Bem-vindo ao nosso blog.

O «Fever Dream» da Anthropic: o pacote do Claude que roubou chaves reais

O «Fever Dream» da Anthropic: o pacote «anthropickit» do Claude que roubou chaves reais

A Anthropic revelou a existência de um agente que introduziu malware real no PyPI. Pensamos ter encontrado o pacote, e todos os erros nele contidos apontam para a IA.

Astra Security melhores Astra Security para pentest automatizado 2026

As melhores alternativas ao Astra Pentest para testes de segurança | Aikido

Compare Astra Security para pentest de IA 2026 em termos de profundidade, testes de caixa aberta, resultados de conformidade e abrangência da plataforma

Quatro decisões relativas à resposta a incidentes decorrentes da violação de segurança da Hugging Face

Quatro lições sobre resposta a incidentes retiradas da violação de segurança da Hugging Face

Recon, credenciais roubadas, C2 oculto e «reconstruir ou aplicar patch». Quatro decisões tomadas na violação da Hugging Face que mostram se é possível detetar um ataque em curso.

SAST melhores SAST em 2026

SAST melhores SAST de 2026: Aikido, Snyk, Semgrep outras

Compare as principais SAST de 2026 em termos de profundidade de deteção, ruído, correção e adequação às necessidades empresariais

Compare as principais SAST de 2026 em termos de profundidade de deteção, ruído, correção e adequação às necessidades empresariais.

As melhores ferramentas de segurança de LLM para proteger aplicações de IA

As melhores ferramentas de segurança baseadas em LLM em 2026 | Aikido

Compare as principais ferramentas de segurança LLM para aplicações de IA, incluindo Aikido, Snyk, Semgrep, Endor Labs e Wiz, em termos de código, cadeia de abastecimento e tempo de execução.

Acunetix melhores Acunetix para a deteção automatizada de vulnerabilidades

Acunetix melhores Acunetix para a deteção de vulnerabilidades | Aikido

Está à procura de Acunetix ? O seu DAST verificações baseadas em regras, mas não consegue analisar a lógica de negócio nem realizar testes de penetração com qualidade de auditoria. Cinco opções que vão mais além.

Está à procura de Acunetix ? O seu DAST verificações padrão, mas não consegue analisar a lógica de negócio nem realizar testes de penetração com qualidade de auditoria. Cinco opções que vão mais além.

secrets melhor secrets genéricos começa por identificarsecrets

Algumas chaves API destinam-se a ser públicas. O Betterleaks passa agora a removê-las das deteções genéricas de segredos, eliminando milhares de falsos positivos por análise.

A injeção de SQL não está morta

As injeções SQL (e o «Little Bobby Tables») não desapareceram

A solução para a injeção de SQL já existe há décadas e continua a funcionar. Então, por que é que o núcleo do WordPress precisou agora de um patch de emergência para resolver este problema? Os dados e como se defender contra isso.

CISO da Tyro: Ser o «Einstein da cibersegurança» não basta se os programadores não confiarem em ti

O «Einstein» da cibersegurança ainda precisa da confiança dos programadores

Arun Singh, CISO da Tyro, fala sobre a confiança dos programadores como um recurso finito e o que acontece quando ataques à Supply chain as equipas a gastá-la

O que os programadores precisam de saber sobre o DSPM e a exposição de dados no código

O DSPM tradicional identifica onde se encontram os dados sensíveis. O DSPM baseado em código identifica como é que esses dados ficam expostos e indica a correção a efetuar no seu código.

A armadilha da atualização: quando a atualização é a resposta errada a um CVE

Por que é que a atualização para corrigir uma vulnerabilidade CVE muitas vezes piora a situação | Aikido

Fazer uma atualização para corrigir uma vulnerabilidade CVE parece simples. No entanto, a versão corrigida muitas vezes causa falhas na aplicação, ainda não foi lançada ou nem sequer existe. Eis o motivo e o que realmente funciona.

SleeperGem: Ataque à cadeia de abastecimento do RubyGems tem como alvo contas de mantenedores inativas

SleeperGem: duas contas inativas de mantenedores do RubyGems foram pirateadas para introduzir malware em gems de confiança, uma delas com mais de 500 000 downloads no total

RCE sem autenticação no núcleo do WordPress (wp2shell), através de injeção de SQL

Vulnerabilidade de execução de código remoto (RCE) sem autenticação no núcleo do WordPress (wp2shell), através de injeção de SQL. Corrija a vulnerabilidade agora!

O núcleo do WordPress apresenta uma vulnerabilidade de execução de código remoto (RCE) sem autenticação (wp2shell), confirmada como injeção de SQL. Atualize agora para a versão 7.0.2 ou 6.9.5; se ainda não for possível aplicar a correção, utilize as medidas de mitigação disponíveis. Bloqueie a classe de ataque em tempo de execução com Aikido .

Pentera melhores Pentera para testes de penetração automatizados

Pentera melhores Pentera para pentest automatizado Aikido

Compare as principais Pentera para pentest automatizado 2026. Veja onde Aikido , XBOW, o Horizon3, o Hadrian, o RunSybil, o Terra e o Astra se encaixam melhor.

Avaliação comparativa de 13 modelos de IA na redescoberta de CVEs conhecidas

Avaliação comparativa de 13 modelos de IA na deteção de CVE conhecidos

Testámos 13 modelos de IA face a 26 CVE conhecidas para verificar qual deles deteta mais vulnerabilidades — e se o modelo mais caro compensa o investimento.

Testámos 13 modelos de IA na deteção de 26 CVEs conhecidas. O GPT-5.6 foi o que detetou mais, mas o modelo mais caro não representou o melhor aproveitamento do orçamento.

