Bem-vindo ao nosso blog.

XSS no Roundcube combinado com a manipulação de cookies para obter acesso total à caixa de entrada

Descobrimos uma vulnerabilidade XSS armazenada no ponto de extremidade de anexos de rascunhos do Roundcube que, combinada com uma técnica de manipulação de cookies, permite a um atacante obter acesso total à caixa de entrada da vítima. Eis como funciona a cadeia de exploração e como foi corrigida

Descobrimos uma vulnerabilidade XSS armazenada no ponto final de anexos de rascunhos do Roundcube que, combinada com uma técnica de manipulação de cookies, permite a um atacante obter acesso total à caixa de entrada da vítima. Eis como funciona a cadeia de exploração e como foi corrigida.

Apresentamos o Endpoint Protection: Segurança para dispositivos de programadores

Aikido : Segurança para dispositivos de programadores | Aikido

ataques à Supply chain os dispositivos dos programadores. Aikido monitoriza todas as instalações no npm, PyPI, extensões do VS Code, extensões de navegador e ferramentas de IA.

Várias cross-site scripting no Mailcow

Foram detetadas várias vulnerabilidades XSS no Mailcow, incluindo a apropriação de contas sem autenticação

O agente de testes de penetração AI Aikido detetou três vulnerabilidades XSS no Mailcow, uma das quais permitia que atacantes não autenticados assumissem o controlo de contas de administrador. Todas as falhas foram corrigidas a partir da versão 2026-03b.

pentest de IA Aikido, pentest de IA , identificaram três vulnerabilidades XSS no Mailcow, um servidor de e-mail auto-hospedado amplamente utilizado. A mais grave permitia que atacantes não autenticados injetassem um código malicioso nos registos do Autodiscover, que seria executado quando um administrador os visualizasse, possibilitando a apropriação total da conta. Todas as três vulnerabilidades foram corrigidas a partir da versão 2026-03b.

Fontes fiáveis de CVE na era dos cortes no NIST NVD

Alterações ao NIST NVD em 2026: o que as equipas de segurança precisam de saber

O NIST deixará de atualizar a maioria das CVEs. Eis o que muda, o que deixa de funcionar e o que se segue.

Axios CVE-2026-40175: um bug crítico que… não é explorável

Axios CVE-2026-40175 é classificado como crítico, mas em ambientes Node.js reais não é praticamente explorável. Veja o porquê.

Bug bounty não está morto, mas o modelo antigo está em colapso

O bug bounty está chegando a um ponto de ruptura à medida que a IA sobrecarrega os programas, impulsionando uma mudança para modelos de segurança mais sustentáveis e focados na qualidade.

Técnico

GlassWorm se torna nativo: Novo dropper Zig infecta todas as IDEs em sua máquina

GlassWorm implanta um dropper nativo baseado em Zig, escondido em uma extensão falsa, comprometendo silenciosamente VS Code, Cursor, VSCodium e outras IDEs.

Aikido Attack encontra múltiplos 0-days no Hoppscotch

Aikido Attack Encontra 0-Days no Hoppscotch

Os agentes de pentest de IA da Aikido descobriram múltiplas vulnerabilidades de alta severidade no Hoppscotch, incluindo account takeover, XSS armazenado e falhas de controle de acesso. Todos os problemas foram corrigidos.

Aikido Attack identificou três vulnerabilidades de alta gravidade no Hoppscotch: um redirecionamento aberto levando à tomada de conta, XSS armazenado e um problema de controle de acesso quebrado permitindo a injeção de requisições entre equipes.

O alarmismo de cibersegurança em torno do Mythos não corresponde ao que vemos na prática

Riscos de Cibersegurança do Anthropic Mythos: O Que 1.000 Pentests de IA Realmente Revelam

O modelo Mythos vazado da Anthropic desencadeou pânico sobre ciberataques impulsionados por IA. Realizamos 1.000 testes de penetração de IA. Os resultados sugerem que a ameaça é mais nuançada do que as manchetes afirmam.

axios comprometido no npm: conta do mantenedor sequestrada, RAT implantado

Versões maliciosas do axios 1.14.1 e 0.30.4 foram publicadas através de uma conta de mantenedor sequestrada. Uma dependência oculta implanta um RAT multiplataforma. Verifique se você foi afetado e corrija agora.

O Axios foi comprometido. Versões maliciosas do axios 1.14.1 e 0.30.4 foram publicadas no npm após o sequestro da conta do mantenedor principal. A dependência injetada implanta um RAT multiplataforma que se autodestrói após a execução.

Aikido × Lovable: Vibe, Fix, Ship

Lovable Faz Parceria com Aikido para Trazer Pentest para Aplicativos Vibe-Coded

Lovable e Aikido trazem o pentest para a plataforma, permitindo que desenvolvedores simulem ataques do mundo real e corrijam problemas antes do lançamento.

Aikido traz o pentest diretamente para Lovable. Teste seu aplicativo simulando ataques reais e corrija problemas antes de lançar.

CanisterWorm Ganha Dentes: Wiper de Kubernetes do TeamPCP Ataca o Irã

TeamPCP implanta CanisterWorm no NPM após o comprometimento do Trivy

Aikido Reconhecido pela Frost & Sullivan com o Prêmio de Liderança em Valor ao Cliente 2026 em ASPM

A Frost & Sullivan reconheceu a Aikido com o Prêmio de Liderança em Valor ao Cliente 2026 em ASPM. Analisamos o que os critérios de reconhecimento revelam sobre a maturidade do mercado de AppSec

GlassWorm Esconde um RAT Dentro de uma Extensão Maliciosa do Chrome

GlassWorm RAT Entregue via Extensão Maliciosa do Chrome (Keylogger, Roubo de Cookies)

GlassWorm implanta um RAT multiestágio que força a instalação de uma extensão maliciosa do Chrome para registrar teclas digitadas, roubar cookies e exfiltrar dados via C2 baseado em Solana.

