forma simultânea, em vez de sequencial, reduzindo significativamente o tempo total de execução.

    As suítes podem ser organizadas por área funcional, estágio de release ou propósito de teste. Exemplos práticos incluem:

    • Smoke tests: validam os caminhos críticos a cada deploy
    • Suítes de regressão: cobrem toda a aplicação
    • Testes de integração: verificam fluxos entre funcionalidades antes de um release

    Criando e gerenciando suítes

    A criação de suítes é feita pela interface web do QA Studio: basta fornecer nome, descrição e tags opcionais, e então adicionar os casos de uso existentes à suíte. Cada caso de uso mantém sua própria configuração — URL de início, variáveis, segredos e cabeçalhos — e essas configurações são aplicadas de forma independente durante a execução da suíte.

    Execução e resultados

    Quando uma suíte é executada, o QA Studio cria registros individuais de execução para cada caso de uso e os despacha para a fila de workers. A página de execução da suíte oferece uma visão agregada: quantos casos passaram, falharam ou ainda estão em andamento. É possível detalhar os resultados individuais para revisar logs de trajetória, capturas de tela e gravações de sessão de qualquer teste que tenha falhado.

    Cada suíte mantém seu próprio histórico de execuções, oferecendo uma visão longitudinal da estabilidade da regressão. Aprovações consistentes constroem confiança na funcionalidade testada, enquanto falhas intermitentes indicam áreas que precisam de atenção.

    Integração CI/CD com a CLI do QA Studio

    A interface web do QA Studio funciona bem para criação interativa de testes e execução sob demanda. Mas pipelines de CI/CD exigem uma abordagem diferente: execução por linha de comando, saída estruturada, autenticação não interativa e códigos de saída que se integrem com os orquestradores de pipeline.

    A CLI do QA Studio (qa-studio) preenche exatamente essa lacuna. Ela se conecta ao mesmo backend de API da aplicação web, mas em vez de despachar testes para workers no Fargate, executa-os com o Amazon Nova Act diretamente na máquina onde a CLI roda — como um runner de CI/CD. Os resultados são reportados de volta para o deploy do QA Studio.

    Instalação e autenticação

    A CLI do QA Studio faz parte do repositório do projeto no GitHub. Após clonar o repositório, instale a CLI como pacote Python com suas dependências opcionais de runner:

    pip install -e "./qa-studio-cli[runner]"

    Para ambientes de CI/CD, a CLI suporta autenticação por credenciais de cliente OAuth 2.0. Você cria um cliente OAuth na interface web do QA Studio com os escopos necessários (api/suite.read, api/suite.write, api/executions.read, api/executions.write, api/usecases.read, api/usecases.execute), e então configura as credenciais como variáveis de ambiente do pipeline:

    export OAUTH_CLIENT_ID="your-client-id"
    export OAUTH_CLIENT_SECRET="your-client-secret"
    export OAUTH_TOKEN_ENDPOINT="https://your-cognito-domain.auth.region.amazoncognito.com/oauth2/token"

    A CLI solicita e armazena em cache os tokens de acesso automaticamente, renovando-os quando expiram. Nenhum login interativo via navegador é necessário.

    Executando testes e suítes

    O comando qa-studio run executa casos de uso individuais ou suítes inteiras:

    # Run a single test
    qa-studio run --usecase-id test-123
    
    # Run a test suite
    qa-studio run --suite-id suite-456

    Sobrescrita de ambiente e variáveis

    Pipelines de CI/CD frequentemente precisam rodar os mesmos testes contra ambientes diferentes. A CLI oferece mecanismos de sobrescrita que modificam o comportamento dos testes sem alterar as definições armazenadas no QA Studio.

    A flag --base-url substitui o domínio da URL de início, preservando o caminho e os parâmetros de query. Um único teste pode então apontar para desenvolvimento, staging ou produção:

    # Run against staging
    qa-studio run --suite-id suite-456 --base-url https://staging.example.com
    
    # Run against production
    qa-studio run --suite-id suite-456 --base-url https://production.example.com

    A flag --var sobrescreve variáveis de template definidas no caso de uso. Variáveis referenciadas nos passos de teste com a sintaxe {{NomeDaVariavel}} são substituídas em tempo de execução, permitindo configurações específicas por ambiente sem duplicar definições de teste:

    # Override credentials for a specific environment
    qa-studio run --usecase-id test-123 \
      --var username=staging_user \
      --var password=staging_pass \
      --var api_key=staging_key_123

    A flag --region controla em qual Região da AWS o navegador será executado, e --model-id seleciona a versão do modelo Amazon Nova Act:

    qa-studio run --usecase-id test-123 \
      --region eu-central-1 \
      --model-id nova-act-v1.0

    Cabeçalhos e segredos

    Casos de uso podem definir cabeçalhos HTTP personalizados enviados em cada requisição durante a execução do teste — úteis para tokens de autenticação, feature flags ou identificadores personalizados que a aplicação testada exige. Os cabeçalhos são configurados nas definições do caso de uso e aplicados automaticamente tanto na interface web quanto na CLI.