Técnico

A lista de verificação prática para a defesa contra ataques à Supply chain

ataques à Supply chain prática ataques à Supply chain | Aikido

Trinta medidas de defesa prioritárias contra a recente onda de ataques à Supply chain informáticos ataques à Supply chain. Classificadas como críticas, elevadas ou médias.

Pacotes npm do AsyncAPI foram infetados com backdoors através do GitHub Actions

Cinco versões do pacote, incluindo versões com cerca de 2 milhões de downloads semanais, distribuíram um dropper ofuscado em 14 de julho de 2026. Eis o que confirmámos até ao momento.

Como Aikido deteta malware e vulnerabilidades em primeira instância

Aikido é um serviço de atualizações em tempo real que deteta malware e vulnerabilidades ainda não divulgadas nos ecossistemas de código aberto, muitas vezes no prazo de 8 minutos após a sua divulgação.

Aikido é um serviço de informação em tempo real sobre a cadeia de abastecimento que deteta rapidamente malware e vulnerabilidades ainda não divulgadas nos ecossistemas de código aberto.

Detecção de oito vulnerabilidades de gravidade elevada no NodeBB em seis horas

Oito vulnerabilidades de alta gravidade no NodeBB, detetadas pelo nosso teste de penetração com IA em seis horas. Análise técnica completa das cadeias de XSS, contornamentos de autenticação e sequestro de publicações.

O que é uma firewall de dependências?

O que é uma firewall de dependências? | Aikido

Uma firewall de dependências bloqueia pacotes de código aberto maliciosos antes da sua instalação. Saiba como funcionam e como Aikido Chain impede ataques à Supply chain.

Como manter os padrões de qualidade do código com código gerado por IA e «vibe coding»

O Vibe Coding implementa funcionalidades rapidamente e deixa para trás a «dívida de revisão». Veja como as verificações de qualidade do código, baseadas em benchmarks e por regra, proporcionam às equipas uma resposta consistente em todos os PRs e repositórios.

O @injectivelabs/sdk-ts, que foi comprometido, extrai as chaves da carteira através de telemetria falsa

Uma versão maliciosa do @injectivelabs/sdk-ts ocultou um programa para roubar chaves de carteiras dentro de código rotulado como «telemetria de utilização» e, em seguida, espalhou-o por mais 17 pacotes do npm. Eis como funcionou e como verificar os seus projetos.

Guia pentest de IA : Como avaliar pentest de IA

Guia pentest de IA | Avaliar pentest de IA

Saiba como avaliar pentest de IA com critérios práticos de aquisição, estudos realizados a partir de mais de 1 000 testes de penetração com IA e uma lista de verificação para avaliação disponível para download.

Saiba como avaliar pentest de IA com critérios práticos de aquisição, resultados de uma investigação sobre mais de 1 000 testes de penetração com IA e uma lista de verificação para avaliação.

Burp Suite melhores Burp Suite para testes de segurança de aplicações web

Burp Suite melhores Burp Suite para testes de segurança de aplicações web | Aikido

Compare as principais Burp Suite para DAST pentest de IA, incluindo Aikido, o Caido, ZAP e Invicti.

Chainguard melhores Chainguard em 2026

Chainguard melhores Chainguard em 2026 | Aikido

Comparando as melhores Chainguard em 2026, desde Aikido até às imagens reforçadas do Docker, passando pelo Minimus, RapidFort e Echo.

Comparação de Chainguard para container reforçadas e correção de vulnerabilidades CVE sem migração forçada.

As melhores festas, eventos paralelos e encontros sobre segurança da Black Hat USA 2026

Um guia selecionado das festas, happy hours, jantares de CISO e encontros sobre segurança da Black Hat USA 2026 em Las Vegas, incluindo o evento «Omega Mart After Hours» Aikidocom a AWS e a Tailscale.

Prever continuamente o ObjectId do MongoDB no Rocket.Chat

O pentester de IA Aikido descobriu esta falha de acesso a ficheiros no Rocket.Chat. Uma análise mais aprofundada do ObjectId do MongoDB revelou a fraca aleatoriedade que o torna vulnerável a explorações.

O pentester de IA Aikido descobriu esta falha de acesso a ficheiros no Rocket.Chat. Uma análise mais aprofundada da função ObjectId() do MongoDB revelou a fraca aleatoriedade que a torna vulnerável a explorações.

Contornamento da autenticação na configuração predefinida do phpBB

Os nossos agentes de testes de penetração baseados em IA detetaram uma falha crítica de contorno da autenticação no phpBB (CVE-2026-48611): basta uma solicitação não autenticada para iniciar sessão em qualquer conta. Veja a exploração e a correção.

Aikido a Root para garantir a segurança da cadeia de abastecimento

Aikido a Root para garantir a segurança da cadeia de abastecimento de software, corrigindo vulnerabilidades de código aberto na versão que já utiliza, sem necessidade de atualização. As correções críticas são disponibilizadas à comunidade, gratuitamente.

E mais uma. O GitHub lança a revogação de credenciais de emergência

O GitHub lança a revogação de credenciais de emergência

A revogação de credenciais «Break-glass» já está disponível no GitHub Enterprise. Os exemplos de tarefas duradouras da Trivy da Microsoft demonstram por que razão era necessária uma revogação rápida e completa.

O GitHub Enterprise já permite revogar todas as credenciais de uma conta numa única ação. O Trivy e o próprio caso de comprometimento do «durabletask» da Microsoft demonstram porque é que esta medida já era esperada há muito tempo.

npm agora congela contas de alto impacto após mudanças de conta arriscadas

Uma análise do novo congelamento de conta de 72 horas do npm, o que o aciona, o que ele bloqueia e como funciona em conjunto com a publicação confiável e em fases.