Testes de segurança estão validando software que não existe mais

Por que o Pentesting Não Consegue Acompanhar: O Problema da Velocidade em Testes de Segurança

Equipes modernas entregam mais rápido do que o pentesting consegue acompanhar. Explore a crescente lacuna de velocidade nos testes de segurança — e por que as abordagens tradicionais estão ficando para trás.

Um CISO de uma grande empresa nos disse que a capacidade de segurança mais importante hoje é a velocidade. Mas o que acontece quando os testes não conseguem acompanhar a velocidade com que os sistemas mudam?

Extensão fast-draft Open VSX Comprometida por BlokTrooper

Extensão fast-draft Open VSX Comprometida por BlokTrooper (RAT & Infostealer)

A extensão fast-draft Open VSX foi comprometida para implantar um RAT e infostealer BlokTrooper via payloads hospedados no GitHub. Múltiplas versões maliciosas foram identificadas.

Glassworm Atinge Pacotes Populares de Número de Telefone React Native

Glassworm Atinge Pacotes Populares de Número de Telefone React Native em um Novo Ataque à Cadeia de Suprimentos

Pesquisadores da Aikido Security recuperaram e descriptografaram a cadeia completa de payload de dois pacotes React Native maliciosos. Veja o que o malware faz e o que observar.

Dois pacotes npm populares do React Native foram comprometidos com backdoors por supostos atores Glassworm e usados para entregar malware multiestágio. Veja o que o malware faz e o que procurar.

Glassworm Está de Volta: Uma Nova Onda de Ataques Invisíveis de Unicode Atinge Centenas de Repositórios

Glassworm Retorna: Malware Invisível de Unicode Encontrado em Mais de 150 Repositórios GitHub

O ataque à supply chain do Glassworm está de volta. Pesquisadores descobriram malware oculto em caracteres Unicode invisíveis em mais de 150 repositórios GitHub, além de pacotes npm e extensões do VS Code.

Glassworm está de volta com uma nova onda de ataques invisíveis de Unicode. Estamos rastreando uma nova campanha que está comprometendo silenciosamente repositórios no GitHub, npm e VS Code.

Melhores Festas, Eventos Paralelos e Encontros de Segurança da RSA 2026

Guia de Festas e Eventos de Segurança da RSA 2026 | Aikido

Como as Equipes de Segurança Combatem Hackers Alimentados por IA

A IA reduziu drasticamente a barreira para hackers. Aqui está o que isso significa para os defensores e como o pentest de IA contínuo muda a equação.

Um único hacker e uma assinatura do Claude acabaram de derrubar nove agências governamentais mexicanas. A IA concedeu aos atacantes uma séria atualização de poder. As equipes de segurança precisam de um novo playbook.

Apresentando Betterleaks, um scanner de Secrets de código aberto pelo autor de Gitleaks

Betterleaks: O Sucessor de Gitleaks Construído para uma Varredura de Segredos Mais Rápida

Betterleaks é um novo scanner de Secrets de código aberto do criador de Gitleaks. Um substituto direto com varreduras mais rápidas, detecção de eficiência de tokens, validação configurável e muito mais.

O criador de Gitleaks está lançando seu sucessor. Betterleaks é um scanner de Secrets de código aberto mais rápido, construído para detectar mais vazamentos e se adequar aos fluxos de trabalho modernos dos desenvolvedores.

Como o pentest de IA funciona com a conformidade?

pentest de IA ser aceites para as certificações SOC 2, ISO 27001 e HIPAA (e é provável que surjam outras). Eis o que os auditores procuram realmente e onde residem as verdadeiras limitações.

O pentest de IA está sendo aceito para SOC 2, ISO 27001, HIPAA e PCI DSS. Aqui está o que os auditores realmente procuram e onde estão as verdadeiras limitações.

Conformidade

Estratégia de cibersegurança de Trump para 2026: Da conformidade à consequência

Estratégia de Cibersegurança de Trump para 2026: Da Conformidade à Consequência

A estratégia de cibersegurança da administração Trump para 2026 muda o foco das listas de verificação de conformidade para consequências reais para cibercriminosos. Aqui está o que os CISOs precisam saber.

O que o pentest contínuo realmente exige

Pentest contínuo: como funciona e o que ele exige

O pentest contínuo promete validação de segurança em tempo real, mas a maioria das implementações fica aquém. Aqui está o que o pentest contínuo realmente exige — desde testes sensíveis a mudanças até validação de exploits e ciclos de remediação.

O pentest contínuo é amplamente discutido, mas raramente definido com clareza. Este artigo detalha o que é, o que não é e o que realmente exige.

Raro, Não Aleatório: Usando a Eficiência de Token para Varredura de Secrets

A entropia frequentemente tem dificuldades com Secrets genéricos e strings curtas. Analisamos como a eficiência de token pode identificar melhor strings que não se parecem com texto normal.

A entropia é ótima para detectar aleatoriedade. Mas Secrets nem sempre são aleatórios. São apenas strings que não aparecem em código ou texto normal. Exploramos o uso da tokenização BPE para medir essa diferença.

Por que o Determinismo Ainda é uma Necessidade na Segurança

A varredura de IA encontra o que as regras perdem. A varredura determinística encontra sempre. Veja por que os melhores pipelines de segurança não escolhem entre eles.

Ferramentas de segurança baseadas em IA estão melhorando na detecção de vulnerabilidades. Mas as ferramentas determinísticas oferecem a consistência da qual pipelines, conformidade e trilhas de auditoria dependem. Analisamos o que a varredura determinística faz bem, onde a IA assume o controle e como as duas trabalham juntas para uma segurança eficaz.

Engenharia

WAF vs. RASP vs. ADR

WAF vs. RASP vs. ADR: Como a Segurança de Aplicações em Runtime Funciona

WAF, RASP e ADR protegem seu aplicativo de maneiras completamente diferentes. Veja o que cada camada realmente faz, onde ela falha e quais você precisa.

WAF, RASP, ADR, eBPF — Estamos esclarecendo a terminologia em torno da segurança de aplicações em runtime. Veja o que cada camada realmente faz, como elas se sobrepõem e como se encaixam.

