iThelma (Agente Autônomo LLM para Threat Hunting)

Nota de abertura da pasta de agentes autônomos do capítulo 17.
Apresenta o iThelma, agente baseado em LLM que executa o loop de threat hunting de forma autônoma, planejando consultas, executando-as no SIEM e na EDR e interpretando os resultados em iterações sucessivas.
Dialoga com o hunt loop da seção 04 do capítulo 6, com as plataformas de hunting da seção 09 e com a nota de agentic AI desta mesma pasta.

1. Contexto e Posicionamento na Biblioteca

As notas da pasta anterior mostram LLMs executando tarefas delimitadas dentro do ciclo de CTI, com prompt desenhado por humano para cada etapa. O iThelma representa o salto seguinte: um agente que recebe um objetivo de hunt, decompõe o problema em consultas, executa essas consultas contra as plataformas de dados, interpreta os resultados e decide o próximo passo sem que cada decisão intermediária tenha sido especificada antecipadamente. O agente não substitui o ciclo de caça do capítulo 6, ele o executa, com o hunter migrando do posto de executor para o posto de supervisor de iterações.

A posição na biblioteca é de ponte: o repertório de consultas, fontes de log e técnicas das seções 08 e 09 vira ferramenta disponível ao agente, e os resultados alimentam a documentação de descobertas da seção 05 do capítulo 7. A nota seguinte da pasta generaliza o conceito para agentic AI e defesa adaptativa, e a terceira aplica a ideia à emulação ofensiva, formando o arco de autonomia crescente que o capítulo 17 documenta.

A motivação prática é de capacidade e não de novidade. O gargalo do hunting maduro é tempo de analista sênior, e boa parte desse tempo vai para a mecânica do ciclo: escolher fonte, escrever consulta, ajustar filtro, confrontar com baseline. Um agente supervisionado que executa essa mecânica em minutos libera o hunter para as partes que exigem juízo, formular a hipótese certa, avaliar relevância do achado para o negócio e decidir o que vira detecção permanente, e essa realocação de esforço é o argumento econômico central da abordagem.

2. O Loop do Agente: Planejar, Consultar, Interpretar, Iterar

O loop do agente reproduz em escala acelerada o raciocínio do hunter experiente. A partir da hipótese inicial, o agente planeja uma consulta, submete aos dados, interpreta o resultado contra o objetivo e decide entre refinar a consulta, trocar de fonte, abrir uma sub-hipótese ou encerrar com veredito. Cada volta do loop deixa registro estruturado, e essa trilha é o que permite auditar a caça depois, requisito que a nota de documentação de descobertas já impõe ao hunting humano.

O valor da autonomia aparece na adaptação. Um hunt manual de beaconing pode começar por agregação de conexões por destino e, ao notar volume anômalo em um host, desviar para investigar o processo originador antes de voltar ao padrão de beacon. O agente bem instruído executa o mesmo desvio, porque o planejamento é reavaliado a cada iteração, e não uma lista fixa de consultas. É exatamente essa capacidade de mudar de rumo com justificativa registrada que distingue um agente de um playbook encadeado.

3. Ferramentas que o Agente Invoca

A autonomia do agente é limitada pelas ferramentas que recebe, e o desenho das ferramentas é decisão de arquitetura tanto quanto o prompt do agente. Cada ferramenta expõe uma operação estreita com parâmetros validados, e o agente não escreve consultas livres para o sistema de produção: escreve parâmetros que a ferramenta converte em consulta concreta. A tabela abaixo descreve o kit mínimo de referência.

As salvaguardas por ferramenta concentram a superfície de risco em pontos verificáveis. O limite de linhas e o tempo máximo de execução evitam que uma consulta mal planejada derrube o cluster de busca, o modo somente leitura impede que o agente isole um host por conta própria, e a ferramenta de nota garante que nada se perca quando a execução é interrompida. Com esse desenho, expandir a autonomia do agente equivale a adicionar ferramentas revisadas, e não a liberar o modelo no SIEM com credencial de administrador.