Principais alternativas ao Koi em 2026

Principais Alternativas de Koi Security em 2026 | Aikido

Procurando uma alternativa ao Koi Security após a aquisição pela Palo Alto? Compare concorrentes em proteção de dispositivos, abrangência da plataforma e preços.

Ação comprometida do GitHub codfish/semantic-release-action rouba Secrets de CI/CD

codfish/semantic-release-action foi comprometida em 24 de junho de 2026. Atacantes redirecionaram as tags v2–v5 para um payload Miasma de roubo de credenciais visando Secrets de CI/CD. Veja o que aconteceu e como verificar se você foi afetado.

Todo mundo está enviando código que não consegue ler

Com a IA, todos são desenvolvedores agora, e muito código é entregue sem uma revisão cuidadosa de olhos treinados.

Aikido x Drydock | Uma forma para mantenedores detectarem malware antes do lançamento

Aikido faz parceria com Drydock para trazer revisão de malware pré-publicação para npm e PyPI

Aikido faz parceria com Drydock para trazer a revisão de pacotes pré-publicação para npm e PyPI. Veja exatamente o que está dentro de um lançamento antes que ele seja distribuído, malware detectado antes do primeiro download.

Aikido está fazendo parceria com Drydock para que os mantenedores de npm e PyPI possam ver exatamente o que está dentro de um lançamento antes que ele seja publicado. Detecte malware antes do lançamento, não depois.

Packagist agora está protegido por Aikido Intel e outras atualizações para o registro PHP

O feed de malware do Aikido agora bloqueia versões de pacotes maliciosos no Composer por padrão. Uma análise de como o Packagist está fechando classes inteiras de ataques à Supply chain.

O feed de malware Aikido bloqueia agora, por predefinição, as versões de pacotes sinalizadas no Composer, para todos os que instalam a partir do Packagist.org, sem necessidade de ativar qualquer opção. Ao longo do último ano, o Packagist e o Composer têm vindo a bloquear classes inteiras de ataques à cadeia de abastecimento ao nível do registo. Eis o que lançaram e por que razão todos os registos deveriam funcionar desta forma.

Aikido x OWASP: 200 créditos gratuitos para membros individuais

Aikido e OWASP: 200 créditos gratuitos para membros

Membros individuais da OWASP recebem 200 créditos Aikido gratuitos para executar o Code Audit. Veja quem se qualifica e como reivindicar os seus em duas etapas.

Membros individuais da OWASP recebem 200 créditos Aikido gratuitos para executar o Code Audit. Veja como reivindicar os seus em duas etapas.

Aikido

Mais de 140 pacotes npm populares do Mastra atingidos por ataque à cadeia de suprimentos

141 pacotes npm do Mastra foram comprometidos em um ataque à cadeia de suprimentos que injetou uma dependência maliciosa para baixar e executar silenciosamente um payload no momento da instalação.

Vários plugins de IDE da JetBrains flagrados roubando chaves de IA

Uma campanha coordenada de pelo menos 15 plugins de IDE da JetBrains, publicados sob sete contas de fornecedores, exfiltra a chave de API do provedor de IA que você cola em suas configurações.

Full Fathom Five: O contexto do lançamento público da classe Mythos da Anthropic

Full Fathom Five: O que significa o lançamento público da classe Mythos da Anthropic

Você nunca precisou do Mythos para encontrar seus IDORs e falhas de lógica de negócios. Uma análise do que a Anthropic lançou com o Fable 5 e por que a infosec continua sendo um problema de pessoas em sua essência.

5 alternativas de segurança ao Socket e por que são melhores

5 Alternativas de Segurança ao Socket e Por Que São Melhores

O Socket construiu sua reputação na detecção de malware. Mas a velocidade de detecção por si só não é mais a história completa. Veja como Aikido e outras quatro alternativas se comparam em segurança da Supply chain, Reachability analysis, licenciamento e muito mais.

npm v12 oferece uma das maiores melhorias de segurança em anos

npm v12 torna os scripts de instalação opt-in por padrão, fechando o caminho de execução em tempo de instalação após um ano de "worms" na Supply chain do npm, de Nx a Red Hat.

Aikido x Docker: menos ruído, mais sinal em seus contêineres

Aikido Suporta Docker Hardened Images com VEX

Aikido agora oferece suporte a Docker Hardened Images com integração VEX integrada, ajudando as equipes a reduzir o ruído de CVEs e a focar nas vulnerabilidades de contêineres que realmente precisam de atenção.

Escaneie Imagens Hardened do Docker no Aikido com filtragem VEX automática para CVEs não exploráveis.

O código está sendo escrito em todos os lugares, e o dispositivo é a única constante

O Código É Escrito Em Todos os Lugares e o Dispositivo É a Única Constante | Aikido Security

Desenvolvedores estão codificando em todos os lugares. Agentes de IA, bots do Slack e servidores MCP transformaram o dispositivo do desenvolvedor no maior ponto cego de segurança.

SBOMs em 2026: Todos estão gerando-os, ninguém os está usando

SBOMs em 2026: Todos Estão Gerando-os, Ninguém os Está Usando | Aikido Security

O relatório de adoção de SBOM da ENISA de 2026 abrange 334 organizações e revela uma lacuna consistente entre a geração de SBOMs e o uso efetivo deles. Aqui está o que se destacou.

Crate Rust onering comprometido realiza exfiltração de código

O crate Rust onering v1.4.1 comprometido no crates.io distribuiu um build.rs malicioso que exfiltra o diff do seu último commit para um endpoint Sentry hospedado toda vez que você compila.

