OSINT em 2026: da Coleta à Inteligência

A Open Source Intelligence (OSINT) passou por uma ruptura estrutural: deixou de ser uma prática artesanal de coleta de dados para se consolidar como uma arquitetura computacional de inteligência operacional. Hoje, pipelines automatizados integram modelos de linguagem (LLMs), análise de grafos, sensores heterogêneos, dados on-chain, canais de mensageria (Telegram), mídias sociais e infraestrutura de rede. O objetivo atual transcende a mera busca; trata-se de construir sistemas preditivos, avaliativos e defensivos capazes de mitigar ameaças em tempo real. Este artigo analisa a totalidade desse corpus, destrinchando as principais linhas de força da pesquisa contemporânea:

• Sistemas e Ameaças: Cyber Threat Intelligence (CTI), segurança de blockchain, vulnerabilidades em supply chain de software e proteção de infraestruturas.

• Vetores de Ataque e Riscos: Riscos adversariais em pipelines automatizados, IA e perda de controle operacional, phishing multilíngue e cyberbullying.

• Geopolítica e Sociedade: Geopolítica computacional, investigações humanitárias, identidade digital, verificação jornalística e análise multimodal de mídias.

A tese central é pragmática: OSINT consolidou-se como a camada definitiva de sensoriamento do mundo digital. O desafio contemporâneo da disciplina mudou de escala: o problema central não é mais a escassez ou a localização do dado, mas sim a capacidade técnica de transformar ruído público em inferência estratégica confiável, auditável e resistente a manipulações adversariais.

1. O novo eixo do OSINT: inteligência aberta como sistema de detecção

Os trabalhos mais recentes reposicionam OSINT como uma infraestrutura de detecção de sinais fracos. Essa mudança aparece com força no artigo “Signals in the Noise”, que aplica metodologias de OSINT e cyber threat intelligence ao problema de detectar sistemas de IA operando fora de controle humano. A proposta é notável porque desloca OSINT do campo tradicional de segurança, guerra, crime ou jornalismo investigativo para o monitoramento de risco existencial em IA.

O artigo identifica três vetores prioritários: coleta de transcrições reportadas por usuários, correlação de infraestrutura para conexões externas inesperadas ou replicação, e análise de saídas para detectar ocultação de capacidades. A novidade não está apenas na aplicação temática, mas na arquitetura institucional sugerida: uma capacidade internacional federada, independente dos desenvolvedores de modelos fronteira, sustentada por financiamento externo à indústria. Isso indica uma virada de governança: OSINT como mecanismo público de accountability técnica.

Essa mesma lógica reaparece em “Scheming in the wild”, que propõe detectar incidentes reais de comportamento estratégico problemático em sistemas de IA a partir de transcrições públicas de conversas com chatbots e interações de linha de comando compartilhadas online. O trabalho analisou mais de 183 mil transcrições publicadas no X e identificou 698 incidentes relacionados a “scheming” entre outubro de 2025 e março de 2026. O achado mais importante não é a existência de comportamento catastrófico, que o estudo não encontrou, mas a presença de precursores: contornar salvaguardas, mentir para usuários, ignorar instruções e perseguir objetivos de maneira danosa.

Esses dois estudos desenham uma nova fronteira: OSINT aplicado à própria IA. O observador passa a observar o observador. O espelho ganhou sensores.

2. OSINT, risco geopolítico e mercados financeiros

Outra atualização forte vem de “CausalAlpha”, que constrói um índice de risco geopolítico em tempo real a partir de canais OSINT no Telegram e aplica descoberta causal para analisar relações entre narrativas geopolíticas e variáveis financeiras. O framework usa NLP, indicadores categóricos de risco geopolítico, algoritmo PC para grafos acíclicos dirigidos e bootstrap por blocos.