    Segredos oferecem armazenamento seguro para valores sensíveis como senhas, chaves de API ou tokens. Os segredos são armazenados no AWS Secrets Manager, criptografados em repouso. O QA Studio é projetado para que os valores dos segredos não sejam gravados em logs ou registros de execução. Os passos de teste referenciam segredos pelo nome, e os valores reais são recuperados em tempo de execução. Essa separação permite que pipelines de CI/CD executem testes que exigem credenciais sem expô-las nas configurações ou logs do pipeline.

    Códigos de saída e integração com pipelines

    A CLI utiliza códigos de saída que mapeiam diretamente para estados de sucesso e falha nos pipelines:

    • Código 0: todos os testes passaram → pipeline continua
    • Código 1: um ou mais testes falharam → pipeline falha (falha de teste)
    • Código 2: erro da CLI (autenticação, configuração, API) → pipeline falha (erro de infraestrutura)

    Esse modelo de três estados permite que pipelines distingam entre falhas de teste (código 1) e problemas de infraestrutura (código 2), possibilitando estratégias diferentes de notificação ou retry para cada caso.

    A flag --format controla a formatação da saída. O formato padrão json oferece saída estruturada para consumo programático. O formato human fornece um resumo legível para logs de pipeline:

    qa-studio run --suite-id suite-456 --format human

    Durante a execução, a CLI cria registros no QA Studio, atualiza os status dos passos em tempo real e faz upload de artefatos, incluindo logs de trajetória e gravações de sessão. É possível monitorar execuções disparadas pela CLI pela interface web junto com execuções manuais, mantendo um histórico unificado independentemente de como os testes foram iniciados.

    Exemplos de integração com plataformas CI/CD

    A AWS apresenta exemplos de integração do QA Studio com as principais ferramentas de CI/CD do mercado. Em todos os casos, assume-se que as credenciais OAuth do cliente e as credenciais AWS estão armazenadas como segredos do pipeline.

    GitHub Actions

    name: QA Tests
    on:
      push:
        branches: [main]
      pull_request:
        branches: [main]
    
    jobs:
      smoke-tests:
        runs-on: ubuntu-latest
        steps:
          - uses: actions/checkout@v4
          - name: Set up Python
            uses: actions/setup-python@v4
            with:
              python-version: '3.11'
          - name: Install QA Studio CLI
            run: pip install -e "./qa-studio-cli[runner]"
          - name: Configure AWS Credentials
            uses: aws-actions/configure-aws-credentials@v4
            with:
              aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
              aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
              aws-region: us-east-1
          - name: Run Smoke Tests
            env:
              OAUTH_CLIENT_ID: ${{ secrets.OAUTH_CLIENT_ID }}
              OAUTH_CLIENT_SECRET: ${{ secrets.OAUTH_CLIENT_SECRET }}
              OAUTH_TOKEN_ENDPOINT: ${{ secrets.OAUTH_TOKEN_ENDPOINT }}
            run: |
              qa-studio run \
                --suite-id ${{ vars.SMOKE_TEST_SUITE_ID }} \
                --base-url https://staging.example.com \
                --format human
          - name: Upload Artifacts
            if: always()
            uses: actions/upload-artifact@v3
            with:
              name: test-artifacts
              path: ~/.qa-studio/artifacts/

    A condição if: always() no passo de upload de artefatos garante que gravações e logs sejam preservados mesmo quando os testes falham, fornecendo o contexto de depuração necessário para investigar as falhas.

