Pentest contínuo com agentes e revisão humana
Descubra onde a IA atacaria a sua empresa antes que alguém faça isso.
Agentes de IA testam acessos indevidos no seu site e nas suas APIs. Um especialista confere os resultados antes de sua equipe recebê-los.
Empresas onde já encontramos vulnerabilidades
Empresas onde já encontramos vulnerabilidades
TESTE, CONFERÊNCIA E RETESTE
Agentes de IA testam. Especialistas confirmam.
Repetimos o teste em web e APIs e retestamos depois da correção.
Comparação com a última execução
Rotas e APIs novas ou alteradas entram nas próximas tentativas.
Acesso entre perfis e ações repetidas
Compara um perfil com outro e tenta ações que deveriam ocorrer uma vez.
Conferência humana e reteste
O especialista repete a falha. O reteste confere se a correção bloqueia o acesso.
COBERTURA DOS PENTESTS
Acesso entre contas, sessões e ações repetidas
O teste cobre autorização, sessão, repetição de ação e upload perigoso.
Rotas testadas e rotas de fora
A tela separa o que entrou no teste.
Ver mais
Você importa o escopo por OpenAPI 3, coleção Postman ou arquivo HAR.
Uma conta tenta ler dados de outra
O teste troca o identificador e confere a resposta.
Sessão após o logout
O teste reusa tokens revogados ou vencidos.
Ação que deveria ocorrer uma vez
Exemplo: dois cupons ou dois estornos na mesma cobrança.
Arquivo com código executável
O teste verifica se o servidor executa o arquivo em vez de só guardá-lo.
ORGANIZAÇÃO DOS ACHADOS
Filtre falhas por aplicação, equipe e situação
Cada time vê o que é seu e acompanha o reteste.
Atribua cada falha a uma equipe
Achados por aplicação ou rota, com prazo definido pela sua política.
- Prazo por severidade
- Equipe responsável
- Filtro de abertos e retestes
EXEMPLO DE FALHA DE AUTORIZAÇÃO
Cada relatório traz prova do acesso e como corrigir
Neste exemplo, trocar o identificador na requisição devolve a fatura de outra conta.
FALHA DE AUTORIZAÇÃO POR OBJETO
Uma conta lê a fatura de outra
Exemplo ilustrativo.Não representa um cliente.
TENTATIVAS DESTE EXEMPLO · Ver passos
- 01Autenticar a conta de teste
Consulta as próprias faturas com conta autorizada.
GET /faturas/minhas - 02Trocar o identificador da fatura
Repete a requisição com ID de outra conta.
GET /faturas/inv_A8F2 - 03Conferir os dados devolvidos
A API devolve titular, valor e vencimento da outra conta (mascarados).
200 OK · {"titular":"[mascarado]"}
VALIDAÇÃO E CORREÇÃOVer mais
VALIDAÇÃO POR ESPECIALISTAReproduzido no teste
- Como foi confirmada
- O especialista repetiu a requisição e viu qual conta recebeu os dados.
- O que a aplicação permitiu
- Devolveu fatura de outra conta.
- Dado exposto
- Cobrança de outro cliente.
COMO CORRIGIR
Filtre pelo ID da fatura e da conta autenticada
A fatura só sai se os dois IDs baterem. Conta errada recebe negação.
RETESTE APÓS A CORREÇÃOA mesma requisição recebe 403.Não devolve a fatura de outra conta.
INTEGRAÇÕES
Slack, Teams, Jira e GitHub
Ticket no Jira, alerta no chat e reteste no CI.
TICKETS
ALERTAS
CÓDIGO E CI
AGENTES DE CÓDIGO VIA MCP
EXPORTAÇÃO
IMPORTAÇÃO
LIMITES E PERMISSÕES
Você define o escopo e pode pausar a qualquer momento
Alvos, credenciais, horário e limite de requisições entram antes do pentest.
Alvos, rotas fora e limite de requisições
Você escolhe o que entra no pentest. Rotas excluídas ficam de fora.
Pausa e bloqueio de ações destrutivas
O botão de pausa para os agentes. O escopo bloqueia ações destrutivas.
Relatórios só para sua equipe
Começa após autorização e acordo de confidencialidade. Achados não são divulgados.
Login da empresa e registro de mudanças
Perfis limitam leitura e edição. O registro mostra quem alterou o quê.
Referências dos relatórios: OWASP Top 10, OWASP API Security Top 10 e CWE.
QUEM CRIA E REVISA OS TESTES
Fundadores e conselheiro de auditoria
Produto, pesquisa e segurança ofensiva.
Igor Gontijo
Cofundador, diretor executivo
Fundou a Hackr Ads (41 mil clientes). Vendeu para a Conta Simples em 2022. Lidera a Hify.
Lucas Fonseca
Cofundador, produto
Produto e agentes. Antes: segurança de agentes de IA na Dreamer (equipe incorporada pela Meta).
Lucas Souza
Cofundador, segurança ofensiva
Ataques com agentes de IA. Via Varejo, PagBank e Mercado Pago. Mais de R$ 1 mi em bug bounty.
João Costa
Cofundador, pesquisa e desenvolvimento
Pesquisa e engine da plataforma. Antes: pentest no PagBank e no Mercado Livre.
Conselheiro
Rogério Calderón
Conselheiro e membro do conselho de administração do Nubank
Conselheiro do Nubank desde 2021 (comitê de auditoria e riscos). Ex-sócio da PwC e CFO em Bunge, Unibanco, Itaú e HSBC Brasil.
PERGUNTAS FREQUENTES
Pentest, escopo e preço
Cobertura, prazo, preço e dados.
Qual é a diferença para um scanner automático?
Scanner procura padrões conhecidos. Aqui o agente encadeia requisições e testa ações entre contas.
Preciso substituir minha consultoria de pentest?
Não. O foco é web e APIs com agentes e revisão humana. Rede interna, engenharia social e teste físico ficam de fora.
Quando a Hify encontra a primeira falha?
Depende da aplicação, do escopo e do acesso. Não há prazo garantido. Na demo mostramos um alvo escolhido e um relatório de exemplo.
Quanto custa?
O preço considera aplicações, URLs, APIs, frequência e acesso. A proposta sai depois dessa avaliação. Não há tabela pública.
Preciso fornecer código ou senhas?
Código não é necessário. Dois perfis de teste bastam para autorização entre contas. Código é opcional.
O pentest pode afetar os dados ou deixar o site lento?
Pode. Escopo, horários, limite de requisições e ações bloqueadas reduzem o impacto. A pausa manual também está no painel.
O que acontece com os dados encontrados?
Relatórios mascaram dados pessoais. Achados não são divulgados. O acordo de confidencialidade e os perfis limitam o acesso.
Fale com a Hify e agende uma demo de 40 min
A gente responde para marcar uma demonstração de 40 minutos.
- 2º lugar no ranking do HackerOne Brasil em 2026
- R$ 1 mi+ em recompensas por avisar falhas
- Falhas reportadas em Google, Spotify e Bybit