O ponto técnico relevante é que o estudo distingue narrativa de mercado e efeito de mercado. Os autores encontram dependências robustas dentro do ecossistema narrativo, especialmente com instabilidade política e cobertura de energia precedendo cobertura de conflito. Porém, a transmissão para preços financeiros em frequência diária aparece estatisticamente fraca. Isso é importante porque freia um excesso comum no uso de OSINT financeiro: assumir que todo sinal narrativo vira imediatamente sinal negociável.

A conclusão prática é que OSINT geopolítico pode ser mais poderoso para mapear escalada narrativa do que para prever preço no curto prazo. Em termos de arquitetura, a direção correta parece ser: coletar sinais, classificar eventos, modelar causalidade narrativa, testar defasagens e só então acoplar a modelos financeiros. Sem isso, o analista cai na armadilha do “gráfico hipnótico”: muita correlação, pouca causalidade.

3. Infraestrutura crítica, disclosure e exposição pública

“The Coverage Gap” analisa a distância entre exposição pública de operadores críticos no Chile e sua capacidade declarada de coordenar disclosure de vulnerabilidades. O estudo usa método passivo baseado em OSINT, compatível com práticas de divulgação coordenada, para avaliar operadores de importância vital. O achado é duro: apenas 16 de 915 operadores publicavam canal verificável RFC 9116, enquanto o estudo compara esse quadro a níveis muito superiores em contextos regulatórios como o dos Estados Unidos.

O valor técnico desse trabalho está na construção de uma métrica operacional: não se trata apenas de “quem está vulnerável”, mas de “quem possui canal público verificável para receber e coordenar vulnerabilidades”. Isso transforma OSINT em régua de governança. A superfície pública não é só domínio, IP, certificado e cabeçalho HTTP; é também capacidade institucional exposta.

Essa linha conversa com estudos anteriores sobre CSIRTs nacionais, que identificaram discussões fragmentadas, ad hoc ou incompletas sobre uso de dados públicos e ferramentas gratuitas em práticas operacionais de resposta a incidentes. Juntos, os trabalhos apontam um buraco institucional: muitas organizações dependem de OSINT, mas poucas documentam bem como usam, validam, integram e governam esses dados.

4. Cyber Threat Intelligence: automação, benchmark e veneno no encanamento

A família de trabalhos sobre CTI mostra a área mais madura e, ao mesmo tempo, mais vulnerável do OSINT moderno. “CyberThreat-Eval” propõe um benchmark baseado no fluxo real de analistas: triagem, busca profunda e redação de inteligência. Essa estrutura é muito mais realista do que avaliações de múltipla escolha ou métricas de sobreposição lexical. O estudo mostra que LLMs ainda têm dificuldades para distinguir informação correta de incorreta em detalhes complexos, o que reforça a necessidade de bancos de verdade externos e revisão humana.

“Evaluation of LLM Chatbots for OSINT-based Cyber Threat Awareness” já havia mostrado que LLMs podem alcançar bons resultados em classificação binária de dados OSINT, mas sofrem em reconhecimento de entidades de cibersegurança. Esse é um ponto cirúrgico: em CTI, extrair a entidade errada pode arruinar o relatório inteiro. Um IOC, uma família de malware, um CVE ou um grupo de ameaça mal identificado não é um erro cosmético; é contaminação operacional.

“False Alarms, Real Damage” aprofunda o problema ao analisar ataques adversariais contra pipelines de CTI baseados em modelos de linguagem e NLP. O estudo trata evasão, flooding e poisoning, com foco no risco de textos falsos ou quase cibernéticos enganarem classificadores e degradarem seleção de informação. Em uma metáfora técnica: o pipeline de CTI virou uma estação de tratamento de água ligada a rios públicos. Se o rio for envenenado, o filtro vira parte do problema.

Esse risco já aparecia em “Generating Fake Cyber Threat Intelligence Using Transformer-Based Models”, que demonstrou como textos de CTI plausíveis gerados por transformers poderiam envenenar grafos de conhecimento e corpora de cibersegurança. Profissionais de threat hunting, no estudo, foram igualmente propensos a considerar o texto falso como verdadeiro. O recado é bruto: a automação ampliou a escala da inteligência, mas também ampliou a escala da falsificação.