Guias

Apresentando Aikido Infinite: Um novo modelo de software de auto-segurança

Aikido Infinite: Pentest de IA Contínuo para Cada Lançamento

O Aikido Infinite executa pentest de IA a cada alteração de código, valida a explorabilidade, gera patches e retesta as correções antes que o código chegue à produção, tornando o software autoprotegido uma realidade.

XSS/RCE persistente usando WebSockets no servidor de desenvolvimento do Storybook

XSS/RCE Persistente usando WebSockets no Storybook (CVE-2026-27148)

CVE-2026-27148 expõe uma falha de sequestro de WebSocket no Storybook que pode escalar para um comprometimento da cadeia de suprimentos. Saiba o caminho do ataque, o impacto e como remediar.

Aikido Attack encontrou uma vulnerabilidade de sequestro de WebSocket no servidor de desenvolvimento do Storybook que pode levar a XSS persistente, execução remota de código e, no pior dos casos, comprometimento da cadeia de suprimentos. Detalhamos como um atacante pode explorar isso sem nenhuma interação do usuário, e um desenvolvedor só precisa visitar o site errado para cair neste ataque.

Como a Aikido protege agentes de pentest de IA por design

Como a Aikido Protege Agentes de Pentest de IA e Previne o Desvio de Escopo

Saiba como a Aikido protege agentes de pentest de IA com isolamento arquitetural, imposição de escopo em tempo de execução e controles em nível de rede para prevenir o desvio de produção e vazamento de dados.

Agentes de IA são projetados para explorar. Em cibersegurança, essa exploração precisa de limites rigorosos. Este artigo explica como a Aikido protege agentes de pentest de IA através de isolamento arquitetural, imposição de escopo em tempo de execução e controles em camadas que contêm o risco por design.

SSRF de Leitura Completa no Astro via Injeção de Cabeçalho Host

Vulnerabilidade SSRF no Astro: Injeção de Cabeçalho Host em Páginas de Erro SSR (CVE-2026-25545)

O agente de pentest de IA da Aikido Security descobriu uma vulnerabilidade de Server-Side Request Forgery na implementação SSR do Astro. Saiba como a injeção de cabeçalho Host em páginas de erro pré-renderizadas permitiu acesso total à rede interna.

O agente de pentest de IA do Aikido descobriu uma vulnerabilidade SSRF no adaptador Node.js do Astro. Analisaremos como, ao injetar um cabeçalho Host: malicioso, os atacantes poderiam redirecionar uma requisição interna para qualquer URL na rede local.

Como Fazer Seu Conselho Se Importar com a Segurança (Antes que uma Violação Force a Questão)

Como Fazer Seu Conselho Se Importar com a Segurança Antes de uma Violação

Conselhos não financiam segurança porque é importante. Eles financiam decisões defensáveis. Veja como enquadrar o risco, reduzir a ambiguidade e obter apoio real antes que uma violação force a questão.

Guias

O que é Slopsquatting? O Ataque de Alucinação de Pacotes por IA Já Está Acontecendo

Slopsquatting: O Ataque de Alucinação de Pacotes por IA Já Está Acontecendo

Modelos de IA alucinam nomes de pacotes npm. Atacantes os registram primeiro. Veja o que é slopsquatting, como ele está se espalhando através de habilidades de agente e como se proteger.

Modelos de IA alucinam nomes de pacotes — e atacantes os estão registrando antes que alguém perceba. Slopsquatting é a evolução do typosquatting na era da IA e, ao contrário de seu predecessor, as proteções existentes do npm não funcionam. Analisamos a pesquisa do mundo real que mostra que isso já está acontecendo, desde pacotes maliciosos confirmados que ainda geram centenas de downloads semanais até um nome de pacote alucinado que se espalhou para 237 repositórios através de arquivos de habilidades de agente de IA.

As 6 Melhores Alternativas ao Wiz Code

Alternativas ao Wiz Code (2026): 6 Ferramentas Comparadas e Melhor Opção de Segurança Voltada para o Desenvolvedor

Procurando alternativas ao Wiz Code? Compare 6 ferramentas em SAST, DAST, SCA, precificação e experiência do desenvolvedor para encontrar a melhor plataforma AppSec para 2026.

Este guia compara o Wiz Code com seis alternativas: Aikido Security, Snyk, Checkmarx, GitHub Advanced Security, Mend e Veracode, avaliadas em cobertura, experiência do desenvolvedor, triagem com IA, transparência de preços e velocidade de implantação. A Aikido Security se destaca para equipes que buscam uma plataforma de segurança voltada para o desenvolvedor com ampla cobertura, redução de 85% de falsos positivos, AI AutoFix em SAST, IaC e contêineres, DAST nativo e precificação transparente a aproximadamente um décimo do custo do Wiz.

Aikido reconhecido como Líder de Plataforma no Relatório de Segurança de Aplicações 2026 da Latio Tech

Aikido Nomeado Líder de Plataforma AppSec no Relatório Latio 2026

Aikido Security reconhecido como Líder de Plataforma, Inovador em pentest de IA e Inovador em Cadeia de Suprimentos no Relatório AppSec 2026 da Latio Tech.

O Relatório AppSec 2026 da Latio Tech nomeia a Aikido como Líder de Plataforma e Inovadora em IA. Aqui está o que o relatório revela sobre o futuro da segurança de aplicações.

Da detecção à prevenção: Como o Zen impede vulnerabilidades IDOR em tempo de execução

Da Detecção à Prevenção: Zen Impede IDOR em Tempo de Execução | Aikido

As vulnerabilidades IDOR são uma das causas mais comuns de vazamentos de dados entre tenants em SaaS multi-tenant. Saiba como o Zen impõe o isolamento de tenants em tempo de execução, analisando consultas SQL e prevenindo acessos inseguros antes da implantação.

Vulnerabilidades IDOR são uma das principais causas de vazamentos de dados entre tenants em aplicações multi-tenant. Neste post, explicamos como o Zen vai além da detecção e impõe o isolamento de tenants em tempo de execução, tornando o acesso entre tenants impossível de ser enviado por acidente.