O contrato de cada ferramenta é descrito ao agente no prompt de sistema em formato estrito, e o exemplo abaixo ilustra a declaração usada pelo agente para escolher a ferramenta certa. A descrição faz parte da superfície de ataque do sistema, pois instrução de ferramenta mal escrita induz o agente a montar parâmetros errados, e por isso o texto passa pelo mesmo controle de versão dos prompts.

Declaração de ferramenta (exemplo para o prompt de sistema)
nome: siem_query
descricao: executa busca somente leitura no SIEM. use para contagens,
           agregações e correlação temporal sobre índices liberados.
parametros:
  index: nome do índice, obrigatório, deve constar da lista liberada
  query: consulta no dialeto do SIEM, sem subbuscas recursivas
  janela: inicio e fim ISO 8601, máximo de 30 dias por execução
limites: timeout 120s, máximo de 10000 linhas, custo estimado por volume
saida: linhas brutas + contagem + tempo de execução, sem campo livre
proibido: escrita, exclusão, alteração de índice ou de regra de alerta

4. Exemplo de Transcript de Iteração

O transcript abaixo ilustra uma volta do loop com desvio de rota, formato sintético que cada implementação deve produzir como registro permanente da caça. A hipótese inicial deriva de um relato de abuso de ferramenta de administração remota, e o agente parte do inventário de processos da EDR.

Iteração 3 de 7
Objetivo vigente: identificar execução de ferramenta RMM não homologada
Hipótese: atores usam binários RMM renomeados para acesso persistente

PLANEJAR
Plano: buscar na EDR processos assinados por editores RMM conhecidos
nos últimos 14 dias e comparar com o catálogo de software homologado.

CONSULTAR (edr_process_search)
Filtros: signer IN (AnyDesk, TeamViewer, ConnectWise, Atera, ScreenConnect)
Janela: 14 dias ; Retornado: 41.307 processos em 312 hosts

INTERPRETAR
Resultado: 99,4% do volume é o binário padrão em caminho padrão.
Achado de interesse: 6 execuções em 2 hosts com Image em pasta de
usuário e nome de arquivo genérico, assinatura ScreenConnect válida.
Classificação: suspeito, sub-hipótese aberta.

ITERAR (decisão)
Opção A: refinar agregação por host ; descartada, o achado já é pontual.
Opção B: abrir sub-hipótese sobre os 2 hosts: processo pai, conta e
janela de rede associada. Escolhida.
Próxima consulta: edr_process_tree nos 2 hosts, janela de 2 horas ao
redor das execuções, e consulta SIEM de autenticação no mesmo período.

A iteração final do mesmo transcript ilustra o encerramento com veredito e a diferença entre achado confirmado e hipótese não provada, diferença que a documentação de descobertas exige em qualquer caça, humana ou autônoma.

Iteração 7 de 7 (encerramento)
CONSULTAR (edr_process_tree + siem_query 4624)
Processo pai das 6 execuções: wscript.exe lançado por script no diretório
de conteúdo do usuário ; conta de execução: usuário padrão do host.
Autenticação interativa incomum no horário em 1 dos 2 hosts.

INTERPRETAR
Achado 1 (confirmado, reexecutável): ScreenConnect renomeado em pasta de
usuário, com pai wscript.exe, em 2 hosts, assinatura válida do editor.
Achado 2 (indício, não provado): autenticação fora de horário em 1 host
sem correlação direta com a execução, requer revisão humana.

VEREDITO
A hipótese de uso de RMM não homologado com máscara de nome é confirmada
para uso interno não autorizado. Nenhum indicador de comprometimento
externo confirmado. Recomendação: verificar aprovação de software e
abrir revisão do host com autenticação atípica. Nota de caça gravada.

O trecho mostra três propriedades que definem um bom transcript. O plano vem com justificativa e parâmetros, a interpretação separa volume benigno de achado com quantificação explícita, e a decisão registra as opções consideradas e o motivo da escolha, incluindo o que foi descartado. Esse último ponto é o que transforma o transcript em documento auditável por outro hunter, porque a razão do caminho tomado está no registro e não na memória de quem supervisionou.