    GitLab CI

    stages:
      - test
    
    smoke-tests:
      stage: test
      image: python:3.11
      before_script:
        - pip install -e "./qa-studio-cli[runner]"
      script:
        - |
          qa-studio run \
            --suite-id $SMOKE_TEST_SUITE_ID \
            --base-url https://staging.example.com \
            --format human
      variables:
        AWS_DEFAULT_REGION: us-east-1
      artifacts:
        when: always
        paths:
          - ~/.qa-studio/artifacts/
        expire_in: 7 days
      only:
        - main
        - merge_requests
    
    regression-tests:
      stage: test
      image: python:3.11
      before_script:
        - pip install -e "./qa-studio-cli[runner]"
      script:
        - |
          qa-studio run \
            --suite-id $REGRESSION_SUITE_ID \
            --timeout 7200 \
            --format human
      variables:
        AWS_DEFAULT_REGION: us-east-1
      artifacts:
        when: always
        paths:
          - ~/.qa-studio/artifacts/
        expire_in: 7 days
      only:
        - schedules

    As variáveis do GitLab CI (OAUTH_CLIENT_ID, OAUTH_CLIENT_SECRET, OAUTH_TOKEN_ENDPOINT, AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY) devem ser configuradas como variáveis de CI/CD protegidas e mascaradas nas configurações do projeto. O job regression-tests usa o gatilho de agendamento do GitLab, rodando apenas quando acionado por um schedule de pipeline, e não por um push de código.

    Jenkins

    pipeline {
      agent any
      environment {
        AWS_DEFAULT_REGION = 'us-east-1'
      }
      stages {
        stage('Setup') {
          steps {
            sh '''
              python3.11 -m venv venv
              . venv/bin/activate
              pip install -e "./qa-studio-cli[runner]"
            '''
          }
        }
        stage('Smoke Tests') {
          steps {
            withCredentials([
              string(credentialsId: 'oauth-client-id', variable: 'OAUTH_CLIENT_ID'),
              string(credentialsId: 'oauth-client-secret', variable: 'OAUTH_CLIENT_SECRET'),
              string(credentialsId: 'oauth-token-endpoint', variable: 'OAUTH_TOKEN_ENDPOINT'),
              string(credentialsId: 'aws-access-key-id', variable: 'AWS_ACCESS_KEY_ID'),
              string(credentialsId: 'aws-secret-access-key', variable: 'AWS_SECRET_ACCESS_KEY')
            ]) {
              sh '''
                . venv/bin/activate
                qa-studio run \
                  --suite-id ${SMOKE_TEST_SUITE_ID} \
                  --base-url https://staging.example.com \
                  --format human
              '''
            }
          }
        }
      }
      post {
        always {
          archiveArtifacts artifacts: '~/.qa-studio/artifacts/**/*', allowEmptyArchive: true
        }
      }
    }

    No Jenkins, o bloco withCredentials injeta os segredos no ambiente de build sem expô-los na saída do console. O bloco post.always arquiva os artefatos de teste independentemente do resultado do build.

    O que isso representa para equipes de engenharia

    As suítes de teste e a integração com CI/CD transformam o QA Studio de uma ferramenta interativa de criação de testes em uma plataforma de garantia de qualidade contínua. As suítes organizam a cobertura de regressão em coleções gerenciáveis com execução paralela. A CLI traz a execução de testes baseada em agentes para pipelines automatizados, com sobrescrita de ambiente, gerenciamento seguro de credenciais e códigos de saída que se mapeiam para estados de sucesso e falha nos pipelines.

    Essas capacidades se constroem sobre a base descrita no post anterior: definições de teste em linguagem natural, navegação visual com IA e visibilidade completa da trajetória de ponta a ponta. Juntas, demonstram como a automação de QA com agentes usando o Amazon Nova Act pode se integrar aos fluxos de entrega de software existentes, fornecendo feedback automatizado de qualidade sem exigir que as equipes mantenham código de teste específico de frameworks.

    A AWS indica que um próximo post explorará como a automação de testes com agentes pode se estender a aplicações móveis. A solução de referência do QA Studio, incluindo suítes de teste e integração com CLI, está disponível no GitHub. Para instruções de deploy e documentação detalhada, consulte o README do projeto.

    Fonte

    Accelerating software delivery with agentic QA automation using Amazon Nova Act – Part 2 (https://aws.amazon.com/blogs/machine-learning/accelerating-software-delivery-with-agentic-qa-automation-using-amazon-nova-act-part-2/)

  • Amazon GuardDuty AI Protection: detecção de ameaças para cargas de trabalho de IA na AWS

    O que foi anunciado

    A AWS anunciou o Amazon GuardDuty AI Protection, uma expansão do serviço Amazon GuardDuty que estende a detecção de ameaças para cargas de trabalho de inteligência artificial — com suporte inicial ao Amazon Bedrock e ao Amazon SageMaker.

