A AWS lançou o AWS Continuum, uma plataforma integrada de segurança que utiliza capacidades agentivas para automatizar a descoberta, correção e remediação de vulnerabilidades em código, dependências e aplicações. O anúncio foi feito durante o AWS Summit New York City 2026, com a promessa de simplificar o ciclo de vida de segurança para empresas.
- AWS Continuum oferece quatro capacidades agentivas: teste de penetração, revisão de código, modelagem de ameaças e gerenciamento de vulnerabilidades.
- A plataforma opera em quatro fases contínuas: descoberta, priorização, validação e mitigação/remediação.
- Modelo de confiança graduada permite que equipes definam o nível de autonomia do agente.
- Críticas apontam confusão com o rebranding do AWS Security Agent, ainda disponível.
- Concorrentes como Google e Microsoft também oferecem soluções similares.
O que é AWS Continuum?
AWS Continuum é uma plataforma de segurança que integra múltiplas capacidades agentivas para cobrir todo o ciclo de vida de vulnerabilidades. Diferente de ferramentas pontuais, o Continuum promete um fluxo contínuo de descoberta, priorização, validação e correção de falhas de segurança. A plataforma foi construída com base nas lições aprendidas na própria AWS e na Amazon.com, conforme afirmou Chet Kapoor, vice-presidente de busca, segurança e observabilidade da AWS.
Capacidades agentivas em detalhe
O AWS Continuum é lançado com quatro capacidades principais, cada uma focada em um aspecto da segurança de código e aplicações.
Teste de penetração (Pen Testing)
A capacidade de pen testing permite executar sessões de teste de penetração sob demanda ou integradas a pipelines CI/CD. Essa funcionalidade já está disponível e com preço definido, sendo uma das primeiras a sair do preview.
Revisão de código (Code Review)
A revisão de código analisa o código-fonte das aplicações para identificar vulnerabilidades de segurança e validar conformidade com padrões da empresa. Também está disponível no lançamento.
Modelagem de ameaças (Threat Modeling)
A modelagem de ameaças analisa a arquitetura das aplicações para identificar ameaças de segurança. Ela gera uma visão geral do sistema e um conjunto de ameaças com classificação STRIDE, níveis de severidade e recomendações acionáveis. Essa capacidade está atualmente em preview.
Gerenciamento de vulnerabilidades (Code Vulnerabilities)
A capacidade de code vulnerabilities permite que as equipes descubram, priorizem, implementem e monitorem vulnerabilidades de segurança de forma contínua. Ela opera em quatro fases e está em preview controlado (gated preview), exigindo solicitação de acesso.
O ciclo de quatro fases
A capacidade de gerenciamento de vulnerabilidades do Continuum opera em quatro fases contínuas: descoberta, priorização, validação e mitigação/remediação.
Descoberta
A fase de descoberta avalia todo o backlog da empresa e o complementa com uma varredura de todo o ambiente. Isso cria uma lista abrangente de vulnerabilidades e caminhos de ataque associados. A AWS adotou uma abordagem agnóstica de modelo, permitindo que o serviço incorpore os modelos mais recentes assim que são lançados.
Priorização
Na fase de priorização, o serviço identifica as vulnerabilidades mais importantes validando se os componentes afetados estão implantados e acessíveis, e avalia o impacto nos negócios caso sejam exploradas.
Validação
Durante a validação, a plataforma constrói exemplos de exploração totalmente funcionais em um ambiente isolado. Isso reduz falsos positivos e fornece evidências reais do problema.
Mitigação e remediação
Na fase final, o serviço recomenda correções possíveis, como mudanças de rede, políticas ou patches de código. Também oferece visibilidade sobre o raio de impacto da mudança e estratégias de rollback. A operação utiliza um modelo de confiança graduada, permitindo que equipes de segurança e produto escolham o nível de autonomia delegado à ferramenta.
Comparativo com concorrentes
AWS não é a única empresa explorando segurança agentiva. Google e Microsoft também lançaram soluções similares. Confira nossa comparação entre AWS e Azure em segurança para entender melhor as diferenças.
Críticas e confusão no mercado
Apesar das capacidades promissoras, o lançamento do Continuum gerou críticas. Yan Cui, AWS serverless hero, destacou em um post no LinkedIn que o rebranding do AWS Security Agent para Continuum cria confusão. Apenas seis meses após seu lançamento, o Security Agent foi incorporado a outra linha de produtos e rebatizado como "Continuum pen testing" e "Continuum code scanning".
<blockquote>"Apenas seis meses depois de seu lançamento, o AWS Security Agent foi incorporado a outra linha de produtos e rebatizado... Isso é confuso."</blockquote>
No entanto, a página do Security Agent ainda existe com as mesmas capacidades. "Isso é confuso", afirmou Cui, questionando qual serviço os desenvolvedores devem usar.
Disponibilidade e preços
As capacidades de teste de penetração e revisão de código já estão geralmente disponíveis (GA) com preços estabelecidos. A modelagem de ameaças está em preview, e a capacidade de gerenciamento de vulnerabilidades está em preview controlado (gated preview). Empresas interessadas devem se inscrever para solicitar acesso.
Impacto para o mercado brasileiro
Para empresas brasileiras que utilizam AWS, o Continuum pode simplificar a adoção de práticas de DevSecOps, especialmente em ambientes com múltiplas contas e regiões. No entanto, a confusão de nomenclatura e a dependência do ecossistema AWS podem ser barreiras. É recomendável que as equipes avaliem se as capacidades oferecidas atendem às necessidades específicas de segurança, considerando também soluções concorrentes. Para quem busca ferramentas de segurança para DevOps, o Continuum é uma opção a considerar. Além disso, a plataforma se baseia nas principais vulnerabilidades de 2026 para priorizar riscos. Para os profissionais, investir em carreira em DevSecOps é cada vez mais relevante.
| Funcionalidade | AWS Continuum | Google AI Threat Defense | Microsoft MDASH |
|---|---|---|---|
| Abordagem | Integrada ao ecossistema AWS | Agnóstica de cloud | Integrada ao ecossistema Microsoft |
| Pen testing | Disponível (GA) | Disponível | Disponível |
| Code review | Disponível (GA) | Disponível | Disponível |
| Threat modeling | Preview | Disponível | Preview |
| Code vulnerabilities | Gated preview | Em desenvolvimento | Em desenvolvimento |
| Preço | Modelo de preço definido para pen test e code review | Sob consulta | Sob consulta |
Arraste para o lado para ver toda a tabela.
Perguntas Frequentes (FAQ)
O AWS Continuum substitui o AWS Security Agent?
Oficialmente, o Continuum incorpora as capacidades do Security Agent, mas a página do Security Agent ainda existe. A AWS não confirmou descontinuação, o que gera confusão.
Quais são as principais capacidades do AWS Continuum?
São quatro: teste de penetração, revisão de código, modelagem de ameaças e gerenciamento de vulnerabilidades.
O AWS Continuum oferece suporte a ambientes multi-cloud?
Não. O Continuum é integrado ao ecossistema AWS, diferentemente do Google AI Threat Defense, que é agnóstico.
Como solicitar acesso ao preview do code vulnerabilities?
É necessário se inscrever no programa de gated preview através do site da AWS.
Qual o preço do AWS Continuum?
As capacidades de pen testing e code review têm preço definido (pay-as-you-go). As demais estão em preview sem preço divulgado.