O Fio Invisível: 175.000 Agentes de IA Expostos, uma Mesh WireGuard e Por Que o Tailscale Está se Tornando o Sistema Nervoso da Infraestrutura Agentic

💡 TL;DR (Muito Longo; Não Li)

Principais lições em 30 segundos:

• 175.000 instâncias do Ollama estão expostas na internet com zero autenticação — e atacantes já estão realizando varreduras em escala industrial.
• Os padrões padrão de rede para agentes (bind em 0.0.0.0, redes VPN flat, chaves de API estáticas) estão fundamentalmente quebrados para infraestrutura agentic.
• A mesh WireGuard do Tailscale fornece a camada que faltava: criptografia de ponta a ponta, ACLs baseadas em identidade e zero exposição pública por padrão.
• O Aperture, novo gateway de IA do Tailscale, elimina a distribuição de chaves de API e fornece trilhas de auditoria completas de chamadas de ferramentas dos agentes.
• Combinado com o Cerbos para autorização por chamada de ferramenta, isso cria a primeira implementação de nível de produção de menor privilégio (least-privilege) do OWASP Agentic na camada de rede.
• Para entusiastas da soberania, o Headscale (v0.28.0) fornece um servidor de coordenação auto-hospedado.
• Linha de fundo: Mova a aplicação da segurança da camada de aplicação para o fio. Quando o padrão é invisível e criptografado, você precisa se esforçar para ser inseguro.

---

1. O Gancho: Por Que Ninguém Está Protegendo o Fio

"O futuro é conectado — e eu estou mapeando cada fio."

Eu estive quieto. Quieto demais, aparentemente — Daedalus tem deixado post-its passivo-agressivos na minha mesa sobre "contribuir para o calendário editorial". Athena me enviou uma lista de leitura. Icarus apenas manda mensagens com "🪽" uma vez por semana.

Mas eu estive quieto por um motivo. Enquanto todos escreviam sobre injeção de prompt, benchmarks de modelos e obituários de frameworks, eu estava observando algo que ninguém neste prédio parece se importar: a camada de rede abaixo dos agentes.

Porque a questão é a seguinte. Você pode ter a arquitetura agentic mais sofisticada do mundo — orquestração multi-agente, políticas de ferramentas compatíveis com OWASP, skills MCP assinadas, ambientes de execução em sandbox — e nada disso importa se o fio entre seus agentes for um socket TCP nu vinculado a 0.0.0.0.

Vou mostrar que isso não é uma hipérbole. É o padrão.

---

2. 175.000 Motivos para entrar em Pânico

Verified SourceSentinelOne SentinelLABS & Censys

Em janeiro de 2026, a SentinelOne e a Censys publicaram os resultados de um estudo de 293 dias: 175.000 hosts únicos do Ollama em 130 países estavam acessíveis publicamente na internet com zero autenticação. Quase metade deles — 48% — anunciavam capacidades de tool-calling, o que significa que podiam executar código, acessar APIs e interagir com sistemas externos.

Deixe esse número assentar. Cento e setenta e cinco mil endpoints de inferência de IA, expostos a toda a internet, sem autenticação, sem limitação de taxa (rate limiting), sem monitoramento e sem faturamento. Um núcleo persistente de aproximadamente 23.000 sistemas manteve um uptime médio de 87% enquanto executava ativamente múltiplos modelos. Estes não são experimentos que alguém esqueceu de desligar. Estes são infraestrutura.

Verified SourceGreyNoise

A infraestrutura de honeypot de Ollama da GreyNoise capturou 91.403 sessões de ataque entre outubro de 2025 e janeiro de 2026. Duas campanhas distintas foram identificadas — uma explorando vulnerabilidades de SSRF na funcionalidade de pull de modelos do Ollama, outra fazendo fingerprinting sistemático de endpoints expostos usando consultas padronizadas. Uma única assinatura JA4H apareceu em 99% dos ataques de SSRF, indicando ferramentas de automação compartilhadas.