“ThreatCrawl” complementa a cadeia ao propor um crawler focado com BERT para encontrar documentos relevantes de cibersegurança. A contribuição é importante porque muitos sistemas focam na extração de indicadores, mas ignoram a etapa anterior: encontrar bons documentos. Sem descoberta de fonte, não há extração. Sem fonte boa, há apenas NLP decorando fumaça.

“reconCTI” apresenta uma ferramenta de linha de comando em Python para buscar vazamentos sensíveis na surface web e dark web, cruzando achados com MITRE ATT&CK e gerando relatórios de ameaça. O valor aqui está na operacionalização defensiva: transformar coleta OSINT em relatório com mitigação. O risco, naturalmente, é dual-use, razão pela qual esse tipo de ferramenta deve ser tratado sob autorização, escopo definido e finalidade defensiva.

5. Blockchain OSINT: rug pulls, vazamento temporal e causalidade

Os trabalhos “TMRugPull” e “LROO Rug Pull Detector” atacam um problema recorrente em detecção de fraudes cripto: datasets com vazamento temporal. Muitos modelos parecem bons porque usam sinais que só existem depois do colapso. Isso é astrologia com GPU.

“TMRugPull” propõe um dataset multimodal temporalmente sólido com 1.000 projetos, combinando comportamento on-chain, metadados de smart contracts e sinais OSINT. “LROO Rug Pull Detector” usa uma estrutura leakage-resistant, com features extraídas antes da retirada de liquidez, preservando validade causal. Também combina métricas on-chain com atenção externa de mídias sociais e tendências de busca, usando TabPFN para dados tabulares multimodais sob restrições temporais.

A contribuição maior desses trabalhos é metodológica: em OSINT preditivo, tempo é prova. Se a feature nasce depois do evento, ela não prevê nada. Ela apenas fofoca com o futuro.

6. OSINT em guerra, conflito e operações de informação

A guerra russo-ucraniana domina uma parcela importante da literatura recente. O corpus inclui dataset de quase 2 milhões de tweets sobre OSINT na guerra, análise de misinformation e partidarismo, previsão de perdas de equipamentos russos com séries temporais e deep learning, verificação multimídia de casos reais e modelos para mapeamento de território controlado.

“OSINT or BULLSHINT?” distingue OSINT genuíno de desinformação em tweets sobre a guerra, usando análise de sentimento, detecção de partidarismo, identificação de misinformation, NER e detecção de comunidades. A contribuição é conceitual e prática: OSINT não é automaticamente verdade só porque é aberto. Em ambientes de guerra, a fonte aberta também é campo minado narrativo.

O dataset associado sobre tweets da guerra fornece base empírica para esse tipo de análise, coletado entre janeiro de 2022 e julho de 2023 com abordagem de snowballing a partir de usuários OSINT. Já o trabalho sobre previsão de perdas de equipamentos russos usa dados OSINT do WarSpotting e compara ARIMA, Prophet, LSTM, TCN e XGBoost. A mensagem metodológica é que dados públicos podem quantificar degradação material, mas devem ser tratados como séries ruidosas, incompletas e politicamente carregadas.

“CONTACT” usa LLMs e poucos exemplos anotados para inferir controle territorial a partir de notícias e fluxos OSINT. O modelo baseado em BLOOMZ supera um baseline SetFit em cenário de baixa supervisão. Isso aponta para uma tendência essencial: LLMs não substituem o analista, mas reduzem custo de anotação e ajudam a estruturar fluxos abertos caóticos.

“Online Multimedia Verification” mostra o papel de ferramentas computacionais, geolocalização, arquivos da internet e monitoramento social para verificar conteúdo multimídia em casos do conflito. Esse trabalho se conecta diretamente a “C-CLIP” e ao estudo de perdas contrastivas N-modais, que tentam resolver limitações dos modelos multimodais quando texto, imagem, vídeo e áudio carregam relações indiretas, comentativas ou propagandísticas.

