Resumo: Aikido agora são realizados testes de penetração em aplicações Android. Os mesmos agentes que testam as suas aplicações web e APIs podem agora trabalhar com o seu APK, iniciar sessão na aplicação e analisá-la, juntamente com o backend com o qual esta comunica, numa única avaliação. Os resultados são apresentados com passos de reprodução e estão prontos para uma correção automática (AutoFix), tal como em qualquer outro teste de penetração do Aikido .
Aikido Tem vindo a realizar testes de penetração autónomos em aplicações web e APIs desde novembro de 2025. Basta indicar um alvo e os agentes pensam como um atacante, encadeiam vulnerabilidades em percursos de exploração reais e apresentam os resultados, que os seus programadores podem corrigir ou resolver com o AutoFix. Hoje, esse mesmo teste de penetração baseado em agentes chega ao Android.
A parte móvel tende a ser a parte da pilha que menos é testada. Um teste de penetração manual no Android é dispendioso, geralmente realiza-se uma vez por ano (se tivermos sorte) e, muitas vezes, limita-se à própria aplicação. O backend contra o qual a aplicação se autentica é tratado como uma tarefa separada ou é totalmente ignorado. É estranho traçar essa linha divisória, porque a aplicação e o seu backend fazem suposições constantes um sobre o outro, e é precisamente na desconexão entre essas suposições que se encontram muitos dos bugs mais interessantes.
O que faz
Um teste de penetração «agente» no Android procura comprometer a sua aplicação da mesma forma que um verdadeiro atacante o faria. Os agentes instalam a versão real da aplicação e testam-na a partir do interior. A partir daí, uma descoberta só é incluída no seu relatório depois de ter sido explorada e confirmada como verdadeira.
Para realizar um teste de penetração no Android, é necessário fornecer:
- O APK — a versão que pretende testar.
- O repositório de código-fonte do Android — Por enquanto, os testes de penetração no Android são apenas do tipo «whitebox», pelo que é necessário o código para executar o teste. O suporte para «blackbox» estará disponível em breve.
- Utilizadores de teste - Os agentes iniciam sessão da mesma forma que os seus utilizadores, quer seja com nome de utilizador e palavra-passe, quer seja através de autenticação biométrica.
Junte também a sua API de backend, para que os agentes testem tanto a aplicação como a API da qual esta depende, na mesma execução. Dessa forma, as partes que os utilizadores nunca vêem são testadas com a mesma rigor que as partes com as quais interagem.
Resultados que se conseguem realmente reproduzir
Cada resultado é apresentado com um resumo, uma descrição, o risco e os passos para o reproduzir, incluindo os comandos ADB exatos a executar. O ADB (Android Debug Bridge) é a forma padrão de comunicar com uma aplicação Android a partir do seu computador, pelo que os passos de reprodução são exatamente o que um engenheiro digitaria para verificar o erro por si próprio.
Também pode abrir o registo do agente de ataque e ver como funcionou. Este analisa o seu código-fonte e carrega as suas funcionalidades de teste para dispositivos móveis; em seguida, tenta explorar a aplicação através do ADB para confirmar que o problema é real.
Os resultados do teste de penetração são apresentados nos mesmos tipos de relatório que se obteria num teste de penetração web. O relatório de reconhecimento e o plano de ataque incluem diagramas, cenários de ameaça e o plano completo que os agentes seguiram, incluindo as vulnerabilidades que procuraram explorar e aquelas que consideraram exploráveis, mas que, na realidade, não conseguiram explorar.
A aplicação é apenas metade do objetivo
Uma aplicação Android, por si só, não faz grande coisa. É na comunicação entre a aplicação Android e o backend que se encontram muitas das vulnerabilidades. Uma verificação de autorização que a aplicação efetua no ecrã pode não ser aplicada no servidor. Um ponto de extremidade ao qual a aplicação apenas envia pedidos num sentido pode comportar-se de forma muito diferente quando recebe um pedido que não esperava.
Como é possível incluir tanto o código do Android como o código da API do backend, o Aikido testa todo o processo numa única avaliação. Isto significa que os problemas relacionados com a API constam no mesmo relatório que as aplicações, em vez de fazerem parte de um projeto separado dedicado ao backend.
Se já utilizou o Code Security Audit para analisar o código-fonte de aplicações móveis antes de uma compilação ser lançada, já está familiarizado com esta parte. Os agentes utilizam em conjunto a aplicação em execução e o seu backend, e confirmam o que é efetivamente vulnerável, em vez de se basearem apenas no que parece ser arriscado com base no código-fonte.
O « Aikido », como sabem, para aplicações Android
Os testes de penetração no Android também incluem as funcionalidades de teste de penetração doAikido que já conhece, como o AutoFix e os retestes incluídos. Desta forma, a aplicação, o seu backend, as descobertas, as correções e os retestes ficam todos num único local. Execute o AutoFix numa descoberta do teste de penetração para abrir diretamente um PR com uma correção sugerida.
O novo teste é a única coisa que funciona de forma um pouco diferente no Android. Assim que a correção for incorporada, é necessário recompilar o APK e carregar a nova versão a partir do separador «Visão geral» da avaliação; em seguida, deve-se realizar um novo teste. Cada novo teste é executado com base nessa compilação atualizada, e é possível testar novamente todas as falhas detetadas no teste de penetração inicial.
Comece agora
Os testes de penetração para Android são dimensionados de forma adequada, o que significa que o indexador do Aikido adapta a avaliação à sua aplicação real, para que obtenha uma cobertura completa, dimensionada de acordo com o conteúdo efetivo da mesma, sem ter de pagar uma taxa fixa que ignore o tamanho da sua aplicação.
Trata-se do mesmo teste de penetração do Aikido a que já está habituado, apenas direcionado para um novo alvo. Os agentes, o raciocínio, os relatórios e o AutoFix são os que já conhece. Tudo o que mencionámos já está disponível, por isso descarregue um APK, coloque os agentes a funcionar e descubra o que a sua aplicação móvel tem escondido. O teste de penetração para iOS estará disponível em breve 👀!