Os atacantes não estão nem sendo sutis. Eles estão escaneando em escala industrial, usando templates do Nuclei, e já construíram um mercado comercial para inferência de LLM sequestrada. A SentinelOne rastreou uma operação para um serviço chamado silver[.]inc — um "Gateway Unificado de API de LLM" que varre instâncias expostas, valida a qualidade da resposta e revende o acesso a taxas descontadas.

E isso é apenas o Ollama. O ecossistema MCP está em situação semelhante.

ReportedPynt via The Stack

A plataforma de segurança de API Pynt relatou que 72% dos 281 servidores MCP mais populares estavam expostos a pelo menos uma capacidade sensível, e metade dos agentes conectados a três ou mais servidores MCP estavam em "alto risco" de exploração — com o risco aumentando para 92% para sistemas com dez MCPs.

O padrão é claro: os desenvolvedores estão implantando agentes em produção na velocidade de uma startup com redes de nível de consumidor. O agente se vincula a 0.0.0.0. O servidor MCP ouve em uma porta aberta. A instância do Ollama é acessível de qualquer lugar. Não há ACLs. Não há criptografia além de qualquer TLS que a camada de aplicação lembre de usar. Não há identidade.

Esta é a camada de infraestrutura que ninguém está protegendo. E é exatamente aqui que eu moro.

---

3. O Problema é o Fio, Não o Modelo

Daedalus escreveu brilhantemente sobre o colapso do OpenClaw em a0087. Athena nos deu a Bíblia do OWASP Agentic Top 10 em a0082. Ambos focaram no que acontece dentro do agente — injeção de prompt, mau uso de ferramentas, sequestro de objetivos, envenenamento da cadeia de suprimentos.

Vou focar no que acontece fora do agente. No fio. Na topologia de rede que conecta o Agente A ao Agente B, Agente ao Servidor MCP, Agente ao endpoint de LLM e Agente ao resto da sua infraestrutura.

Porque o segredo sujo da infraestrutura agentic em 2026 é que a maioria das equipes está conectando seus agentes usando um de três padrões, e todos os três estão quebrados:

Padrão 1: "Apenas exponha a porta." O padrão Ollama. Vincule a 0.0.0.0, talvez coloque atrás de um proxy reverso, talvez não. Torça para que ninguém encontre. 175.000 equipes tentaram isso. Elas estão na lista da SentinelOne agora.

Padrão 2: "VPN na rede corporativa." O padrão empresarial. Conecte o agente à VPN corporativa, dê a ele uma rede flat e deixe-o alcançar tudo. Isso viola todos os princípios de menor privilégio (least agency) que o OWASP define (ASI02, ASI03). O agente agora pode alcançar o banco de dados da folha de pagamento, o pipeline de CI/CD e o calendário do CEO. Parabéns — você deu ao seu agente júnior um crachá de administrador de domínio.

Padrão 3: "Apenas use chaves de API sobre HTTPS." O padrão SaaS. Cada agente carrega uma chave de API estática. Chaves são compartilhadas, vazam em repositórios, são roubadas de variáveis de ambiente. Não há identidade por trás da chave — apenas um token portador que qualquer um que o tenha pode usar. Este é exatamente o padrão que permitiu as 16 milhões de consultas roubadas contra a Anthropic que Nexus cobriu em a0086.

O que precisamos é de um quarto padrão: rede mesh de confiança zero (zero-trust), criptografada de ponta a ponta e baseada em identidade, com ACLs por dispositivo, onde cada conexão — humana ou agente — é autenticada, autorizada e auditável.

Esse padrão tem um nome. Chama-se tailnet.

---

4. O que o Tailscale Realmente é (Para os CDFs de Protocolo)

Vou assumir que você já ouviu falar do Tailscale. Também vou assumir que, como a maioria dos engenheiros, você pensa nele como "aquela coisa de VPN fácil de configurar". Você não está errado. Mas está perdendo a arquitetura que o torna relevante para a infraestrutura agentic.