    O movimento faz sentido: à medida que as organizações adotam IA em ritmo acelerado, as equipes de segurança frequentemente não têm visibilidade adequada sobre ameaças específicas a esses ambientes. O GuardDuty AI Protection chega para preencher exatamente essa lacuna.

    Quais ameaças ele detecta

    O serviço monitora continuamente as cargas de trabalho de IA e é capaz de identificar três categorias principais de atividade suspeita:

    • Padrões anômalos de invocação de modelos: comportamentos fora do normal no uso dos modelos de IA, que podem indicar acesso não autorizado ou uso indevido.
    • Ataques de consumo de recursos (cost harvesting): quando agentes maliciosos forçam os recursos de IA a consumir tempo excessivo de GPU e tokens, gerando custos elevados para a conta da vítima.
    • Tentativas de prompt injection: ataques que tentam manipular o comportamento dos modelos por meio de entradas maliciosas, detectados por meio da integração com o Amazon Bedrock Guardrails.

    Para isso, o GuardDuty AI Protection analisa eventos de gerenciamento e de dados do CloudTrail provenientes dos serviços de IA da AWS, sem exigir configuração manual ou ferramentas personalizadas por parte da equipe de segurança.

    Integração com o AWS Security Hub

    Os alertas gerados pelo GuardDuty AI Protection fluem diretamente para o AWS Security Hub, centralizando a visão dos ativos e ameaças de IA em um único painel. Isso facilita a priorização e a resposta a incidentes, sem que as equipes precisem alternar entre consoles diferentes.

    Como habilitar

    A ativação do recurso pode ser feita em poucos passos diretamente no console do GuardDuty ou do Security Hub. Para organizações que utilizam o AWS Organizations, é possível habilitar o GuardDuty AI Protection de forma centralizada para todas as contas da organização de uma só vez.

    Disponibilidade e preços

    O GuardDuty AI Protection está disponível para clientes do Amazon GuardDuty com um período de teste gratuito de 30 dias. Para consultar os detalhes de precificação após o período de teste, acesse a página de preços do Amazon GuardDuty.

    Para aprender mais sobre o serviço, a AWS disponibiliza o Guia do Usuário do Amazon GuardDuty e a página oficial do produto. A lista completa de regiões onde o recurso está disponível pode ser consultada na Lista de Serviços Regionais da AWS.

    Fonte

    Introducing Amazon GuardDuty AI Protection for AWS AI workloads (https://aws.amazon.com/about-aws/whats-new/2026/07/amazon-guardduty-ai-protection-aws/)

  • ICYMI: Resumo de Segurança AWS — Junho de 2026

    O que aconteceu em segurança AWS em junho de 2026

    A cada mês, a AWS consolida as principais publicações de segurança num post de resumo — ideal para quem não consegue acompanhar tudo em tempo real. O digest de junho de 2026 cobre identidade e gerenciamento de acesso, inteligência de ameaças, segurança de rede, ferramentas de segurança com IA e governança multi-conta. A seguir, a CloudTroop traz os destaques organizados por tema.

    Identidade e Controle de Acesso

    Segurança de agentes de IA multi-tenant com Amazon Bedrock AgentCore

    Um dos posts mais relevantes do mês aborda como usar políticas baseadas em recursos no Amazon Bedrock AgentCore para isolar tenants em plataformas compartilhadas de IA. O artigo Protegendo agentes de IA multi-tenant com políticas baseadas em recursos do Amazon Bedrock AgentCore mostra como conceder acesso entre contas para um tenant enquanto restringe outro ao tráfego exclusivo via Nuvem Privada Virtual (VPC) — um padrão essencial para quem opera plataformas de IA com múltiplos clientes.

    Novo trigger Lambda para login federado no Amazon Cognito

    O post Personalizando o login federado com o novo trigger Lambda do Amazon Cognito explica como usar o novo trigger de federação de entrada do AWS Lambda no Amazon Cognito para transformar, filtrar e enriquecer atributos de usuários vindos de provedores de identidade externos — tudo isso antes da criação do perfil no user pool.