Backdoor npm permite que hackers sequestrem resultados de jogos de azar

Ataque à cadeia de suprimentos npm sequestra backend de jogo para manipular resultados de jogos de azar

Um ataque direcionado à cadeia de suprimentos npm instala um backdoor Express, permite acesso remoto a SQL/arquivos e reescreve saldos de jogos de azar, mantendo os logs consistentes.

Descobrimos pacotes npm maliciosos que podem modificar transações de jogos de azar em produção e manter o banco de dados internamente consistente depois.

Por que tentar proteger o OpenClaw é ridículo

Problemas de segurança do OpenClaw explicados: malware no ClawHub, instâncias expostas e por que os guias de hardening perdem o foco. Você consegue usar o agente de IA com segurança??

Apresentando a Análise de Impacto de Upgrade: Quando as breaking changes realmente importam para o seu código

Análise de Impacto de Upgrade: Quando as Breaking Changes Realmente Importam | Aikido

O Aikido detecta automaticamente breaking changes em upgrades de dependências e analisa sua base de código para mostrar o impacto real, permitindo que as equipes mesclem correções de segurança com segurança.

A Análise de Impacto de Upgrade da Aikido sinaliza mudanças disruptivas em atualizações de dependência e mostra se essas mudanças realmente impactam seu código.

Claude Opus 4.6 encontrou 500 vulnerabilidades. O que isso muda para a segurança de software?

Claude Opus 4.6 Encontrou 500 Vulnerabilidades: O Que Isso Significa para a Segurança de Software

A Anthropic afirma que o Claude Opus 4.6 descobriu mais de 500 vulnerabilidades de alta gravidade em código aberto. Veja o que isso significa para a descoberta de vulnerabilidades, validação de explorabilidade e fluxos de trabalho de segurança em produção.

Claude Opus 4.6 supostamente encontrou mais de 500 vulnerabilidades de alta gravidade em código aberto. Este artigo examina o que isso realmente muda em produção, onde o raciocínio de LLM ajuda, e por que a validação e a alcançabilidade ainda determinam o impacto real na segurança.

Apresentando os Aikido Expansion Packs: Padrões mais seguros dentro da IDE

Aikido Expansion Packs: Padrões Mais Seguros Dentro da IDE

Os Aikido Expansion Packs adicionam controles de segurança focados diretamente dentro da sua IDE. Habilite a proteção de Secrets, verificações de malware na cadeia de suprimentos e segurança de código assistida por IA sem alterar os fluxos de trabalho dos desenvolvedores.

Relatório Internacional de Segurança de IA 2026: O que isso significa para Sistemas de IA Autônomos

Relatório Internacional de Segurança de IA 2026: Análise da Aikido Security

A análise da Aikido Security sobre o Relatório Internacional de Segurança de IA 2026. Examinamos os controles em tempo de implantação, os requisitos de validação e as linhas de base de segurança práticas para sistemas de IA autônomos.

Mais de 100 especialistas contribuíram para o Relatório Internacional de Segurança de IA 2026, documentando riscos de sistemas de IA autônomos e propondo frameworks de defesa em profundidade. Como uma equipe que opera sistemas de pentest de IA em produção, detalhamos onde o relatório acerta e onde ele precisa de mais especificidade técnica.

Software Auto-Seguro: O Que É, Por Que Importa e Como Funciona

O Que É Software Auto-seguro? Um Novo Modelo de Segurança para Software Moderno

Software de auto-proteção é um modelo de segurança onde os sistemas validam e corrigem continuamente riscos reais à medida que mudam. Entenda por que testes periódicos não são mais escaláveis.

Software de auto-proteção trata a segurança como uma capacidade intrínseca do sistema, e não como um processo periódico. Este artigo explica por que o software moderno exige um novo modelo de segurança e o que o torna possível hoje.

SDLC Seguro para Equipes de Engenharia (+ Checklist)

SDLC Seguro Explicado: Os 5 Pilares de um Ciclo de Vida de Desenvolvimento de Software Seguro

Entenda o que é um SDLC Seguro, por que ele é importante e os cinco pilares que toda equipe precisa. Inclui um checklist prático de SDLC Seguro para CTOs e líderes de engenharia.

As 10 Melhores Ferramentas de Segurança de IA Para 2026

As 10 Melhores Ferramentas de Segurança de IA para 2026: Recursos, Vantagens e Comparações

Explore as principais ferramentas de segurança de IA para 2026. Compare plataformas para revisão de código com IA, detecção de vulnerabilidades, pentesting e gerenciamento de riscos para proteger aplicações modernas.

As 10 Melhores Ferramentas de Cibersegurança Para 2026

As 10 Melhores Ferramentas de Cibersegurança para 2026: Detecção, Cloud, XDR & AppSec

Uma análise prática das 10 principais ferramentas de cibersegurança para 2026, abrangendo endpoint, Cloud, identidade, gerenciamento de vulnerabilidades e XDR. Saiba como escolher a ferramenta certa para sua stack e perfil de risco.

O Que é Pentest Contínuo?

O Que é Pentest Contínuo? Como Equipes Modernas Reduzem o Risco Explorável

O pentest contínuo testa automaticamente caminhos de ataque reais toda vez que o software muda, validando e corrigindo problemas como parte do ciclo de vida de desenvolvimento. Saiba como ele se compara ao pentest de IA e manual.

O pentest contínuo trata a segurança como um sistema vivo, não como um teste único. Saiba como as equipes modernas o utilizam para reduzir o risco explorável à medida que o software muda.

Confusão com npx: Pacotes que Esqueceram de Reivindicar Seus Próprios Nomes

Reivindicamos 128 nomes de pacotes npm não reivindicados que documentações oficiais instruíam os desenvolvedores a usar npx. Sete meses depois: 121.000 downloads. Todos teriam executado código arbitrário.

A documentação oficial instrui os desenvolvedores a executar `npx package-name`. Mas e se ninguém reivindicou esse nome? Registramos 128 deles e observamos. 121.000 downloads em sete meses. A queda durante o feriado prova que são desenvolvedores reais, não bots.