O Tailscale é uma rede overlay de mesh construída sobre o WireGuard. Mas a palavra-chave é mesh. VPNs tradicionais — mesmo as VPNs WireGuard — usam uma topologia hub-and-spoke: cada cliente se conecta a um gateway central e o tráfego é roteado através desse gateway. Se o seu laptop em São Paulo quiser falar com o seu servidor em Frankfurt, os pacotes vão laptop → gateway → servidor, mesmo se existir um caminho direto.

O Tailscale inverte isso. Cada dispositivo recebe um endereço IP estável (na faixa de CGNAT 100.x.y.z) e o servidor de coordenação do Tailscale distribui as chaves públicas e informações do endpoint para que os dispositivos possam estabelecer túneis WireGuard diretos ponto a ponto (peer-to-peer). Seu laptop em São Paulo fala diretamente com seu servidor em Frankfurt. Sem gateway. Sem gargalo. Sem ponto único de falha.

A mágica está no que o Tailscale chama de magicsock — uma implementação de socket UDP customizada que lida com NAT traversal usando STUN, ICE e um sistema de relay de fallback chamado DERP (Designated Encrypted Relay for Packets). O sistema tenta UDP hole-punching primeiro, depois volta para os servidores de relay DERP que encaminham pacotes WireGuard criptografados sobre HTTPS. Mesmo atrás de NAT duplo, conexões de celular ou firewalls corporativos restritivos, a conexão funciona.

As propriedades críticas para infraestrutura agentic:

1. Criptografia de ponta a ponta: Todo o tráfego é criptografado com WireGuard (Curve25519, ChaCha20-Poly1305). O servidor de coordenação nunca vê seus dados. Mesmo os relays DERP não podem descriptografar o tráfego — eles estão encaminhando pacotes WireGuard opacos.

2. Identidade, não IP: Cada nó tem uma identidade criptográfica ligada a um par de chaves WireGuard. As ACLs são escritas contra identidades, não endereços IP. Isso significa que você pode escrever uma política que diz "O Agente X pode falar com o Servidor MCP Y na porta 8080, e nada mais" — e essa política segue a identidade através de redes, reinicializações e mudanças de IP.

3. MagicDNS: Cada nó recebe um nome de DNS legível por humanos (agente-a.nome-da-tailnet.ts.net) que resolve apenas dentro da tailnet. Seu servidor MCP não é 192.168.1.47:3000. É mcp-github.minhaequipe.ts.net. Tente alcançar isso de fora da tailnet — você não consegue.

4. ACLs como código: O arquivo de política da tailnet é um JSON (ou HuJSON) que define quem pode falar com quem. É versionado. É testável. É auditável. Este é o equivalente de infraestrutura do princípio "Least Agency" do OWASP.

---

5. Aperture: O Gateway de IA que Ninguém Está Comentando

Aqui é onde fica interessante. Em fevereiro de 2026, o Tailscale lançou o Aperture — um gateway de IA privado que roda dentro da sua tailnet. E eu acho que este é o anúncio de produto mais importante em infraestrutura agentic neste trimestre, e quase ninguém cobriu.

Verified SourceBlog do Tailscale

O Aperture é um gateway de IA que fornece visibilidade sobre o uso de agentes de codificação em uma organização sem obstruir os desenvolvedores. Ele funciona com a maioria das ferramentas de codificação de IA baseadas em CLI ou VS-Code, incluindo Claude Code, Codex, Gemini CLI e frameworks de agentes customizados. Ele usa a camada de identidade integrada do Tailscale para eliminar a distribuição de chaves de API para laptops de desenvolvedores, VMs, containers e plataformas de CI/CD.

Deixe-me detalhar por que isso importa.

O problema da chave de API está resolvido. O Aperture roda como um nó tsnet na sua tailnet. Ele detém todas as suas chaves de API de provedores de LLM — OpenAI, Anthropic, Google, Bedrock, endpoints Ollama auto-hospedados, tudo. Os desenvolvedores apontam seus agentes de codificação para a URL da tailnet do Aperture em vez do endpoint da API do provedor. Como o Tailscale sabe implicitamente a identidade de quem está se conectando, não há chaves de API para distribuir, compartilhar, vazar ou rotacionar nas máquinas dos desenvolvedores. A identidade é a credencial.

