O mercado corporativo se deixou seduzir por uma promessa ilusória ao incorporar modelos de linguagem em seus Centros de Operações de Segurança (SOC). A narrativa de que dispositivos robóticos de triagem e assistentes generativos integrados aos Sistemas de Gerenciamento de Eventos e Informações de Segurança (SIEMs) solucionariam, por si sós, o excesso de alertas e a carência de analistas de segurança deparou-se com as limitações da realidade financeira.
Ao converter cada evento de telemetria em uma solicitação de API para inferência na nuvem, as organizações notaram um aumento significativo em suas faturas, ao passo que o tempo de resposta a incidentes críticos permaneceu praticamente inalterado.
Os efeitos financeiros de consumir sem filtro
A origem da problemática reside na inversão arquitetônica. Ao estabelecer uma ligação entre uma ferramenta de automação generativa e a ingestão primária de registros, a circulação normal de dados na rede pode ocasionar despesas computacionais indeterminadas. Durante uma tempestade de registros provocada por uma varredura maliciosa ou um ataque de negação de serviço distribuído (DDoS), o volume de solicitações direcionadas à análise na nuvem aumenta exponencialmente em questão de minutos.
O desfecho é cruel: a intensidade do ataque enche de ar o consumo de processamento e transforma a estrutura de defesa em um peso para o orçamento.
Um cenário documentado na indústria de segurança ilustra bem esse despropósito. Organizações financeiras que implementam detecção de brute-force em Splunk tipicamente conseguem capturar tentativas de login falhadas com regras determinísticas na borda, um padrão amplamente documentado em arquiteturas de SOC. Tentativas repetidas contra SSH, por exemplo, são identificadas em milissegundos por máquinas de estado locais.
Porém, quando uma organização integra um modelo generativo ao pipeline buscando “enriquecer contextualmente” cada tentativa, cada um desses eventos passa a custar. Segundo análise de custos de inferência em escala (DeepInfra, 2026), a 500 mil requisições diárias, uma diferença de $0,10 por milhão de tokens em preço de entrada representa mil dólares adicionais por mês. Durante um ataque que gera 2-3 milhões de eventos em uma hora, a fatura de IA pode subir de R$ 500 para R$ 15 mil em questão de minutos, sem nenhuma melhoria no tempo de detecção.
Não é o ataque que está em questão. É a arquitetura que converte proteção em consumo desenfreado.
Um exemplo bem evidente dessa falta de eficiência aparece quando se observa a telemetria de borda e o processo de autenticação. Tráfegos ruidosos, como tentativas repetidas de conexão via SSH ou requisições HTTP inválidas em firewalls de aplicação, não exigem análise contextual profunda por sistemas avançados.
É um erro fundamental de engenharia de tráfego não tratar esses dados usando modelos preditivos em nuvem e, em vez disso, descartá-los ou filtrá-los localmente com tabelas de estado e regras determinísticas. Processamento de borda custa 10 a 15 vezes menos que inferência em nuvem e frequentemente é mais rápido.
A reconfiguração da arquitetura em camadas
Para lidar com essa instabilidade financeira sem perder a capacidade de detectar ameaças, é essencial que a arquitetura de segurança seja constantemente e logicamente reformulada.
A inspeção minuciosa de pacotes e a eliminação de ruídos devem ser realizadas, sem exceções, no limite da rede interna, que pode ser on-premises ou na borda da infraestrutura. Regras booleanas, IDS baseados em assinatura e modelos determinísticos leves ainda são a maneira mais econômica e rápida de analisar grandes quantidades de dados brutos.
Logo depois, a segmentação do pipeline assegura que apenas os eventos que ultrapassam o limiar de anomalia e que são enriquecidos com metadados (reputação de IP, identidade do usuário e contexto do ativo) avancem para as etapas seguintes de processamento. Aqui, sim, a inteligência artificial faz sentido: detectar padrões comportamentais anormais em usuários com credencial válida ou correlações complexas entre eventos em múltiplos ativos.
Com essa grande quantidade de dados devidamente organizada e filtrada, torna-se tecnicamente e economicamente viável substituir serviços genéricos em nuvens públicas por algoritmos de menor escala executados em instâncias reservadas ou em servidores locais dedicados. Essa metodologia estabelece um limite previsível para o consumo de hardware, proporciona transparência nos custos e preserva a precisão do ecossistema.
Engenharia enquanto instrumento de contenção
É um erro estratégico considerar o uso de processamento como uma variável sem limites. A maturidade de um SOC não é determinada pela quantidade de dados que são enviados para uma análise avançada, mas sim pela inteligência utilizada para descartar informações irrelevantes antes que elas cheguem à infraestrutura de nuvem.
Sem uma arquitetura de pré-filtragem bem definida, a automação deixa de ser uma parceira na proteção e se torna um catalisador de aumento nas despesas operacionais.
Erguer uma muralha contra os perigos cibernéticos exige um retorno aos alicerces do desenho de redes: maximizar o processamento determinístico na borda, controlar o fluxo dos pipelines de dados e usar potência computacional de primeira linha somente onde o risco e a complexidade fazem valer o investimento.
A inteligência artificial não constitui o problema. A questão reside na inteligência artificial desprovida de engenharia. Organizações que conseguem pensar em arquitetura, que sabem onde filtrar, onde enriquecer, onde aplicar inteligência, emergem dessa transição com SOCs mais eficientes, mais baratos e mais capazes.
*Por Marcos Souto, Diretor de Soluções Integradas da N&DC.