Vulnerabilidade crítica de 10 anos no phpBB afetando dezenas de milhões de usuários em milhares de fóruns

Vulnerabilidade Crítica no phpBB: Auth Bypass + RCE Desde 2014

A Aikido Security descobriu um bypass de autenticação não autenticado crítico no phpBB, afetando dezenas de milhões de usuários. Uma única requisição HTTP é tudo o que é necessário para assumir o controle de qualquer conta — uma vulnerabilidade que está presente na base de código desde 2014.

Espere, binding.gyp pode fazer o quê? Explorando o sistema de build mais estranho do npm

Análise aprofundada de binding.gyp, o arquivo de build do npm muitas vezes negligenciado que pode executar código malicioso no momento da instalação através de expansões de shell, Escape de sandbox e sequestro de compilador.

AI SAST está emergindo como uma nova categoria de SAST, mas o significado não está claro. Esclarecemos a diferença entre SAST nativo de IA e SAST assistido por IA, bem como como o AI SAST se posiciona na pilha entre o SAST tradicional e o pentest de IA.

O que é AI SAST?

As 5 melhores alternativas ao Tenable Nessus em 2026

As 5 Melhores Alternativas ao Tenable Nessus em 2026 | Aikido Security

O Tenable Nessus é um scanner poderoso, mas ferramentas poderosas que ninguém usa não tornam o software mais seguro. Compare cinco alternativas construídas para a forma como as equipes de engenharia realmente trabalham.

O Tenable Nessus é um poderoso scanner de infraestrutura, mas ferramentas poderosas que ficam desconectadas dos fluxos de trabalho dos desenvolvedores são ferramentas que ninguém usa. Este guia compara cinco alternativas construídas em torno do ajuste ao fluxo de trabalho do desenvolvedor, amplitude de AppSec, custo e experiência de remediação.

Por que EDR e proxy não vão te salvar de malware de supply chain

EDR e proxies não foram feitos para malware de supply chain. Quando um código malicioso chega via npm install, ele parece um comportamento normal. Veja por que isso importa.

Abra espaço, Mythos. Chegou... praticamente qualquer outro modelo com um bom arcabouço

Abra espaço, Mythos. Chegou qualquer modelo com um bom arcabouço.

Mythos tem vantagens reais na construção de cadeias de exploração. Mas para a maioria dos trabalhos de AppSec, o arcabouço em torno do modelo importa mais do que o modelo que você escolhe.

Pacotes npm da Red Hat Comprometidos para Disseminar um Worm de Roubo de Credenciais

Vários pacotes npm oficiais do @redhat-cloud-services foram comprometidos com um worm de roubo de credenciais derivado do malware de código aberto Mini Shai-Hulud, visando credenciais de Cloud e ferramentas de desenvolvimento em pipelines de CI/CD.

Apresentando o Code Audit: Encontre vulnerabilidades complexas ocultas em seu código-fonte

O SAST detecta padrões. O Code Audit analisa seu código como um invasor faria, encontrando as falhas lógicas que só aparecem após o deploy.

Modelos agentivos agora podem encontrar e encadear falhas lógicas em seu código-fonte mais rapidamente do que qualquer atacante humano. O Code Audit se posiciona entre SAST e pentesting, analisa seu código estático e revela vulnerabilidades de múltiplas etapas antes que sejam implantadas.

O que o MDM não consegue proteger em máquinas de desenvolvedores (e o que fazer a respeito)

O que o MDM Não Consegue Proteger em Máquinas de Desenvolvedores

Ferramentas de MDM como Jamf e Kandji são essenciais, mas elas não veem instalações npm, extensões de IDE ou ferramentas de codificação de IA. Aqui está o que realmente está desprotegido em suas máquinas de desenvolvedores e como fechar essa lacuna.

A maioria das equipes de segurança tem o MDM implantado. O problema é que as instalações npm, extensões do VS Code e ferramentas de codificação de IA acontecem completamente fora da visão do MDM. Aqui está o que está realmente desprotegido e como fechar essa lacuna.

Principais alternativas ao GitGuardian para varredura de segredos em 2026

Principais Alternativas ao GitGuardian para Varredura de Segredos em 2026

Compare as Principais Alternativas ao GitGuardian para varredura de segredos em 2026. Veja onde Aikido Security, GitHub Secret Protection, TruffleHog, Gitleaks, Semgrep, Snyk, Cycode, Checkmarx e GitLab se encaixam melhor.

Compare as principais alternativas ao GitGuardian para varredura de segredos em 2026, incluindo Aikido Security, Betterleaks, GitHub Secret Protection, TruffleHog, Semgrep, Snyk, Checkmarx One e GitLab Secret Detection.

UI Remota do Codex com Aparência Legítima Rouba Secretamente Seus Tokens de IA

Uma UI remota do Codex aprimorada, o pacote npm codexui-android, tem desenvolvimento ativo e milhares de usuários semanais. Ele tem exfiltrado silenciosamente tokens de autenticação da OpenAI no último mês.

Aikido vs Xbow: 58% mais vulnerabilidades encontradas em benchmark independente

Aikido vs Xbow comparados em um benchmark independente pela Doyensec. O Aikido encontrou 58% mais vulnerabilidades pelo mesmo preço. Veja o tempo de configuração, taxas de falso positivo e resultados completos.

Nós contratamos a Doyensec para realizar um benchmark cego e independente do Aikido e do XBOW nos mesmos aplicativos, pelo mesmo preço. O Aikido encontrou 58% mais vulnerabilidades verificadas e se destacou em configuração, velocidade e estabilidade.

