NGR Softlab adiciona ao SIEM Alertix uma regra para detectar ataques com uso de LLMs

A NGR Softlab adicionou ao SIEM Alertix uma nova regra de correlação, que deve identificar atividades suspeitas ligadas a ciberataques baseados em modelos de linguagem. O CNews divulgou a novidade em 12 de outubro de 2026. O trecho disponível da notícia não traz números: não informa quantos cenários a regra cobre, quais fontes de eventos ela utiliza nem a partir de qual versão está disponível. Por isso, o texto abaixo traz o contexto, e não detalhes de implementação.

O que se sabe sobre o lançamento

O Alertix é um SIEM do fornecedor russo NGR Softlab. Em produtos desse tipo, a regra de correlação faz algo simples: cruza eventos de diferentes fontes (dispositivos de rede, proxies, logs de aplicações, contas de usuário) e abre um incidente quando esse conjunto de eventos forma uma cadeia característica. Uma requisição isolada a um serviço externo não significa nada. A mesma requisição, depois de um login atípico e de uma grande extração de dados, já tem outra leitura.

Segundo a formulação do veículo, a regra se destina a detectar ataques nos quais os criminosos usam modelos de linguagem. A fonte não esclarece quais técnicas exatamente ela captura: geração de phishing, automação de reconhecimento, código malicioso escrito com ajuda de LLMs ou ataques aos próprios modelos corporativos.

Por que o SIEM precisa aprender a enxergar LLMs

Os modelos de linguagem mudam o perfil de ameaças em duas frentes. A primeira é a dos atacantes. O modelo acelera a preparação de e-mails, scripts e roteiros de engenharia social, reduz a barreira de entrada e aumenta o volume de tentativas. A segunda é a da infraestrutura protegida. As empresas adotam chatbots, assistentes e agentes com acesso a dados internos, e isso cria novos pontos de ataque: prompt injection, vazamentos por meio de requisições e abuso de chaves de API.

Para o SIEM, isso significa novos tipos de telemetria e novos padrões. As regras clássicas foram escritas para malware, força bruta e lateral movement. O tráfego para serviços de LLM e os acessos a gateways internos de modelos não se encaixam nesses modelos.

Dados confirmados pelo trecho publicado:

• Fornecedor: NGR Softlab
• Produto: SIEM Alertix
• Tipo de mudança: nova regra de correlação
• Finalidade: detectar atividades suspeitas ligadas a ataques com uso de modelos de linguagem
• Data da notícia: 12 de outubro de 2026, fonte: CNews

Não foram divulgados: o número de cenários de detecção, a lista de fontes de eventos, as condições de licenciamento, a existência de mapeamento com o MITRE ATT&CK e a taxa de falsos positivos.

O que os clientes devem verificar

Uma regra de correlação só é útil na medida em que os dados que ela processa são completos. Se a organização não tem logs de proxy com categorização de serviços de LLM, registros de um gateway interno de IA ou auditoria de chamadas de API, não haverá o que detectar, por mais sofisticada que seja a lógica.

Antes da implantação, vale pedir ao fornecedor três itens: a lista de fontes de eventos obrigatórias, a descrição das condições de disparo e as estatísticas de falsos positivos em pilotos. Também é preciso definir quem, no SOC, fica responsável pela triagem desses incidentes: um analista de primeira linha sem experiência em ameaças envolvendo LLMs não conseguirá distinguir um ataque do uso normal de um assistente por um funcionário. Por fim, a regra resolve só uma parte do problema. O inventário dos modelos corporativos e o controle das permissões de seus agentes continuam sendo um trabalho à parte.