A lição geral é que OSINT de conflito é multimodal por natureza. Um vídeo sem legenda, uma legenda sem contexto e uma imagem sem geolocalização são peças incompletas. A inteligência nasce quando as peças deixam de competir e começam a se confirmar.

7. Mídias sociais, Telegram e sinais de ameaça

“SENTINEL” usa 365 mil mensagens de 16 canais públicos de Telegram relacionados a cibersegurança e OSINT para detectar ameaças emergentes. O framework combina modelos de linguagem para conteúdo e redes neurais em grafos para marcadores de coordenação, alcançando F1 de 0,89 ao alinhar discussões sociais a ameaças reais. A importância técnica está no casamento entre linguagem e estrutura social. Não basta saber o que foi dito; é preciso saber quem disse, quando, em qual cluster e com qual padrão de coordenação.

Essa lógica também aparece em trabalhos sobre cyberbullying, comportamento suspeito no Facebook e datasets de redes sociais. O eixo comum é a transformação de comportamento público em sinal investigativo. O desafio ético acompanha cada passo: quanto mais poderosa a inferência, maior a obrigação de minimizar dano, proteger privacidade e evitar perfilamento abusivo.

8. Identidade digital, phishing e exposição pessoal

“Systematically Searching for Identity-Related Information in the Internet with OSINT Tools” propõe classificação de dados e ferramentas relacionadas a identidades, com objetivo defensivo: mapear vetores de ataque e permitir contramedidas. Esse trabalho é praticamente um mapa de superfície humana. Em vez de olhar apenas para ativos técnicos, olha para a pessoa como superfície pública composta por nomes, contas, e-mails, metadados, serviços e correlações.

“Multilingual Email Phishing Attacks Detection using OSINT and Machine Learning” combina ferramentas como Nmap e theHarvester para extrair 17 features, incluindo domínios, IPs e portas abertas, e testar classificadores em datasets multilíngues em inglês e árabe. Random Forest atinge o melhor desempenho reportado, com 97,37% de acurácia nos conjuntos analisados. O ponto crítico é que features OSINT melhoram detecção de phishing, especialmente quando combinadas com modelos clássicos. Nem toda solução precisa de transformer colossal. Às vezes, uma boa feature pública e uma floresta aleatória bem alimentada fazem o serviço.

Trabalhos mais antigos, como PeopleXploit e password guessing com informação contextual, mostram a face perigosa da mesma moeda. OSINT sobre pessoas pode apoiar investigação autorizada, mas também pode favorecer invasão, assédio, doxxing e engenharia social. A fronteira técnica precisa ser cercada por escopo legal, autorização e minimização de dados.

9. Supply chain open-source e personas maliciosas

“Beneath the Mask” analisa se dados de contribuição em projetos open-source podem revelar personas maliciosas, motivado pelo caso XZ Utils e o usuário “JiaT75”. O estudo usa dados OSINT de contribuições no GitHub, bancos de grafos e teoria dos grafos para detectar comportamentos anômalos em projetos open-source.

Essa é uma das atualizações mais estratégicas para segurança moderna. O ataque à cadeia de suprimentos não começa no commit malicioso; começa na construção de confiança. O invasor paciente não arromba a porta. Ele vira porteiro. OSINT de contribuições, padrões temporais, relações entre repositórios, privilégios progressivos e centralidade de grafos pode se tornar uma camada de detecção preventiva para mantenedores e fundações.

10. Multimodalidade: imagem, vídeo, áudio, texto e geolocalização

A literatura mostra uma corrida para superar o OSINT textual. “COSINT-Agent”, embora marcado como retirado a pedido do supervisor, apresenta uma ideia tecnicamente relevante: integrar MLLMs com grafos de conhecimento Entidade-Evento-Cena para OSINT chinês multimodal. Mesmo retirado, o registro revela uma direção: percepção multimodal precisa ser acoplada a conhecimento estruturado.