Por que as máquinas de desenvolvedores são agora o alvo número um para ataques à Supply chain

Por que Máquinas de Desenvolvedores São o Alvo #1 para Ataques à Supply chain | Aikido

Equipes da Omnea, Cognism, Glasswall, Raisin e do setor público do Reino Unido revelam por que EDR e MDM não detectam o que realmente está acontecendo nas máquinas de desenvolvedores.

Equipes de engenharia e segurança da Omnea, Cognism, Glasswall e do setor público do Reino Unido identificaram independentemente o mesmo ponto cego. É isso que eles estão fazendo a respeito.

Ataque à Cadeia de Suprimentos Visa Pacotes Laravel-Lang com Ladrão de Credenciais

Atacantes injetaram um ladrão de credenciais em mais de 200 versões de populares pacotes Laravel-Lang, entregando um ladrão de credenciais que visa chaves da Cloud, chaves SSH, navegadores, carteiras de criptomoedas e muito mais.

5 alternativas ao Gitleaks e por que são melhores

5 Alternativas ao Gitleaks para uma melhor varredura de segredos em 2026

Procurando uma alternativa ao Gitleaks? Comparamos Betterleaks, TruffleHog, Aikido, GitHub Advanced Security e Spectral para que você possa encontrar o melhor scanner de segredos para sua equipe.

Gitleaks não está mais sendo ativamente desenvolvido, e o cenário de varredura de segredos evoluiu rapidamente. Comparamos as cinco alternativas mais fortes em 2026, incluindo Betterleaks, TruffleHog, Aikido, GitHub Advanced Security e Spectral, para que você possa encontrar a solução ideal para sua stack.

O Velho Oeste das extensões do VS Code e como uma extensão envenenada violou o GitHub

Uma extensão envenenada do VS Code violou o GitHub ontem, um dia depois que o Nx Console (2,2 milhões de instalações) foi comprometido por 18 minutos no Visual Studio Marketplace e atingiu todos os usuários com atualização automática ativada.

GitHub violado via uma extensão maliciosa do VS Code: por que os dispositivos dos desenvolvedores são o verdadeiro alvo

GitHub Violado via Extensão do VS Code | Ataque à Supply Chain de Desenvolvedores 2026

O GitHub confirmou que uma extensão envenenada do VS Code comprometeu um dispositivo de funcionário, expondo 3.800 repositórios internos. Por que as estações de trabalho dos desenvolvedores são agora o principal alvo da supply chain.

Pacote durabletask da Microsoft no PyPi Comprometido. Mini Shai Hulud ataca novamente... novamente!

Três versões progressivamente comprometidas de um pacote Python adjacente à Microsoft entregam um infostealer completo que se espalha por AWS e Kubernetes, exfiltra todas as credenciais Cloud que consegue encontrar, e apaga discos em sistemas israelenses e iranianos.

Mini Shai-Hulud ataca novamente: worm npm compromete centenas de pacotes @antv

Mini Shai-Hulud Ataca Novamente: Worm npm Compromete Centenas de Pacotes @antv

O worm npm Mini Shai-Hulud atingiu os pacotes @antv da Alibaba, echarts-for-react e timeago.js. O payload rouba Secrets de CI/CD, instala backdoors no VS Code e Claude Code, e se espalha republicando pacotes comprometidos. Aqui está o que aconteceu e como proteger sua equipe.

O worm npm Mini Shai-Hulud está de volta com sua maior onda até agora, comprometendo centenas de pacotes em todo o ecossistema de visualização de dados da Alibaba. Nossa equipe de malware está rastreando mais de 2.700 repositórios GitHub maliciosos criados com tokens roubados enquanto o worm continua a se espalhar.

Testes de penetração vs. red teaming: qual a diferença?

Pentest vs. Red Teaming: Qual a Diferença?

Não tem certeza se precisa de um pentest ou de um engajamento de red team? Este guia detalha as principais diferenças, quando usar cada um e como a IA está mudando ambos.

Testes de penetração e red teaming são ambas formas de testar a resiliência da sua segurança, mas não são a mesma coisa. Este artigo detalha como cada um funciona, quando usar um em detrimento do outro e como o pentest de IA está mudando a equação.

Chaves de API do Google continuam funcionando após a exclusão

Chaves de API do Google continuam funcionando após a exclusão por tempo suficiente para serem exploradas

Excluir uma chave de API do Google não a revoga imediatamente. Nossos testes encontraram autenticações bem-sucedidas até 23 minutos após a exclusão, e o Google se recusou a corrigir isso.

A Shadow AI é uma resposta ao medo, e proibi-la piora a situação

Por que os riscos da shadow AI começam com o medo (e proibi-la os piora)

Os funcionários não estão usando ferramentas de IA não aprovadas para causar problemas. Eles têm medo de ficar para trás. Veja por que proibir a shadow AI aumenta seu risco de segurança e o que fazer em vez disso.

A Shadow AI é uma resposta ao medo. Funcionários estão escondendo as ferramentas que usam porque estão lendo corretamente um mercado de trabalho que exige habilidades em IA. Aqui está o porquê proibir piora a situação e o que fazer em vez disso.

Mini Shai-Hulud Está de Volta: Worm de npm Atinge mais de 160 Pacotes, incluindo Mistral e Tanstack

Mini Shai-Hulud está de volta, comprometendo 169 pacotes npm em TanStack, UiPath, Squawk e outros para roubar Secrets de desenvolvedores e de CI/CD, e então se espalhar por meio de workflows de publicação confiáveis.

A lista de verificação completa de segurança do GitHub Actions

Checklist de Segurança para GitHub Actions

As configurações incorretas do GitHub Actions estiveram por trás de alguns dos maiores ataques à Supply chain de 2025 e 2026. Veja o que deu errado e como evitar que aconteçam na sua organização.