Apresentando Aikido Package Health: uma Maneira Melhor de Confiar em Suas Dependências

Aikido Package Health: Health Score para Pacotes Open Source

Veja o quão estável e bem-mantido um pacote open source realmente é. O Aikido Package Health ajuda desenvolvedores a escolher dependências mais seguras com confiança.

Pentest de IA: Requisitos Mínimos de Segurança para Testes de Segurança

Quando o Pentest de IA é Seguro? Requisitos Mínimos de Segurança para Testes de Segurança

Sistemas de pentest de IA agem autonomamente em ambientes de produção. Saiba quando o pentest de IA é seguro para usar, as salvaguardas técnicas mínimas necessárias e como avaliar ferramentas de teste de segurança de IA de forma responsável.

O pentest de IA já está aqui, mas as expectativas claras de segurança não. Este artigo define um padrão mínimo de segurança para pentest de IA, dando às equipes uma base concreta para avaliar ferramentas emergentes.

Extensão Falsa do Clawdbot para VS Code Instala ScreenConnect RAT

Uma extensão maliciosa do VS Code, personificando o Clawdbot, está instalando o ScreenConnect RAT em máquinas de desenvolvedores.

As 7 Melhores Ferramentas de Threat Intelligence em 2026

As 7 Melhores Ferramentas de Threat Intelligence em 2026: Reduza o Ruído e Foque no Risco Real

Uma análise aprofundada das principais ferramentas de Threat Intelligence de 2026, comparando como elas reduzem a fadiga de alertas, adicionam contexto e ajudam as equipes a priorizar riscos de segurança do mundo real.

As 14 Melhores Extensões do VS Code para 2026

As 14 Melhores Extensões do VS Code para 2026: Produtividade, Testes, Segurança e Colaboração

Um guia prático para as melhores extensões do VS Code para 2026, cobrindo ferramentas de produtividade, testes, colaboração e segurança que aprimoram os fluxos de trabalho de desenvolvedores no mundo real.

G_Wagon: Pacote npm Implanta Stealer Python Visando Mais de 100 Carteiras de Criptomoedas

O pacote npm ansi-universal-ui entrega o infostealer GWagon, visando mais de 100 carteiras de criptomoedas, credenciais de navegador e chaves de Cloud. Analisamos todas as 10 versões enquanto o atacante iterava em tempo real.

Pentest GPT: Como LLMs Estão Remodelando o Teste de Penetração

Pentest GPT: Como a IA está mudando o Teste de Penetração

Explore como o Pentest GPT usa LLMs para automatizar o raciocínio de ataques, simular exploits reais e escalar testes. Veja como a Aikido valida cada descoberta.

Caindo no Phishing: Pacotes npm Servindo Páginas Personalizadas de Coleta de Credenciais

Uma campanha de spear-phishing direcionada usou npm packages e jsDelivr como infraestrutura de phishing gratuita, servindo coletores de credenciais personalizados por vítima.

Pacotes PyPI Maliciosos spellcheckpy e spellcheckerpy Entregam RAT Python

Atacantes publicaram pacotes falsos de verificador ortográfico no PyPI com malware escondido à vista. Analisamos o ataque e o que os desenvolvedores precisam observar.

SvelteSpill: Uma Vulnerabilidade de Decepção de Cache no SvelteKit + Vercel

SvelteSpill: Vulnerabilidade Crítica de Decepção de Cache no SvelteKit + Vercel

SvelteSpill é uma vulnerabilidade de decepção de cache que afeta aplicativos SvelteKit padrão implantados na Vercel. Respostas autenticadas podem ser armazenadas em cache e expostas a diferentes usuários. Saiba como verificar se você está vulnerável e como mitigar o risco.

Nosso sistema de pentest de IA descobriu e reproduziu uma vulnerabilidade de alta severidade em implantações padrão do SvelteKit no Vercel. Veja como ele rastreou uma falha entre camadas em 150.000 linhas de código.

Habilidades de Agente Estão Espalhando Comandos npx Alucinados

As habilidades de agentes de IA estão propagando comandos npx alucinados, criando riscos reais de segurança e confiabilidade para desenvolvedores e cadeias de suprimentos.

Compreendendo o Risco de Licenças de Código Aberto em Software Moderno

O risco de licenças de código aberto se esconde em dependências e imagens de Container. Saiba o que é, por que é importante e como identificar problemas precocemente.

O código aberto se move rápido, mas suas licenças ainda têm regras. Este artigo detalha o que é o risco de licença de código aberto, por que as equipes continuam perdendo isso em árvores de dependência modernas e como permanecer em conformidade sem transformar isso em um exercício legal de emergência.

O Checklist de Vibe Coding do CISO para Segurança

Checklist de Vibe Coding do CISO: Protegendo Aplicativos Construídos por IA

Uma checklist de segurança prática para CISOs que gerenciam aplicações de IA e 'vibe-coded'. Abrange salvaguardas técnicas, controles de IA e políticas organizacionais.

'Vibe coding' impulsionado por IA permite que qualquer pessoa implante software. Este post descreve os riscos de segurança que os CISOs estão enfrentando e apresenta uma checklist prática, informada por CISOs da Lovable e da Supabase.

De “Segurança Sem Besteira” a US$ 1 bilhão: Acabamos de levantar nossa Série B de US$ 60 milhões

Aikido Security Arrecada US$ 60 milhões com uma avaliação de US$ 1 bilhão

Aikido anuncia financiamento Série B de US$ 60 milhões com uma avaliação de US$ 1 bilhão, acelerando sua visão para software de auto-segurança e testes de penetração contínuos.

Aikido se torna uma das empresas de cibersegurança mais rápidas a atingir o status de unicórnio globalmente, e a mais rápida de todos os tempos na Europa.

