pentest · segurança ofensiva
Testamos suas URLs, aplicações, APIs e infraestrutura do jeito que um atacante faria, com autorização por escrito e escopo fechado. Agentes de IA ampliam a cobertura; especialistas validam cada achado. Você recebe o que está exposto, a prova e como corrigir.
Cada frente pode ser contratada sozinha ou combinada. O escopo sai da Conversa Estratégica: o que é crítico, o que pode ser tocado e em qual janela.
Mapeamos tudo que responde na internet com o nome da sua empresa: domínios, subdomínios, rotas, painéis e arquivos que ninguém lembrava que estavam publicados. Depois verificamos cada endereço.
Exploração controlada de aplicações web, APIs e infraestrutura, em caixa preta, cinza ou branca. O foco é o que permite entrar, escalar acesso ou ver dados de outro cliente.
Revisão da configuração que fica em volta do código: nuvem, segredos, dependências, pipeline de deploy e tratamento de dados pessoais. É onde boa parte dos incidentes começa.
Agentes de IA fazem reconhecimento, geram hipóteses de ataque e repetem variações em escala, sempre dentro do escopo autorizado. Também testamos os seus próprios produtos com IA: prompt injection, vazamento de dados e abuso de ferramentas.
Um especialista sozinho testa as hipóteses que dá tempo de testar. Agentes de IA percorrem a superfície inteira, tentam variações que ninguém escreveria à mão e devolvem candidatos a falha. Nenhum achado entra no relatório sem reprodução manual.
Os agentes enumeram rotas, parâmetros e fluxos e testam cada combinação. O trabalho repetitivo deixa de limitar o alcance do teste.
Os agentes só alcançam alvos da lista autorizada, com limite de requisições e janela combinada. Ações destrutivas ficam fora por padrão.
Todo candidato a falha passa por um especialista, que reproduz, mede o impacto real e descarta o falso positivo antes de chegar até você.
Se o seu produto usa LLM ou agentes, testamos o que eles aceitam, o que revelam e o que podem ser induzidos a fazer, com base no OWASP Top 10 para aplicações com LLM.
Testamos apenas sistemas que você é dono ou tem autorização para testar, com regras de engajamento assinadas antes do início.
Definimos alvos, tipo de teste, janela e contatos de emergência. Nada começa sem as regras de engajamento assinadas.
Mapeamento da superfície com agentes de IA e ferramentas de mercado. Você recebe a lista do que encontramos exposto.
Tentativas reais de exploração dentro do escopo. Achado crítico é comunicado na hora, sem esperar o relatório.
Cada falha com evidência, passo a passo para reproduzir, severidade e recomendação de correção. Um resumo executivo e um técnico.
Depois da correção, testamos de novo os achados e registramos o que foi resolvido.
Relatório de scanner automático aponta centenas de possibilidades. O nosso traz só o que foi reproduzido, com o caminho para corrigir.
É um teste de penetração em que agentes de IA fazem parte do trabalho ofensivo: reconhecimento, geração de hipóteses e tentativas em escala. Eles atuam só dentro do escopo autorizado, e cada achado é reproduzido por um especialista antes de entrar no relatório.
Todo teste ativo tem algum risco, e por isso combinamos janela, limite de requisições e contatos de emergência antes de começar. Ações destrutivas e de negação de serviço ficam fora do escopo, a menos que você peça e autorize por escrito.
Os dois. Homologação permite testes mais agressivos; produção mostra o que está de fato exposto. A escolha é feita no escopo, conforme o risco que a empresa aceita.
Depende do tamanho do escopo: número de aplicações, APIs, perfis de usuário e ambientes. O prazo é fechado na Conversa Estratégica, antes de qualquer contratação.
O investimento depende do escopo e é apresentado na Conversa Estratégica. Não publicamos valores no site.
Nenhum teste garante ausência total de falhas. O pentest mostra o que estava explorável naquele escopo e naquele momento, e o reteste confirma a correção. Segurança é contínua; por isso recomendamos repetir o teste a cada mudança relevante.