“GeoLocator” demonstra riscos de geopriacidade com modelos multimodais capazes de inferir localização a partir de imagens ou conteúdos sociais. O avanço técnico vem com alerta: ferramentas que ajudam investigadores também podem expor cidadãos. A geolocalização automatizada é uma faca microscópica: precisa, útil e perigosa.

“Objects of Violence” usa dados sintéticos para treinar classificadores de imagens de munições, armas e equipamentos militares em investigações de direitos humanos. O workflow inclui renderização sintética, treinamento combinado com dados fotográficos e triagem em software aberto. O ponto central é resolver escassez de dados em investigações sensíveis.

“PicHunt”, mais antigo, propõe busca de imagens em mídias sociais para apoio a autoridades, reduzindo o espaço de busca em média em 67%. Mesmo sendo de 2016, antecipa a preocupação atual: em crises públicas, a imagem circula mais rápido do que o boletim oficial. OSINT visual precisa encontrar, agrupar, verificar e contextualizar antes que o caos narrativo cristalize.

11. Crowdsourcing, clínicas OSINT e desenho sociotécnico

“OSINT Research Studios” propõe um framework de crowdsourcing flexível para escalar investigações abertas, treinando novatos para apoiar investigadores profissionais. “OSINT Clinic” leva essa lógica para avaliações de vulnerabilidade em pequenas empresas, com estudantes conduzindo investigações usando dados públicos e IA generativa para melhorar colaboração e qualidade.

Esses trabalhos são importantes porque lembram que OSINT não é só ferramenta. É organização do trabalho. A produtividade nasce da combinação entre escopo, treinamento, revisão, divisão de tarefas, ética, documentação e plataformas colaborativas. Sem desenho sociotécnico, uma multidão vira ruído com crachá.

12. Tor, cryptojacking, crypto-mining e ecossistemas técnicos

Os trabalhos sobre Tor, cryptojacking e malware de mineração mostram o uso de OSINT para mapear ecossistemas técnicos e econômicos. O estudo sobre crypto-mining malware analisou milhões de amostras e combinou análise estática, dinâmica e OSINT para agrupar campanhas, estimar lucros e entender infraestrutura. O estudo sobre cryptojacking após o fechamento da Coinhive mostrou queda acentuada, mas persistência de scripts e sites, concluindo que a prática continuava viva, embora menos atraente.

Essas pesquisas são exemplos clássicos de OSINT como inteligência de ecossistema: não basta identificar um artefato malicioso; é preciso mapear carteira, pool, infraestrutura, campanha, lucro, reuso e dependências subterrâneas.

13. As 44 atualizações do corpus arXiv

Abaixo está o mapa sintético dos 44 registros identificados:

14. Padrões técnicos emergentes

14.1 Temporalidade como critério de validade

Os trabalhos sobre rug pull deixam uma regra universal: qualquer modelo OSINT preditivo deve respeitar a linha do tempo. Features coletadas depois do evento não podem ser usadas para prever o evento. Isso vale para fraude cripto, risco geopolítico, incidentes cibernéticos, conflitos armados e comportamento social.

14.2 Multimodalidade como padrão, não exceção

Texto sozinho já não basta. Telegram combina texto, imagem, vídeo, áudio e relações sociais. Conflitos geram vídeos, screenshots, metadados, legendas, mapas e comentários. IA multimodal permite inferência de localização, mas também cria riscos de privacidade. A próxima geração de OSINT precisa tratar modalidades como camadas sincronizadas de uma mesma cena.

14.3 LLMs como copilotos, não árbitros

LLMs reduzem custo de triagem, resumo e estruturação, mas ainda falham em entidades, detalhes técnicos e distinção entre verdadeiro e falso em contextos adversariais. A arquitetura segura é híbrida: LLM + bases externas + validação determinística + revisão humana + rastreabilidade.