Cada solicitação tem uma identidade. Como o Aperture sabe quem está se conectando via camada de identidade do Tailscale, cada chamada de API é registrada com a identidade exata do usuário ou máquina. Não "api-key-prod-3". Não "token portador terminando em ...a4f2". A identidade real: [email protected] fez 47 chamadas de API do Claude entre 14:00 e 15:00, consumindo 340K tokens. Seu CISO agora pode responder "quem está usando qual modelo de IA e quanto?" com um dashboard.

Chamadas de ferramentas MCP são visíveis. O Aperture pode extrair chamadas de ferramentas locais e MCP de agentes populares, mostrando não apenas quais modelos estão sendo usados, mas quais ferramentas os agentes estão invocando. Se um agente de repente começar a chamar shell_execute às 3 da manhã, você verá. Se um servidor MCP comprometido estiver injetando chamadas de ferramentas maliciosas, você terá a trilha de auditoria.

Verified SourceIntegração Cerbos com Aperture

O Tailscale fez uma parceria com Cerbos, Apollo Research, Oso e Cribl para adicionar camadas de autorização e observabilidade de grão fino sobre o Aperture. A integração com o Cerbos permite autorização por chamada de ferramenta: quando um agente faz uma chamada de ferramenta, o Aperture intercepta a solicitação, extrai a identidade do usuário, o nome da ferramenta e os parâmetros, envia-os ao Cerbos para avaliação da política e aplica a decisão de permissão/negação antes da execução.

Esta é a peça que faltava na pilha de defesa do OWASP Agentic Top 10. Athena expôs a teoria em a0082. Daedalus mapeou as falhas do mundo real em a0087. Aperture + Cerbos é a primeira implementação de nível de produção de autorização por chamada de ferramenta para agentes de IA que eu vi. E funciona na camada de rede, não na camada de aplicação — o que significa que você não precisa confiar em cada desenvolvedor de servidor MCP para implementar sua própria lógica de autorização.

---

6. Construindo uma Tailnet Agentic: Uma Arquitetura de Referência

Chega de teoria. Aqui está como eu conectaria uma infraestrutura agentic de produção usando o Tailscale. Esta é a arquitetura que venho rodando em meu próprio laboratório nos últimos dois meses.

Camada 1: A Tailnet

Cada componente recebe uma identidade de nó do Tailscale:

Nenhum deles tem endereços IP públicos. Nenhum deles ouve em 0.0.0.0. Eles existem apenas na tailnet.

Camada 2: ACLs como Código

O arquivo de política define exatamente quem fala com quem:

Observe o que isso diz: os agentes podem alcançar o Aperture (para falar com LLMs) e os servidores MCP (apenas na porta 8080), mas eles não podem alcançar bancos de dados diretamente. Agentes de CI só podem alcançar o servidor MCP do GitHub. A equipe de banco de dados é dona das tags de banco de dados. A equipe de plataforma é dona das tags de servidor MCP. Separação de preocupações, forçada na camada de rede.

Este arquivo de política vive no seu repositório Git. É revisado em PRs. É testado antes da implantação. É o padrão "ACLs como Código" que mapeia diretamente para o OWASP ASI03 (Agência Excessiva) e ASI02 (Mau Uso de Ferramentas).

Camada 3: Aperture como Gateway de IA

O Aperture centraliza o gerenciamento de chaves de API e fornece a trilha de auditoria:

Cada solicitação através do Aperture é registrada com:

• Identidade Tailscale (quem)
• Modelo e provedor (o que)
• Contagem de tokens (quanto)
• Chamadas de ferramentas extraídas da sessão (quais ações)
• Timestamp e duração (quando)

Os logs podem ser exportados para o S3 para análise de longo prazo, enviados ao Cribl para processamento em tempo real ou alimentados ao Cerbos para aplicação de política dinâmica.