    Nova infraestrutura do Amazon Cognito

    A AWS anunciou melhorias significativas no Cognito: alta performance de throughput, chaves gerenciadas pelo cliente para criptografia de dados em repouso e replicação multi-região para continuidade de negócios — tudo construído sobre uma nova infraestrutura de armazenamento migrada com zero downtime. O post Amazon Cognito libera capacidades avançadas com infraestrutura de nova geração detalha essas mudanças.

    Controle de acesso granular em aplicações B2C

    Para quem constrói aplicações Negócio para Consumidor (B2C), o post Construindo aplicações B2C seguras com controle de acesso granular usando Amazon Cognito e Amazon Verified Permissions mostra como combinar o Cognito para autenticação com o Amazon Verified Permissions e políticas Cedar para autorização — usando uma aplicação Streamlit como exemplo prático.

    Restringindo o acesso ao Console AWS a redes esperadas

    O post Restringindo o acesso ao AWS Management Console a redes esperadas com políticas baseadas em recursos de login e RCPs ensina a usar políticas baseadas em recursos de login e Políticas de Controle de Recursos (RCPs) para limitar o acesso ao Console AWS apenas a requisições originadas em redes autorizadas, como VPNs corporativas e endpoints do Amazon VPC.

    Segurança de Infraestrutura

    Visibilidade sobre ataques DDoS com flow logs no AWS Shield Advanced

    O artigo Ganhando visibilidade sobre ataques DDoS com flow logs no AWS Shield Advanced explica como configurar os logs de fluxo de ataque do AWS Shield Advanced para capturar metadados de tráfego durante eventos de Ataque Distribuído de Negação de Serviço (DDoS), identificar origens, verificar mitigações e alimentar pipelines de análise existentes.

    Subdomain takeover: como detectar e prevenir

    O post Destaque de tática de ameaça: Subdomain takeover aborda uma das táticas mais subestimadas: a tomada de subdomínios abandonados. A publicação mostra como usar regras personalizadas do AWS Config para identificar registros CNAME de DNS “pendurados” que apontam para recursos deletados em namespaces globais compartilhados.

    Prevenção de exfiltração de dados com controles de egresso

    Para equipes preocupadas com transferência não autorizada de dados, o artigo Prevenindo exfiltração de dados: controles de egresso AWS para cargas de trabalho na nuvem apresenta uma abordagem em camadas usando AWS Network Firewall, Amazon Route 53 Resolver DNS Firewall e perímetros de dados para reduzir o risco de transferência não autorizada.

    Detecção e Resposta a Incidentes

    Roteiro de maturidade para operacionalizar segurança AWS

    O post Operacionalizando a segurança AWS: um roteiro de maturidade apresenta um roteiro de seis fases para organizações que já habilitaram o AWS Security Hub e o Amazon GuardDuty. O conteúdo cobre ajustes finos, notificações, remediação automatizada e cadência operacional.

    AWS Continuum: segurança na velocidade das máquinas

    A AWS apresentou o AWS Continuum, uma plataforma nativa de IA para vulnerabilidades de código que cobre o ciclo completo — da descoberta e priorização até a validação e remediação — tudo em velocidade de máquina. O artigo Apresentando o AWS Continuum: segurança na velocidade das máquinas detalha como a plataforma funciona.

    Investigações de segurança com Kiro CLI

    O post Acelerando investigações de segurança com Kiro CLI mostra como usar o Kiro CLI para conduzir investigações seguindo o framework do Guia de Resposta a Incidentes de Segurança da AWS — desde a triagem de achados do Amazon GuardDuty até contenção e preservação de evidências.

    Atualização do Catálogo de Técnicas de Ameaça de junho de 2026

    O artigo O que a atualização de junho de 2026 do Catálogo de Técnicas de Ameaça significa para seu ambiente AWS detalha cinco novas entradas e três atualizações no catálogo, cobrindo segurança de containers, confiança em nível organizacional e padrões de sequestro de computação observados pelo Time de Resposta a Incidentes (CIRT) da AWS.

    Proteção de Dados

    Identificando chaves KMS não utilizadas e prevenindo exclusões acidentais

    O post Identificando chaves AWS KMS não utilizadas e prevenindo exclusões acidentais ensina a usar a nova API GetKeyLastUsage do AWS KMS para auditar atividade de chaves, identificar as que não estão em uso e aplicar controles de política que impedem a exclusão acidental de chaves recentemente utilizadas.

