AWS Lança Prévia Pública do Agente de Investigação GuardDuty para Deixar a IA Rastrear Pistas de Ataques para Equipes de Segurança

A Amazon Web Services (AWS) anunciou a prévia pública do Amazon GuardDuty Investigation Agent, uma ferramenta de segurança baseada em IA projetada para avaliar descobertas de segurança, correlacionar atividades históricas e mapear a telemetria de ameaças em contas e organizações da AWS. O serviço integra metadados de descobertas, logs de atividades de 90 dias e a topologia dos recursos afetados em relatórios de análise estruturados, com o objetivo de reduzir o tempo de investigação de horas para minutos. Foi inicialmente anunciado como 'investigações com IA' em junho e detalhado sob o nome Investigation Agent em julho. O agente opera em três escopos: análise de descoberta para um ID específico de descoberta do GuardDuty com 32 caracteres, análise de conta para uma única conta AWS de 12 dígitos e análise de organização para até 100 contas membro em uma Organização AWS. Cada análise produz um conjunto de resultados estruturados, incluindo nível de risco (de Info a Critical), pontuação de confiança, classificação MITRE ATT&CK e etapas de remediação executáveis via interface de linha de comando (CLI). O AWS Security Hero Sena Yakut observou a diferença em relação ao Extended Threat Detection existente do GuardDuty, que vincula descobertas relacionadas em cadeias de ataque, enquanto o Investigation analisa recursos afetados, atividade do IAM e contexto circundante para gerar um relatório resumido com recomendações. A ferramenta é particularmente adequada para organizações sem grandes equipes de segurança, mas Yakut enfatizou que a IA deve auxiliar, não substituir, a investigação e a tomada de decisão humana. Desenvolvedores e equipes de SecOps podem acionar investigações programaticamente via AWS SDK, comando `aws guardduty create-investigation` na CLI ou regras do EventBridge. A integração com AWS MCP Server permite que engenheiros acionem investigações de ameaças a partir do Claude Desktop ou runners de agente CLI personalizados usando credenciais IAM existentes. A AWS aborda preocupações de governança observando que os dados e relatórios de investigação são armazenados na região original, embora a inferência possa ser roteada para outras regiões por meio do Cross-Region Inference Service (CRIS), alimentado por modelos Bedrock. O serviço compete com o Microsoft Security Copilot e as investigações assistidas por Gemini do Google. A diferenciação está no escopo, limitado às descobertas do GuardDuty e à telemetria circundante da AWS, o que restringe o domínio de raciocínio e torna os resultados verificáveis. A prévia pública está disponível em 10 regiões comerciais da AWS e é gratuita durante a prévia, com limites de 10 investigações por conta por dia e 100 no total por conta. Esses limites sugerem um foco em análise manual em vez de pipelines de resposta automatizados, alinhando-se ao lembrete de Yakut de que a prévia é para avaliar os resultados, não para resposta autônoma.