Configurações incorretas do GitHub Actions estiveram por trás de alguns dos maiores ataques à Supply chain de 2025 e 2026. Aqui está um checklist prático de como se proteger deles.

Os melhores scanners Top 10 OWASP em 2026 para segurança de aplicações web

Melhores Scanners Top 10 OWASP em 2026 para Segurança de Aplicações Web

A maioria dos scanners não cobre o Top 10 OWASP completo. Analisamos os melhores scanners Top 10 OWASP em 2026 para que você possa escolher um que realmente o mantenha protegido.

A maioria dos scanners OWASP não cobre o Top 10 completo. Este guia detalha as principais ferramentas em 2026, o que cada uma realmente cobre e qual scanner oferece cobertura completa sem o ruído.

Implementando segurança para desenvolvedores em uma organização com mais de 5.000 engenheiros

Segurança para Desenvolvedores em Escala: Um Guia de Implementação para CISOs

A maioria das implementações de segurança para desenvolvedores falha porque são projetadas como implantações de software, e não como mudanças culturais. Um guia prático para CISOs corporativos.

A maioria das implementações de segurança para desenvolvedores falha porque são projetadas como implantações de software, e não como mudanças culturais. Aqui está o modelo faseado que CISOs experientes adotam para corrigir isso.

Metamorfose da segurança: um checklist de arquitetura Mythos-ready para ataques de IA autônomos

A AppSec estagnou diante da complexidade moderna. O Projeto Glasswing e a era Mythos exigem uma disciplina de segurança que opere na velocidade das ameaças que enfrenta.

Por que as extensões de navegador são um grande risco de segurança e o que você pode fazer a respeito

Extensões de navegador apresentam muitos riscos de segurança, mais do que gostaríamos de admitir. Discutimos a extensão total da ameaça e o que indivíduos e organizações podem fazer a respeito.

Os melhores scanners de CVE em 2026 para identificar vulnerabilidades conhecidas

Os Melhores Scanners de CVE em 2026: Comparados por Cobertura, Inteligência e Correção Automática

Avaliamos os principais scanners de CVE em 2026 quanto à amplitude de cobertura, fontes de inteligência, relação sinal-ruído e capacidade de correção automática. Veja como eles se comparam e qual é o ideal para sua stack.

Nem todos os scanners de CVE são construídos da mesma forma. Comparamos as principais opções em 2026 quanto à amplitude de cobertura, fontes de inteligência, relação sinal-ruído e capacidade de correção automática, para que você possa encontrar a solução ideal para sua stack.

Malware encontrado nas versões populares 2.6.2 e 2.6.3 do PyTorch Lightning, roubando credenciais, carteiras de criptomoedas e configurações de VPN como parte da campanha Mini Shai-Hulud.

Um checklist de segurança prático para CTOs estarem prontos para Mythos

Checklist Pronta para Mythos

Uma lista de verificação prática para CTOs de SaaS navegando em um mundo com Mythos e ameaças de IA agentic. Construída em torno da vantagem do defensor: você tem o contexto que os invasores precisam se esforçar para obter. Abrange os controles, práticas e hábitos operacionais que determinam se sua equipe encontra e corrige problemas antes que outra pessoa o faça.

Alguém publicou quatro versões de um pacote falso "tanstack" em 27 minutos para roubar seus arquivos .env

Quatro versões publicadas de um pacote falso "tanstack" foram carregadas em 27 minutos e querem roubar seus arquivos .env

Um pacote npm falso "tanstack" publicou quatro versões maliciosas em 27 minutos hoje, exfiltrando arquivos .env via um hook de postinstall. Veja o que aconteceu, quem foi afetado e como rotacionar suas credenciais.

Aikido se integra com AWS Kiro: Detectar em revisão não escala mais

Aikido x Kiro | Detectar em revisão não escala mais

Agentes de IA escrevendo seu código. Aikido se integra diretamente ao fluxo de trabalho agentivo do AWS Kiro para manter a segurança no ciclo, automaticamente, desde a primeira linha. Aikido é o primeiro parceiro global de segurança da AWS para Kiro.

Mini Shai-Hulud Visa Pacotes npm da SAP Com um Secret Stealer Baseado em Bun

Pacotes npm da SAP comprometidos usam um payload de pré-instalação baseado em Bun para roubar Secrets do GitHub, npm, Cloud e CI, e depois se espalham via GitHub usando OhNoWhatsGoingOnWithGitHub.

É hora de tratar as extensões de navegador como vetores de ataque à supply chain

É hora de tratar as extensões de navegador como vetores de ataque à supply chain | Lições aprendidas com a violação da Vercel

A violação da Vercel seguiu um padrão bem conhecido na indústria de segurança, onde o código de terceiros é implicitamente confiado e, em seguida, comprometido a montante. Temos uma estrutura para isso. Apenas não a aplicamos ainda às extensões de navegador. (Spoiler: Fazemos isso para dependências de software)

Shai-Hulud Está de Volta? CLI do Bitwarden Comprometida Contém um Verme npm Autopropagável

Malware encontrado em @bitwarden/cli v2026.4.0 rouba chaves SSH, Secrets da Cloud e credenciais de ferramentas de codificação de IA, e então se espalha através dos próprios pacotes npm das vítimas. Dentro: um verme que se autodenomina "Shai-Hulud: The Third Coming."

Backdoor GPT-Proxy em npm e PyPI transforma Servidores em Relés LLM Chineses

Uma campanha de malware recém-descoberta em npm e PyPI instala proxies LLM ocultos em servidores comprometidos, transformando-os em nós de retransmissão para tráfego LLM.

