Encontrar não é explorar: porque a validação muda tudo

Há uma confusão que custa caro às equipas de segurança: tratar “encontrar uma vulnerabilidade” e “provar que ela é explorável” como se fossem a mesma coisa. Não são. E a distância entre as duas é, muitas vezes, a distância entre um alerta que se pode ignorar e uma falha que precisa de correção urgente.

Na DIANA, separamos deliberadamente duas fases: Descoberta e Exploração.

Fase 1 — Descoberta: encontrar

A descoberta é o reconhecimento. A IA mapeia a superfície de ataque, identifica ativos, serviços e vulnerabilidades potenciais. É um trabalho de fôlego — a superfície muda todos os dias — mas é, por natureza, automático e não-destrutivo.

É também exatamente onde os scanners param. Um scanner deteta padrões conhecidos e devolve uma lista do que pode ser um problema. Útil, mas incompleto: uma lista de possibilidades não é uma lista de riscos.

Fase 2 — Exploração: provar

Explorar é ir até ao fim. É executar o ataque controlado para confirmar que a vulnerabilidade é realmente explorável, com evidência reproduzível. É a diferença entre “este endpoint parece vulnerável a SQL injection” e:

$ diana validate /orders?id=1'
→ payload  ' OR 1=1 --
→ resposta 200 · 1.482 registos
● EXPLORÁVEL · evidência #E-88

A segunda frase não se discute. Ou é explorável, e há prova; ou não é, e sai da lista. É assim que a validação por exploração elimina os falsos positivos que enterram as equipas em ruído.

Porque é que a distinção importa

Para priorizar. Uma vulnerabilidade encontrada é uma hipótese. Uma vulnerabilidade explorada é um facto. Só a segunda lhe diz, sem ambiguidade, o que corrigir primeiro.

Para governar. Descobrir é seguro; explorar é intrusivo. Escalar privilégios ou aceder a dados sensíveis não é um passo qualquer — é uma ação de maior impacto. Por isso, na DIANA, a exploração acontece só dentro do âmbito autorizado e, nos passos sensíveis, exige aprovação humana. A descoberta corre sozinha; a exploração espera pelo seu sim.

Para confiar. Quando cada exploração fica registada — o que foi feito, com que autorização, com que resultado — a autonomia deixa de ser um salto de fé e passa a ser auditável.

Encontrar ≠ explorar

É uma regra simples, mas é o coração do produto. A DIANA faz as duas coisas — descobre e prova — e nunca as confunde. É o que a separa de um scanner (que só encontra) e de uma IA descontrolada (que exploraria sem pedir licença).

---

Quer ver a diferença na prática? Agende uma demonstração e mostramos a descoberta e a exploração — com o fluxo de aprovação — num âmbito de exemplo.