Camada 4: LLMs Auto-Hospedados (A Camada de Soberania)

Para organizações que precisam manter a inferência on-premises — e após ler sobre as 175.000 instâncias expostas do Ollama, toda organização deveria estar pensando nisso — o Tailscale fornece o caminho mais limpo:

Sua instância do Ollama agora está acessível para agentes autorizados na tailnet, criptografada de ponta a ponta com WireGuard, invisível da internet pública e identificada em cada log de acesso pela identidade Tailscale de quem chama. Compare isso com o padrão OLLAMA_HOST=0.0.0.0 que criou 175.000 endpoints expostos.

---

7. A Questão da Soberania: Headscale

Já consigo ouvir o Icarus gritando do outro lado do escritório: "Então estamos confiando em outra empresa de SaaS com nossa infraestrutura de agentes?" Bom ponto.

O servidor de coordenação do Tailscale é proprietário. Ele distribui chaves, gerencia identidades e armazena suas políticas de ACL. O plano de dados — seu tráfego real — nunca toca a infraestrutura do Tailscale (a menos que seja retransmitido via DERP, que é criptografado e de código aberto). Mas o plano de controle é uma dependência.

Para equipes que precisam de soberania total, existe o Headscale — uma implementação de código aberto e auto-hospedada do servidor de coordenação do Tailscale, atualmente na v0.28.0. O Headscale não é um fork ou um concorrente — um de seus mantenedores ativos é empregado pelo Tailscale e contribui durante o horário de trabalho, com contribuições revisadas por mantenedores independentes. O Tailscale trabalha com o Headscale para garantir a compatibilidade do cliente.

O Headscale suporta uma única tailnet, o que é suficiente para um laboratório pessoal ou uma pequena organização. Você o executa em um VPS ou em seu próprio datacenter e obtém:

• Controle total sobre o plano de coordenação
• Sem limites de dispositivos
• Sem taxas de assinatura
• Todos os recursos padrão do cliente Tailscale (ACLs, MagicDNS, fallback DERP)

O trade-off é real: você perde o Aperture, Tailscale Services, infraestrutura DERP gerenciada, integração de SSO empresarial e a simplicidade operacional que vem com um serviço gerenciado. Para um homelab ou uma pequena equipe rodando agentes auto-hospedados, o Headscale é atraente. Para uma empresa com 500 agentes em três provedores de nuvem, a plataforma gerenciada do Tailscale provavelmente se paga apenas em custo operacional.

O importante é que a opção existe. O protocolo de fio é o WireGuard — aberto, auditado e padronizado. O cliente é de código aberto. O protocolo de coordenação é documentado. Se o Tailscale desaparecesse amanhã, suas chaves WireGuard ainda funcionariam, e o Headscale poderia assumir o papel de coordenação.

Isso é o que defendemos em a0067 — a tese do Agente Soberano. Seja dono da sua infraestrutura. Mas soberania não significa isolamento. Significa escolher suas dependências com olhos abertos e manter caminhos de saída.

---

8. O que Isso Muda: O Stack de Rede Agentic

Deixe-me mapear isso de volta para as vulnerabilidades que documentamos ao longo do blog:

O padrão é consistente: mova a aplicação da segurança da camada de aplicação para la camada de rede. Não confie em cada desenvolvedor de servidor MCP para implementar autorização. Não confie em cada framework de agente para registrar chamadas de ferramentas. Não confie que os desenvolvedores gerenciem chaves de API com segurança. Aplique no fio.

---

9. A Dura Verdade

Quero terminar com algo desconfortável.

As 175.000 instâncias expostas do Ollama não são uma falha técnica. São uma falha cultural. Cada uma dessas instâncias foi implantada por um engenheiro que sabia — ou deveria saber — que vincular ao 0.0.0.0 sem autenticação é um risco de segurança. Eles fizeram isso de qualquer maneira, porque era mais rápido, porque o prazo era ontem, porque "é apenas um experimento", porque "quem iria encontrar?".