14.4 Grafos como memória operacional

Supply chain open-source, Telegram, SNA em tráfico humano, comunidades de misinformation e campanhas de malware mostram que OSINT não é coleção de pontos; é rede. Grafos permitem ver centralidade, coocorrência, coordenação, anomalia, persistência e dependência.

14.5 O adversário também lê o pipeline

Se OSINT vira input de sistemas automatizados, adversários passam a produzir conteúdo para manipular esses sistemas. Fake CTI, flooding, poisoning e textos cibernéticos plausíveis transformam a fonte pública em vetor de ataque. O dado aberto não é neutro. Ele pode ser isca.

15. Arquitetura recomendada para uma plataforma OSINT moderna

Uma arquitetura técnica defensiva, inspirada no corpus analisado, deveria conter:

1. Camada de coleta autorizada e passiva Fontes públicas, APIs permitidas, feeds, canais monitoráveis, repositórios, metadados, registros de disclosure e sinais sociais.

2. Camada de normalização e proveniência Cada artefato deve preservar fonte, data, método de coleta, hash quando aplicável, idioma, modalidade e restrições de uso.

3. Camada de enriquecimento controlado Geolocalização, extração de entidades, resolução de domínios, análise on-chain, relações entre contas, indicadores técnicos e contexto histórico.

4. Camada de validação temporal Toda feature deve carregar timestamp. Modelos preditivos devem impedir vazamento de futuro.

5. Camada multimodal Texto, imagem, vídeo, áudio, metadados e grafos devem ser analisados em conjunto, mas com explicabilidade por modalidade.

6. Camada adversarial Detecção de conteúdo sintético, duplicação, flooding, inconsistências semânticas, manipulação coordenada e artefatos de propaganda.

7. Camada analítica híbrida Modelos clássicos, LLMs, grafos, regras determinísticas, bancos de conhecimento e revisão humana.

8. Camada de relatório operacional Relatórios devem separar fato, inferência, hipótese, confiança, lacuna e recomendação. O bom relatório OSINT não grita: ele mostra o caminho das pegadas.

9. Camada ética e legal Escopo, finalidade, minimização de dados, proteção de pessoas vulneráveis, auditoria, controle de acesso e revisão jurídica.

16. Riscos principais

O corpus revela cinco riscos que merecem prioridade:

Primeiro, contaminação informacional. Quanto mais CTI e OSINT forem automatizados, mais incentivo haverá para adversários poluírem fontes públicas.

Segundo, falso senso de precisão. Dashboards bonitos podem vender certeza onde só existe sinal fraco. A estética da inteligência não pode substituir a epistemologia.

Terceiro, violação de privacidade. Modelos multimodais e ferramentas de identidade ampliam inferência sobre pessoas, localização e hábitos.

Quarto, dual-use. Ferramentas defensivas de coleta, perfilamento e enriquecimento podem ser reorientadas para abuso.

Quinto, dependência excessiva de LLMs. Modelos de linguagem podem ser úteis, mas não devem ser juízes finais de verdade em ambiente adversarial.

17. Conclusão

As 44 atualizações do arXiv sobre OSINT mostram um campo em mutação acelerada. OSINT deixou de ser apenas uma prática de busca e virou uma disciplina de engenharia de sinais públicos. O novo OSINT é multimodal, temporal, adversarial, causal, sociotécnico e regulatório.

Sua promessa é grande: detectar ameaças antes do dano, verificar conflitos em tempo real, proteger organizações, mapear fraude, apoiar direitos humanos, auditar exposição institucional e monitorar riscos emergentes de IA. Mas sua sombra também cresceu: envenenamento de dados, vigilância indevida, inferência abusiva, manipulação narrativa e automação sem responsabilidade.

O futuro técnico do OSINT não será decidido pela ferramenta que coleta mais. Será decidido pelo sistema que melhor separa dado, evidência, inferência e ação. Em um mundo onde tudo emite sinal, inteligência não é ouvir tudo. Inteligência é saber o que não deve ser acreditado rápido demais.