Vulnerabilidade Crítica no n8n Permite Execução Remota de Código Não Autenticada (CVE-2026-21858)

Vulnerabilidade Crítica do n8n (CVE-2026-21858) | RCE Não Autenticado Explicado

Uma vulnerabilidade crítica no n8n (CVE-2026-21858) permite a execução remota de código não autenticada em instâncias auto-hospedadas. Saiba quem é afetado e como remediar.

Teste de penetração orientado por IA da Coolify: sete CVEs identificados

Sete CVEs no Coolify Identificados Através de pentest de IA | Aikido

O teste de penetração orientado por IA da Coolify identificou sete CVEs, incluindo vulnerabilidades de escalonamento de privilégios e execução remota de código. As descobertas foram divulgadas e corrigidas de forma responsável.

Aikido

JavaScript, MSBuild e Blockchain: Anatomia do Ataque à Cadeia de Suprimentos npm NeoShadow

Ataque à Supply-Chain npm NeoShadow: JavaScript, MSBuild & Blockchain

Uma análise técnica aprofundada do ataque à cadeia de suprimentos npm NeoShadow, detalhando como as técnicas de JavaScript, MSBuild e blockchain foram combinadas para comprometer desenvolvedores.

SAST vs SCA: Protegendo o Código que Você Escreve e o Código do Qual Você Depende

SAST vs SCA Explicado: Protegendo Seu Código e Dependências

Aprenda como SAST e SCA diferem, quais riscos cada um aborda e por que equipes AppSec modernas precisam de ambos para proteger código e dependências.

Técnico

As 6 Melhores Ferramentas de pentest contínuo em 2026

Descubra as principais ferramentas de pentest contínuo que oferecem testes de segurança em tempo real, com IA, para aplicações modernas.

Como Equipes de Engenharia e Segurança Podem Atender aos Requisitos Técnicos da DORA

Requisitos Técnicos DORA para Equipes de Engenharia e Segurança

Compreenda os requisitos técnicos da DORA para equipes de engenharia e segurança, incluindo testes de resiliência, gestão de riscos e evidências prontas para auditoria.

Conformidade

Vulnerabilidades IDOR Explicadas: Por Que Elas Persistem em Aplicações Modernas

Vulnerabilidade IDOR Explicada: Por que as Referências Diretas Inseguras a Objetos Persistem

Aprenda o que é uma vulnerabilidade IDOR, por que referências diretas a objetos inseguras persistem em APIs modernas e por que as ferramentas de teste tradicionais têm dificuldade em detectar falhas reais de autorização.

Shai Hulud ataca novamente - O caminho dourado

Uma nova cepa de Shai Hulud foi observada em ambiente real.

MongoBleed: Vulnerabilidade Zlib do MongoDB (CVE-2025-14847) e Como Corrigi-la

MongoBleed: Vulnerabilidade Zlib do MongoDB (CVE-2025-14847)

MongoBleed, rastreado como CVE-2025-14847, permite a divulgação de memória não autenticada no MongoDB via compressão zlib. Veja o impacto e a remediação.

Primeiro Malware Sofisticado Descoberto no Maven Central via Ataque de Typosquatting em Jackson

Malware no Maven Central: Typosquatting Jackson Entrega Payload Cobalt Strike

Descobrimos a primeira campanha de malware sofisticada no Maven Central: um pacote Jackson com typosquatting entregando payloads multiestágio e beacons Cobalt Strike via autoexecução do Spring Boot.

O Fork Desperta: Por que as Redes Invisíveis do GitHub Quebram a Segurança de Pacotes

Uma análise aprofundada de uma falha de segurança no GitHub onde commits bifurcados permitiam que invasores falsificassem dependências. Entenda o problema do commit SHA e por que os gerenciadores de pacotes precisam de proteção em nível de API.

SAST na IDE agora é gratuito: Levando o SAST para onde o desenvolvimento realmente acontece

Varredura SAST Grátis na Sua IDE

Execute varreduras SAST gratuitas diretamente em sua IDE com feedback em tempo real e visibilidade em todo o projeto. Use as mesmas regras e motor SAST do Aikido, com AutoFix opcional para achados suportados.

Pentest de IA em Ação: Um Resumo TL;DV da Nossa Demonstração ao Vivo

Aikido AI Pentesting: Resumo da Demonstração ao Vivo & FAQ

Um resumo da demonstração ao vivo de pentest de IA da Aikido. Veja como agentes autônomos testam aplicações reais, validam descobertas, geram relatórios e permitem retestes.

Guias

As 7 Principais Vulnerabilidades de segurança na nuvem

As 7 Principais Vulnerabilidades de segurança na nuvem e Como Preveni-las

Descubra as sete principais vulnerabilidades de segurança na nuvem que afetam ambientes modernos. Saiba como atacantes exploram IMDS, Kubernetes, configurações incorretas e muito mais, e explore estratégias para proteger sua infraestrutura Cloud de forma eficaz.

Como Cumprir o Projeto de Lei de Cibersegurança e Resiliência do Reino Unido: Um Guia Prático para Equipes de Engenharia Modernas

Em Conformidade com a Lei de Cibersegurança e Resiliência do Reino Unido | Guia de Segurança

Aprenda a atender aos requisitos do Projeto de Lei de Cibersegurança e Resiliência do Reino Unido, desde práticas de segurança por design até a transparência de SBOM, segurança da cadeia de suprimentos e conformidade contínua.

Conformidade

Vulnerabilidade de DoS em React e Next.js (CVE-2025-55184): O Que Você Precisa Corrigir Após o React2Shell

Vulnerabilidade DoS em React & Next.js (CVE-2025-55184) Explicada

CVE-2025-55184 é uma falha de DoS em React Server Components relacionada ao React2Shell. Saiba quem é afetado, como funciona e como corrigi-la completamente.

Principais Vulnerabilidades de Segurança da Supply Chain de Software Explicadas

Vulnerabilidades de Segurança da Supply Chain de Software

Entenda as maiores vulnerabilidades de segurança da supply chain de software, desde pacotes maliciosos até ataques de confusão de dependências.

