Greenlight encerra 90% de 4.000 casos mensais de segurança com agentes no AgentCore

É uma dor conhecida de qualquer equipe de segurança: há muitos alertas, quase todos rotineiros, mas cada um precisa ser verificado manualmente. Na Greenlight Financial, que oferece cartões de débito para famílias, o SOC recebe de 3.000 a 4.000 sinais por mês. Um único caso envolvendo um cartão encontrado na dark web exige a verificação do status do cartão, de notificações duplicadas, das sessões do cliente e dos tickets abertos. Isso consome de 15 a 30 minutos de trabalho humano e, nesse volume, o modelo simplesmente não escala.

Como o Luna funciona

A equipe criou um sistema multiagente hierárquico no Amazon Bedrock AgentCore, reproduzindo a estrutura de um SOC humano. Um supervisor de primeiro nível recebe os casos pelo API Gateway, com um endpoint MCP, ou pelo Tines SOAR. Ele seleciona os agentes necessários entre mais de 30 especialistas em identidade e acesso, EDR, inventário de ativos, pagamentos, suporte, inteligência de ameaças e outras áreas. Em seguida, consolida as descobertas e emite um veredito. A mediana de processamento dos casos rotineiros é medida em segundos.

Se o nível de confiança for insuficiente, o caso segue para um supervisor de segundo nível. Ele opera com um modelo de raciocínio ampliado, é executado de forma programada pelo EventBridge ou imediatamente sob demanda, e correlaciona de 3 a 5 fontes de dados. O resultado é um relatório com uma cadeia de evidências para análise humana. Cerca de 10% dos casos seguem esse caminho.

A memória como principal multiplicador

A parte mais prática da história é a camada de memória. A memória episódica armazena 30 dias de decisões. Um exemplo citado no artigo: toda terça-feira, às 3 horas da madrugada, uma função de infraestrutura realiza a mesma operação de acesso como parte da manutenção. Sem memória, o agente sinaliza a atividade toda semana; com memória, ele inclui o padrão na lista de permissões depois da primeira análise.

A memória de longo prazo armazena modelos de decisão e estatísticas como “os cartões desta fonte geram 73% de falsos positivos”. Um pipeline separado, baseado em Lambda e DynamoDB, registra os resultados dos casos e, quando um caso é resolvido da mesma forma três vezes, salva um padrão confirmado. Segundo a Greenlight, foi justamente isso que elevou a autonomia de 83%, apenas com o nível 1, para mais de 90%.

Expansão para os riscos financeiros

Dois meses após o lançamento no SOC, a equipe aplicou a mesma arquitetura à triagem de riscos. Foram adicionados novos agentes para Galileo e pontuação de fraude, além de um supervisor de riscos, enquanto os agentes do Zendesk e do Mixpanel foram reutilizados. O fluxo de trabalho para um cartão encontrado na dark web inclui verificação no sistema de processamento, deduplicação, conferência de sessões e tickets, e avaliação de risco. Casos de baixo risco são registrados, os de risco médio seguem para revisão e os de alto risco são escalados com evidências.

Principais lições

Primeiro: comece com um domínio restrito e uma métrica clara de sucesso, “resolvido corretamente ou escalado”. Segundo: reproduza a estrutura organizacional das pessoas, pois isso facilita a confiança da equipe no sistema. Terceiro: faça primeiro a triagem e só depois execute ações. O Luna apenas faz recomendações; a remediação é iniciada por uma pessoa ou por uma política aprovada, o que ajudou o sistema a passar pelas verificações de conformidade.

Também há limitações. Trata-se de uma publicação no blog da AWS, os números são informados pela própria empresa e a economia é apresentada como uma estimativa de 900 a 1.800 horas de trabalho de analistas por mês. Não há dados sobre a proporção de vereditos automáticos incorretos nem sobre o custo de inferência. Ainda assim, o padrão de níveis, a memória com deduplicação e os agentes compartilhados pode ser transferido para qualquer operação de suporte, sistema antifraude ou fluxo de incidentes de DevOps.