Nesta palestra, mostramos como o iFood está evoluindo sua estratégia de Disaster Recovery contra ransomware, com base em uma parceria de pesquisa com a ITA e a USP. Partindo do Data Bunker, ambiente onde backups críticos são protegidos e avaliados antes da recuperação, exploramos um pipeline de IA defensiva para gerar, validar e generalizar detecções contra novas famílias e variações de malware. Também conectamos os aprendizados do projeto apresentado na Black Hat USA 2026 ao fine-tuning de LLMs open source, reduzindo a dependência de provedores externos e aproximando a pesquisa acadêmica de problemas reais de operação em segurança.

Entenda como o DPoP (Demonstration Proof of Possession) adiciona uma camada criptográfica ao OAuth 2.0 para proteger Access Tokens contra replay attacks e vazamento de credenciais em APIs modernas. Nesta palestra veremos os problemas do modelo tradicional de Bearer Token, conceitos fundamentais de OAuth 2.0 e criptografia assimétrica, além do funcionamento prático do DPoP, suas principais claims (htm, htu, ath, iat, jti) e o vínculo criptográfico através da claim cnf. A apresentação também abordará validações importantes, boas práticas e exemplos práticos utilizando Python.

API keys no .env, client_secrets em variáveis de ambiente, tokens em pipelines, todo dev conhece essa dor. E agora, com agentes de IA acessando APIs, bancos de dados e ferramentas de forma autônoma, o problema explodiu: como conceder credenciais a um agente sem espalhar ainda mais segredos? Para proteger um segredo, sempre precisamos de outro segredo: é o problema do segredo zero na segurança. Nesta talk, vamos conhecer o SPIFFE e o SPIRE, projetos graduados da CNCF que dão a cada workload — seja um microsserviço ou um agente de IA — uma identidade criptográfica verificável e de curta duração. Com exemplos práticos, você verá como funcionam SVIDs e atestação de workloads, como obter mTL

Prompt Injection não é apenas um "hack" ou falha de filtro de palavras; é uma vulnerabilidade estrutural profunda na interação humano-computador. Quando um LLM lê um currículo malicioso e sequestra o fluxo de aprovação do RH, o perímetro tradicional de segurança (firewalls, IAM) falha miseravelmente. Nesta palestra, desconstruiremos a confiança cega nas APIs generativas e desenharemos uma arquitetura de "Agente em Sandbox". Demonstraremos ao vivo como construir uma barreira de interceptação determinística que neutraliza comandos maliciosos em milissegundos, rodando estritamente offline e sem adicionar latência ou custos de tokens à sua fatura.

Você herdou uma aplicação. Ela está em produção, é crítica para o negócio e ninguém sabe ao certo o quão segura ela é.

Sem documentação confiável, com decisões pouco claras e pressão por resultados, o impulso é tentar corrigir tudo o que der. Mas sem contexto, isso pode criar ruído e termos pouco impacto real.

Nesta palestra, exploramos como entender os sistemas antes de protegê-los, evitar suposições perigosas e tomar decisões com informação incompleta. A partir de experiências reais, vamos discutir como identificar riscos relevantes, gerar quick wins e construir uma estratégia de segurança sustentável, mesmo em ambientes com baixa maturidade.

Entre 2021 e 2023 fiz parte do Vite, um sneaker bot que disputava estoque de tênis hypados contra milhares de outros bots em sites como a Footlocker (US. É um mergulho no mundo dos scrapers, CDNs, HTTP e cybersecurity, recheado de curiosidades, conteúdo técnico real e situações absurdas que vivi de verdade: engenharia reversa de APIs, fingerprinting de browser e TLS (canvas, JA3), proxies residenciais, farms de contas Gmail para burlar o reCAPTCHA, cache poisoning em CDN e o truque de roteamento na Fastly que derrubou cerca de 10% da internet de Gana. Uma história real sobre o jogo de gato e rato entre bots e sistemas antibot (Datadome, Akamai, Kasada) e como essa guerra muda na era dos LLMs

Nesta palestra, apresento o processo detalhado de descoberta de uma execução remota de código (RCE) no Dataverse, plataforma utilizada por centenas de instituições globais para compartilhamento de dados científicos. Demonstrarei o fluxo da exploração realizado no ambiente de Harvard, o maior repositório da plataforma no mundo, incluindo a prova de conceito (PoC) em vídeo. Exploraremos as camadas do sistema que permitiram a falha, o processo de reporte responsável e os detalhes da CVE atribuída a este achado. Além de conversar sobre a utilização de WAF's e modos de mitigação