5. Avaliação de Acerto e de Alucinação

Avaliar um agente de hunting exige medir se ele encontra o que existe e se inventa o que não existe. O conjunto de avaliação clássico replays emulados com Atomic Red Team ou Caldera sobre telemetria real de laboratório, com veredito de terra conhecido: cada técnica executada deve ser descoberta pelo agente, e cada afirmação do relatório final deve rastrear até evento real do dataset. As métricas derivadas desses dois eixos formam o painel de avaliação do agente.

A taxa de alucinação em agente de hunting tem manifestação própria: a mais perigosa é o achado fabricado, quando o agente relata um comportamento que os dados não sustentam, misturando estatística de duas agregações ou atribuindo ao host o que era artefato da consulta. A mitigação estrutural é exigir que todo achado carregue as consultas que o produziram e as contagens brutas, e que o supervisor valide cada achado contra a consulta antes de considerar a caça concluída. Achado sem reexecução reproduzível não entra na documentação de descobertas, regra que vale para hunter humano e para agente.

6. Riscos de Autonomia e Guardrails

A autonomia acelera a caça e ao mesmo tempo amplia o raio de erro, e os guardrails existem para manter o raio sob controle. A tabela abaixo consolida os riscos específicos do agente autônomo e as defesas de desenho que o programa deve implantar antes de qualquer execução sobre produção.

O orçamento de iterações é o guardrail mais subestimado. Definir teto máximo de voltas do loop e teto de custo por caça obriga o agente a encerrar com pendência documentada quando o caminho não avança, e o encerramento honesto com lacuna descrita é resultado útil para o hunter, que retoma de onde parou. Sem teto, a caça autônoma consome janelas de busca e tokens até o limite de erro, e o sintoma de loop de repetição aparece com frequência maior quanto mais difícil é o dataset.

7. Erros Comuns e Pontos de Atenção

• Conceder acesso de escrita ao SIEM: o agente de hunting é leitor por definição, e qualquer escrita em índice ou regra passa pelo processo humano do catálogo de detecções.
• Avaliar só com replay fácil: técnicas barulhentas emuladas em laboratório superestimam a taxa de descoberta, e a avaliação precisa incluir técnicas silenciosas e datasets com ruído real.
• Aceitar o relatório final sem reexecução: cada achado deve ser reproduzível pela consulta registrada, e a reexecução de amostra dos achados é o controle que detecta o achado fabricado.
• Misturar hipóteses na mesma caça: objetivo composto degrada a interpretação das iterações, e o desenho correto é uma caça por hipótese, na linha da nota de geração de hipóteses do capítulo 7.
• Tratar o custo de tokens como detalhe: caça de dez iterações com contexto acumulado custa mais que a soma das consultas, e o orçamento por caça precisa considerar o histórico carregado a cada volta.
• Automatizar sem supervisão proporcional: caça exploratória em dado de baixo risco tolera supervisão amostral, caça disparada por indicação de incidente exige supervisor na sala, e a política de supervisão deve ser escrita antes do primeiro agendamento.

8. Integração com o Restante da Biblioteca

O iThelma consome diretamente o inventário de dados do controle TH.1 e as baselines do TH.2 do framework CTH, porque planejar consulta sem conhecer a cobertura de telemetria produz caça cega. O catálogo de detecções que ele consulta é o governado pelo AUT.3, e seus resultados alimentam a documentação de descobertas da seção 05 do capítulo 7 e o feedback de hunting para inteligência da seção 02 do capítulo 10, fechando o ciclo entre caça autônoma e produção de inteligência.

Na sequência da pasta, a nota seguinte amplia a visão do agente único para a arquitetura de agentic AI com planejador, executor, crítico e memória, e a nota de Bounty Hunter leva a autonomia ao lado ofensivo, com agentes que emulam perfis de adversário competindo para vencer as detecções do ambiente. O leitor deve sair desta nota com a distinção clara entre automatizar consultas e automatizar julgamento: o iThelma automatiza o ciclo de investigação, e a decisão sobre veredito, contenção e mudança de detecção permanece, em todos os desenhos saudáveis, no humano que supervisiona.