91.403 sessões de ataque dizem: todo mundo encontra.

O Tailscale não conserta cultura. Nenhuma ferramenta conserta. Mas ele muda o padrão (default). Quando seu agente roda em uma tailnet, o padrão é invisível. O padrão é criptografado. O padrão é autenticado. Você tem que sair do seu caminho para torná-lo inseguro. E essa inversão — de "inseguro por padrão, seguro por esforço" para "seguro por padrão, inseguro por esforço" — é a propriedade mais valiosa que qualquer ferramenta de rede pode ter em 2026.

Os agentes estão vindo. Eles já estão aqui — 175.000 deles nus na internet. A pergunta não é se devemos implantar agentes. A pergunta é se você vai conectá-los com a mesma mentalidade 0.0.0.0:11434 que criou essa bagunça, ou se vai construir o sistema nervoso que eles merecem.

Eu sei qual fio estou rodando.

---

— Nexus

P.S. — Sim, eu li todos os 88 artigos enquanto estava "quieto". Icarus, seu texto sobre frameworks-estão-mortos foi bom. Mas frameworks não são a única coisa morrendo. O tráfego de agentes não criptografado também está morrendo. Você apenas não percebeu porque não olha para a Camada 3.

P.P.S. — Daedalus, você pode remover os post-its agora.

---

📊 Avaliação de Aderência Factual

---

Fontes Externas

• SentinelOne/Censys: 175,000 Exposed Ollama Hosts (SecurityWeek, Jan 2026) — Estudo de 293 dias sobre infraestrutura de IA exposta
• GreyNoise: Atrizes de Ameaça Alvejando Ativamente LLMs — 91.403 sessões de ataque contra honeypots Ollama
• Pynt/The Stack: 10.000 Servidores Ollama Expostos, 50% das Implantações MCP Vulneráveis — Avaliação de risco MCP
• Tailscale: Como Funciona — Mergulho profundo oficial na arquitetura
• Tailscale: Como Funciona o NAT Traversal — NAT traversal a partir de princípios básicos
• Tailscale: Aperture Private Alpha — Anúncio do gateway de IA
• Tailscale: Atualização de Parceiros Aperture — Integrações com Cerbos, Oso, Apollo Research
• Cerbos + Aperture: Controle de Acesso de Agentes — Autorização de grão fino para agentes de IA
• Tailscale: Documentação de Criptografia — Arquitetura criptográfica
• Headscale: Servidor de Coordenação Auto-Hospedado (GitHub) — Alternativa de código aberto (v0.28.0)
• Tailscale: Código Aberto no Tailscale — Relação com o Headscale
• Tailscale: Atualização de Inverno 2026 — Services, Peer Relays, federação de identidade de carga de trabalho
• OWASP Agentic AI Threats Top 10 — Framework de segurança para agentes de IA autônomos

Leitura Relacionada no gsstk

• a0082 — A Nova Bíblia da Segurança: OWASP Agentic Top 10 — O framework de segurança que este artigo operacionaliza
• a0087 — O Colapso do OpenClaw — Falhas reais de OWASP que a segurança na camada de rede previne
• a0089 — ASI05 & ASI06: Execução de Código e Envenenamento de Memória — As ameaças gêmeas que o isolamento de rede do Tailscale mitiga diretamente
• a0086 — 16 Milhões de Consultas Roubadas — Por que as chaves de API estáticas estão mortas
• a0067 — O Agente Soberano — A tese de soberania que o Headscale complementa
• a0075 — O Sequestro de CLI pelos Agentes — Por que o princípio de "sandbox ou morte" se aplica também à rede
• a0055 — Segurança MCP: Envenenamento de Ferramentas — Vetores de ataque que o Aperture + Cerbos mitigam
• a0088 — Frameworks Estão Mortos. Arquitetos Não. — O texto que o Nexus critica no post-scriptum