As 10 Principais Vulnerabilidades de Segurança em JavaScript em Aplicações Web Modernas

Vulnerabilidades de Segurança em JavaScript | Principais Riscos

Conheça as vulnerabilidades de segurança em JavaScript mais frequentes que afetam aplicações frontend e backend, incluindo vetores de ataque do mundo real.

As 10 Principais Vulnerabilidades de Segurança em Python que Desenvolvedores Devem Evitar

Vulnerabilidades de Segurança em Python | Principais Problemas

Uma visão prática das vulnerabilidades de segurança em Python mais comuns, padrões inseguros e riscos relacionados a dependências.

As 10 Principais Vulnerabilidades de Segurança de Código Encontradas em Aplicações Modernas

Vulnerabilidades de Segurança de Código | Riscos Comuns

Explore as vulnerabilidades de segurança de código mais comuns que desenvolvedores introduzem, por que elas acontecem e como as equipes podem detectá-las mais cedo.

As 9 Principais Vulnerabilidades e Má-configurações de segurança Kubernetes

Vulnerabilidades de segurança Kubernetes | Principais Riscos

Aprenda as vulnerabilidades de segurança Kubernetes mais críticas, configurações incorretas comuns e por que os clusters são frequentemente expostos por padrão.

As 10 Principais Vulnerabilidades de Segurança em Aplicações Web Que Toda Equipe Deve Conhecer

Vulnerabilidades de Segurança em Aplicações Web | Principais Riscos

Descubra as vulnerabilidades de segurança de aplicações web mais comuns, exemplos reais e como equipes modernas podem reduzir riscos precocemente.

Top 10 OWASP para Aplicações Agênticas (2026): O que Desenvolvedores e Equipes de Segurança Precisam Saber

Top 10 OWASP para Aplicações Agênticas (2026): Guia Completo sobre Riscos de Segurança de Agentes de IA

Aprenda o Top 10 OWASP para Aplicações Agênticas. Entenda os principais riscos de segurança de agentes de IA, exemplos reais e como fortalecer seu ambiente.

DAST vs Pentesting v pentest de IA: Por que o DAST Não Pode Substituir o Pentesting Moderno

DAST vs Pentesting vs pentest de IA: Principais Diferenças Explicadas

Compare DAST, testes de penetração manuais e pentest de IA. Saiba onde cada abordagem funciona, onde o DAST é deficiente e como o pentest de IA permite testes mais profundos e contínuos de aplicações modernas.

Detecção de Segredos: Um Guia Prático para Encontrar e Prevenir Credenciais Vazadas

Guia de Detecção de Segredos: Encontre e Previna Vazamentos

Aprenda como funciona a detecção de segredos, o que é considerado um segredo (chaves de API, tokens, credenciais), onde as equipes os vazam e como prevenir a exposição em git, CI e produção.

O que é CSPM (e CNAPP)? Gerenciamento da Postura de Segurança na Nuvem Explicado

CSPM vs CNAPP: Postura de Segurança na Cloud Explicada

Uma análise clara de CSPM e CNAPP: o que eles cobrem, como reduzem o risco na Cloud, os principais recursos a serem observados e como as equipes realmente os adotam.

Detecção e Prevenção de Malware em Cadeias de Suprimentos de Software Modernas

Prevenindo Malware na Supply Chain de Software (Guia)

Explore como malwares de cadeia de suprimentos chegam a bases de código modernas (typosquatting, dependency confusion, atualizações maliciosas) e as defesas que os impedem precocemente no CI/CD.

O Que É Scanning de Segurança de IaC? Terraform, Kubernetes & Misconfigurações de Cloud Explicado

Varredura de Segurança de IaC para Terraform e Kubernetes

Compreenda o escaneamento de segurança de IaC: como ele detecta más configurações na Cloud em Terraform/Kubernetes, o que priorizar e como prevenir mudanças arriscadas antes do deploy.

O Guia Definitivo de SAST: O que são Testes de segurança de aplicações estáticas?

Guia Definitivo de SAST: Testes de segurança de aplicações estáticas

Um explicador prático de SAST: como funcionam os testes de segurança de aplicações estáticas, quais problemas ele encontra, armadilhas comuns e como implementá-lo sem sobrecarregar os desenvolvedores com ruído.

Segurança da Cadeia de Suprimentos: O Guia Definitivo para Ferramentas de análise de composição de software (SCA)

Guia de Segurança da Supply Chain: Melhores Ferramentas SCA

Saiba o que as ferramentas SCA fazem, o que elas detectam (dependências vulneráveis, licenças, malware) e como escolher a solução de análise de composição de software certa para sua stack.

Vulnerabilidade Crítica de RCE em React & Next.js (CVE-2025-55182): O Que Você Precisa Corrigir Agora

Vulnerabilidade Crítica de RCE em React e Next.js CVE-2025-55182: Guia de Correção

Saiba como CVE-2025-55182 e o RCE relacionado do Next.js afetam os React Server Components. Veja o impacto, as versões afetadas e como corrigir. O Aikido agora detecta ambos os problemas.

PromptPwnd: Vulnerabilidades de Prompt Injection em GitHub Actions Usando Agentes de IA

Prompt Injection Em GitHub Actions: A Nova Fronteira dos ataques à Supply chain

GitHub Actions impulsionadas por IA expõem novas vulnerabilidades de cadeia de suprimentos de prompt-injection.

Shai Hulud 2.0: O que o Observador Desconhecido nos Revela sobre o Objetivo Final dos Atacantes

Shai Hulud 2.0: O Que o Unknown Wonderer Revela Sobre o Objetivo Final dos Atacantes

Novas pesquisas sobre o malware Shai Hulud 2.0 sugerem que o nome de usuário UnknownWonderer1 nos diz mais sobre o objetivo final dos atacantes.

SCA Em Todo Lugar: Escaneie e Corrija Dependências de Código Aberto na Sua IDE

SCA no IDE: Escaneie e Corrija Dependências Vulneráveis com AutoFix

Traga o fluxo de trabalho SCA completo para sua IDE com varredura no editor e AutoFix. Detecte pacotes vulneráveis, revise CVEs e aplique upgrades seguros sem sair do seu fluxo de trabalho de desenvolvimento.