Roundcube XSS encadeado com cookie tossing para acesso total à caixa de entrada

Encontramos um XSS armazenado no endpoint de anexo de rascunho do Roundcube que, encadeado com uma técnica de cookie tossing, dá a um invasor acesso total à caixa de entrada de uma vítima. Veja como a cadeia de exploração funciona e como foi corrigida

Apresentando Device Protection: Segurança para Dispositivos de Desenvolvedores

Aikido Device Protection: Segurança para Dispositivos de Desenvolvedores | Aikido

Ataques à Supply chain visam os dispositivos dos desenvolvedores. O Aikido Device Protection monitora cada instalação em npm, PyPI, extensões do VS Code, extensões de navegador e ferramentas de IA.

Múltiplas Vulnerabilidades de cross-site scripting em Mailcow

Múltiplas Vulnerabilidades XSS Encontradas em Mailcow, Incluindo Aquisição de Conta Não Autenticada

O agente de pentest de IA da Aikido encontrou três vulnerabilidades XSS em Mailcow, uma das quais permitiu que atacantes não autenticados assumissem contas de administrador. Todos os problemas foram corrigidos a partir da versão 2026-03b.

Os agentes de pentest de IA do Aikido encontraram três vulnerabilidades XSS no Mailcow, um servidor de e-mail auto-hospedado amplamente utilizado. A mais grave permitia que atacantes não autenticados injetassem um payload nos logs do Autodiscover que seria executado quando um administrador os visualizasse, possibilitando a tomada total da conta. Todas as três foram corrigidas desde a versão 2026-03b.

Fontes CVE confiáveis na era dos cortes da NIST NVD

Mudanças na NIST NVD 2026: o que as equipes de segurança precisam saber

A NIST não irá mais enriquecer a maioria dos CVEs. Veja o que muda, o que quebra e o que vem a seguir.

Um ano de Opengrep: O que construímos e o que vem a seguir

Opengrep SAST Após Um Ano: Análise Estática Mais Rápida e Determinística

Um ano após o fork do Semgrep, o Opengrep está mais rápido, suporta análise de taint mais profunda e produz resultados consistentes e reproduzíveis.

Um ano após o fork do Semgrep, o Opengrep é mais rápido, mais capaz e totalmente aberto. Aqui está o que construímos e o que vem a seguir.

Axios CVE-2026-40175: um bug crítico que… não é explorável

Axios CVE-2026-40175 é classificado como crítico, mas em ambientes Node.js reais não é praticamente explorável. Veja o porquê.

Bug bounty não está morto, mas o modelo antigo está em colapso

O bug bounty está chegando a um ponto de ruptura à medida que a IA sobrecarrega os programas, impulsionando uma mudança para modelos de segurança mais sustentáveis e focados na qualidade.

Técnico

GlassWorm se torna nativo: Novo dropper Zig infecta todas as IDEs em sua máquina

GlassWorm implanta um dropper nativo baseado em Zig, escondido em uma extensão falsa, comprometendo silenciosamente VS Code, Cursor, VSCodium e outras IDEs.

Aikido Attack encontra múltiplos 0-days no Hoppscotch

Aikido Attack Encontra 0-Days no Hoppscotch

Os agentes de pentest de IA da Aikido descobriram múltiplas vulnerabilidades de alta severidade no Hoppscotch, incluindo account takeover, XSS armazenado e falhas de controle de acesso. Todos os problemas foram corrigidos.

Aikido Attack identificou três vulnerabilidades de alta gravidade no Hoppscotch: um redirecionamento aberto levando à tomada de conta, XSS armazenado e um problema de controle de acesso quebrado permitindo a injeção de requisições entre equipes.

O alarmismo de cibersegurança em torno do Mythos não corresponde ao que vemos na prática

Riscos de Cibersegurança do Anthropic Mythos: O Que 1.000 Pentests de IA Realmente Revelam

O modelo Mythos vazado da Anthropic desencadeou pânico sobre ciberataques impulsionados por IA. Realizamos 1.000 testes de penetração de IA. Os resultados sugerem que a ameaça é mais nuançada do que as manchetes afirmam.

axios comprometido no npm: conta do mantenedor sequestrada, RAT implantado

Versões maliciosas do axios 1.14.1 e 0.30.4 foram publicadas através de uma conta de mantenedor sequestrada. Uma dependência oculta implanta um RAT multiplataforma. Verifique se você foi afetado e corrija agora.

O Axios foi comprometido. Versões maliciosas do axios 1.14.1 e 0.30.4 foram publicadas no npm após o sequestro da conta do mantenedor principal. A dependência injetada implanta um RAT multiplataforma que se autodestrói após a execução.

Aikido × Lovable: Vibe, Fix, Ship

Lovable Faz Parceria com Aikido para Trazer Pentest para Aplicativos Vibe-Coded

Lovable e Aikido trazem o pentest para a plataforma, permitindo que desenvolvedores simulem ataques do mundo real e corrijam problemas antes do lançamento.

Aikido traz o pentest diretamente para Lovable. Teste seu aplicativo simulando ataques reais e corrija problemas antes de lançar.

CanisterWorm Ganha Dentes: Wiper de Kubernetes do TeamPCP Ataca o Irã

TeamPCP implanta CanisterWorm no NPM após o comprometimento do Trivy

Aikido Reconhecido pela Frost & Sullivan com o Prêmio de Liderança em Valor ao Cliente 2026 em ASPM

A Frost & Sullivan reconheceu a Aikido com o Prêmio de Liderança em Valor ao Cliente 2026 em ASPM. Analisamos o que os critérios de reconhecimento revelam sobre a maturidade do mercado de AppSec

Obrigado! Seu envio foi recebido!

Ops! Algo deu errado ao enviar o formulário.