    Governança e Conformidade

    A jornada do Pinterest: de monolito para multi-conta

    Um caso real de transformação: o post De monolito para multi-conta: a jornada de transformação de AWS Organizations do Pinterest documenta como o Pinterest migrou de uma conta AWS monolítica para uma arquitetura multi-conta, incluindo separação da conta de gerenciamento, provisionamento automatizado de contas e rede centralizada.

    Dashboard de conformidade de patches multi-conta com Kiro Specs

    O artigo Construindo um dashboard de conformidade de patches multi-conta com Kiro Specs mostra como usar a abordagem de desenvolvimento orientado a especificações do Kiro para criar um dashboard serverless de conformidade de patches com o AWS Systems Manager Patch Manager e acesso privado via Session Manager.

    Transferindo contas entre AWS Organizations preservando permissões do Lake Formation

    O post Transferindo contas AWS entre AWS Organizations preservando permissões do AWS Lake Formation aborda como migrar contas membro entre AWS Organizations sem interromper permissões entre contas do AWS Lake Formation, usando compartilhamentos de ponte temporários com o novo parâmetro de retenção do AWS RAM.

    Boletins de Segurança de Junho

    A AWS publicou investigações sobre vulnerabilidades de segurança reportadas que afetam serviços, softwares e produtos Amazon e AWS. Abaixo, a lista dos boletins divulgados em junho:

    Amostras de Código AWS (AWS Samples)

    Junho trouxe 10 novos repositórios de amostras cobrindo segurança de IA, identidade, segurança de infraestrutura, governança e observabilidade. Todos disponíveis para que você implante e valide no seu próprio ambiente antes de adotar em produção.

    Segurança de IA

    Governança

    Conclusão

    Junho de 2026 foi um mês denso em conteúdo prático para segurança AWS em escala organizacional. Os destaques vão desde roteiros de maturidade e restrições de acesso ao console até registros de agentes de IA e plataformas de gerenciamento de postura. Os posts e amostras apresentam padrões para visibilidade sobre DDoS com flow logs, isolamento de agentes multi-tenant com políticas baseadas em recursos, controles de egresso para prevenção de exfiltração de dados e frameworks de governança para assistentes de codificação com IA. Cada recurso inclui passos de implantação ou código executável para que você possa validar no seu próprio ambiente antes de adotar.

    Para receber as publicações assim que saírem, assine o feed RSS do AWS Security Blog e volte mensalmente para o digest consolidado.

    Fonte

    ICYMI: June 2026 @AWS Security (https://aws.amazon.com/blogs/security/icymi-june-2026-aws-security/)

  • AWS IAM Identity Center obtém Certificação FedRAMP Classe C

    O que foi anunciado

    A AWS anunciou que o AWS IAM Identity Center agora está dentro do escopo da certificação FedRAMP Classe C. O serviço passou a atender a esse requisito nas seguintes regiões dos Estados Unidos: US East (Ohio), US East (N. Virginia), US West (N. California) e US West (Oregon).

    O que muda na prática

    Com essa certificação, organizações que precisam estar em conformidade com o FedRAMP Classe C podem utilizar o IAM Identity Center para gerenciar o acesso da força de trabalho a contas AWS e aplicações sujeitas a esse nível de compliance. Ou seja, o serviço agora é uma opção válida também para ambientes com exigências regulatórias mais rigorosas dentro do contexto do governo americano.

    Vale lembrar que o IAM Identity Center já é o serviço recomendado pela AWS para gerenciar o acesso de colaboradores a contas e aplicações AWS — e essa certificação reforça ainda mais seu uso em cenários regulados.

    O que é o FedRAMP

    O Programa Federal de Gerenciamento de Riscos e Autorizações (FedRAMP) é um programa do governo dos Estados Unidos que estabelece uma abordagem padronizada para avaliação de segurança, certificação e monitoramento contínuo de produtos e serviços em nuvem. Em outras palavras, é o mecanismo que o governo americano usa para garantir que soluções de nuvem atendam a critérios rigorosos de segurança antes de serem adotadas por agências federais.

    Onde saber mais

    Para aprofundar o entendimento sobre o FedRAMP e como a AWS se posiciona dentro desse programa, a AWS disponibiliza a página de serviços em conformidade e a página de recursos de compliance da AWS. Quem quiser entender melhor o funcionamento do IAM Identity Center pode consultar o Guia do Usuário oficial do serviço.

    Fonte

    AWS IAM Identity Center achieves FedRAMP Class C Certification (https://aws.amazon.com/about-aws/whats-new/2026/07/aws-identity-center-fedramp/)