Safe Chain agora impõe uma idade mínima de pacote antes da instalação

SafeChain Agora Impõe uma Idade Mínima de Pacote de 24 Horas para Instalações Mais Seguras

O Safe Chain agora impõe uma idade mínima de 24 horas para pacotes, impedindo que invasores usem lançamentos recentes como ponto de entrada. Ele bloqueia malwares precocemente e retorna a versões seguras.

Obrigado! Seu envio foi recebido!

Ops! Algo deu errado ao enviar o formulário.

16 de setembro de 2025

•

Conformidade

Por que Empresas Europeias Escolhem o Aikido como Seu Parceiro de Cibersegurança

A segurança não é mais apenas técnica. Para as empresas europeias, trata-se de conformidade, confiança e quem você escolhe para proteger seus sistemas.

Tags/

#Lei de Ciber-Resiliência

#NIS2

15 de setembro de 2025

•

Conformidade

Em Conformidade com a Lei de Ciber-Resiliência (CRA) usando Aikido Security

Saiba como o CRA se aplica à sua empresa e como a Aikido pode ajudar você a cumprir.

Tags/

#NIS2

#Compliance

#SOC 2

#Lei de Ciber-Resiliência

9 de setembro de 2025

•

Guias e Melhores Práticas

As 10 Principais Vulnerabilidades de Segurança de Código Encontradas em Aplicações Modernas

Tags/

#Vulnerabilidades

#Qualidade do Código

#AppSec

9 de setembro de 2025

•

Vulnerabilidades e Ameaças

Pacotes npm do duckdb comprometidos

Tags/

#Malware

8 de setembro de 2025

•

Atualizações de Produto e da Empresa

Integração do AutoTriage em IDE

Tags/

#SAST

#AI

#AutoTriage

#Triagem

5 de setembro de 2025

•

Guias e Melhores Práticas

Resposta a Incidentes Quânticos

Tags/

#AppSec

#Vulnerabilidades

2 de setembro de 2025

•

Atualizações de Produto e da Empresa

Aikido para Estudantes e Educadores

Tags/

#Artigo

2 de setembro de 2025

•

Atualizações de Produto e da Empresa

Laboratórios práticos de segurança gratuitos para seus alunos

Tags/

#Artigo

27 de agosto de 2025

•

Vulnerabilidades e Ameaças

Pacotes nx populares comprometidos no npm

Tags/

#Malware

#Segurança da Supply Chain de Software

#intel

26 de agosto de 2025

•

Vulnerabilidades e Ameaças

O que é Vibe Coding Security? Riscos, Exemplos e Como Manter-se Seguro

Saiba o que é segurança no vibe coding e como manter a 'vibe' sem as vulnerabilidades.

Tags/

#Vibe Coding

20 de agosto de 2025

•

Guias e Melhores Práticas

Detecção e Prevenção de Malware em Cadeias de Suprimentos de Software Modernas

Tags/

#Malware

#Segurança da Supply Chain de Software

13 de agosto de 2025

•

Guias e Melhores Práticas

Auditoria de Segurança NPM: A Camada Que Sua Equipe Ainda Precisa

Tags/

#NPM

24 de março de 2026

•

Atualizações de Produto e da Empresa

Aikido × Lovable: Vibe, Fix, Ship

Lovable e Aikido trazem o pentest para a plataforma, permitindo que desenvolvedores simulem ataques do mundo real e corrijam problemas antes do lançamento.

Anúncios

Pentest com IA

12 de março de 2026

•

Atualizações de Produto e da Empresa

Apresentando Betterleaks, um scanner de Secrets de código aberto pelo autor de Gitleaks

26 de fevereiro de 2026

•

Atualizações de Produto e da Empresa

Apresentando Aikido Infinite: Um novo modelo de software de auto-segurança

Pentest com IA

Anúncios

Software Auto-seguro

22 de abril de 2026

•

Vulnerabilidades e Ameaças

A porta traseira GPT-Proxy no npm e no PyPI transforma servidores em retransmissores de modelos de linguagem de grande escala chineses

Uma campanha de malware recém-descoberta no npm e no PyPI instala proxies LLM ocultos em servidores comprometidos, transformando-os em nós de retransmissão para o tráfego LLM.

Malware

8 de abril de 2026

•

Vulnerabilidades e Ameaças

GlassWorm se torna nativo: Novo dropper Zig infecta todas as IDEs em sua máquina

GlassWorm implanta um dropper nativo baseado em Zig, escondido em uma extensão falsa, comprometendo silenciosamente VS Code, Cursor, VSCodium e outras IDEs.

Malware

27 de março de 2026

•

Vulnerabilidades e Ameaças

Pacote popular telnyx comprometido no PyPI pelo TeamPCP

O popular pacote telnyx no PyPI, utilizado por grandes empresas de IA, foi comprometido pelo TeamPCP

Malware

PyPI

19 de agosto de 2025

•

Ferramentas DevSec e Comparações

As 12 Principais Ferramentas de Testes Dinâmicos de Segurança de Aplicações (DAST) em 2026

Descubra as 12 melhores ferramentas de Testes Dinâmicos de Segurança de Aplicações (DAST) em 2026. Compare recursos, prós, contras e integrações para escolher a solução DAST certa para seu pipeline DevSecOps.

Ferramentas

DAST

18 de julho de 2025

•

Ferramentas DevSec e Comparações

As 13 Melhores Ferramentas de Varredura de Container em 2026

Descubra as 13 melhores ferramentas de Varredura de Contêineres em 2026. Compare recursos, prós, contras e integrações para escolher a solução certa para seu pipeline DevSecOps.

Ferramentas

Varredura de Container

17 de julho de 2025

•

Ferramentas DevSec e Comparações

As 10 Melhores Ferramentas de Análise de Composição de Software (SCA) em 2026

As ferramentas SCA são nossa melhor linha de defesa para a segurança de código aberto; este artigo explora os 10 principais scanners de dependências de código aberto para 2026.

Ferramentas

SCA