10 de outubro de 2024

•

Histórias de Clientes

Segurança em FinTech: P&R com Dan Kindler, cofundador e CTO da Bound

Tags/

#caso de uso

#fintech

11 de setembro de 2024

•

Atualizações de Produto e da Empresa

Automatize a conformidade com SprintoGRC x Aikido

Automatize a conformidade com Aikido e SprintoGRC. Configure a integração hoje para colocar o gerenciamento de vulnerabilidades técnico no piloto automático.

Tags/

#Compliance

#SOC 2

10 de setembro de 2024

•

Guias e Melhores Práticas

Revisão de Código Manual vs. Automatizada: Quando Usar Cada Uma

Tags/

#AppSec

#Qualidade do Código

2 de setembro de 2024

•

Guias e Melhores Práticas

SAST vs DAST: O que você precisa saber em 2026

O que você precisa saber sobre SAST vs DAST.

Tags/

#SAST

#DAST

8 de julho de 2024

•

Atualizações de Produto e da Empresa

Por que estamos entusiasmados em fazer parceria com Laravel

TL;DR Laravel ajuda desenvolvedores PHP a criar seus melhores trabalhos, agora o Aikido ajuda a protegê-los. Leia tudo sobre como se tornar o provedor de AppSec preferencial do Laravel.

Tags/

#AppSec

27 de junho de 2024

•

Vulnerabilidades e Ameaças

110.000 sites afetados pelo ataque à cadeia de suprimentos Polyfill

Um ataque crítico à cadeia de suprimentos comprometeu mais de 110.000 sites via cdn.polyfill.io — remova-o imediatamente para proteger os dados do usuário e a integridade do aplicativo.

Tags/

#Vulnerabilidades

25 de junho de 2024

•

Guias e Melhores Práticas

Fundamentos de Cibersegurança para Empresas LegalTech

Empresas LegalTech lidam com grandes volumes de dados sensíveis de clientes, tornando frameworks robustos de cibersegurança essenciais. Especialistas da Aikido Security, Amberlo e Henchman enfatizam a necessidade de práticas de codificação seguras, conformidade com padrões da indústria como ISO 27001 e SOC 2, e monitoramento contínuo através de métodos inovadores como programas de bug bounty. À medida que as ameaças cibernéticas evoluem, as estratégias para proteger dados jurídicos valiosos também devem evoluir.

Tags/

#DevSecOps

#Legaltech

18 de junho de 2024

•

Atualizações de Produto e da Empresa

Integração Drata - Como Automatizar o gerenciamento de vulnerabilidades Técnicas

Como se tornar compatível sem impor uma carga de trabalho pesada à sua equipe de desenvolvimento: A integração Aikido e Drata automatiza o gerenciamento de vulnerabilidades técnico. Você estará mais bem preparado para SOC 2 e ISO 27001:2022, enquanto reduz falsos positivos e economiza tempo e dinheiro.

Tags/

#AppSec

#Vulnerabilidades

11 de junho de 2024

•

Guias e Melhores Práticas

Guia DIY: ‘Build vs buy’ seu kit de ferramentas de varredura de código OSS e segurança de aplicativos

Sim, você pode melhorar a postura de segurança do seu aplicativo remendando código open-source e ferramentas de varredura de Container — se você conseguir gerenciar a infraestrutura.

Tags/

#Vulnerabilidades

#open-source

#AppSec

4 de junho de 2024

•

Conformidade

Certificação SOC 2: 5 lições que aprendemos

O que aprendemos sobre SOC 2 durante nossa auditoria. ISO 27001 vs. SOC 2, por que o Tipo 2 faz sentido e como a certificação SOC 2 é essencial para clientes dos EUA.

Tags/

#Compliance

#SOC 2

28 de maio de 2024

•

Guias e Melhores Práticas

Acabamos de levantar nossa rodada Série A de 17 milhões de dólares

Arrecadamos US$ 17 milhões para levar segurança “sem enrolação” aos desenvolvedores. Temos o prazer de dar as boas-vindas a Henri Tilloy da Singular.vc, que se junta novamente à Notion Capital e à Connect Ventures. Esta rodada ocorre apenas 6 meses depois de termos levantado US$ 5,3 milhões em financiamento seed. Isso é rápido.

Tags/

#AppSec

#DevSecOps

14 de julho de 2026

•

Atualizações de Produto e da Empresa

Como Aikido deteta malware e vulnerabilidades em primeira instância

inteligência

Aikido Device Protection

SCA

30 de junho de 2026

•

Atualizações de Produto e da Empresa

Aikido a Root para garantir a segurança da cadeia de abastecimento

Varredura de Container

12 de maio de 2026

•

Atualizações de Produto e da Empresa

Um ano de Opengrep: O que construímos e o que vem a seguir

Um ano após o fork do Semgrep, o Opengrep está mais rápido, suporta análise de taint mais profunda e produz resultados consistentes e reproduzíveis.

SAST

open source

31 de julho de 2026

•

Vulnerabilidades e Ameaças

O «Fever Dream» da Anthropic: o pacote do Claude que roubou chaves reais

A Anthropic revelou a existência de um agente que introduziu malware real no PyPI. Pensamos ter encontrado o pacote, e todos os erros nele contidos apontam para a IA.

Segurança de IA

Malware

19 de julho de 2026

•

Vulnerabilidades e Ameaças

SleeperGem: Ataque à cadeia de abastecimento do RubyGems tem como alvo contas de mantenedores inativas

SleeperGem: duas contas inativas de mantenedores do RubyGems foram pirateadas para introduzir malware em gems de confiança, uma delas com mais de 500 000 downloads no total

Malware

14 de julho de 2026

•

Vulnerabilidades e Ameaças

Pacotes npm do AsyncAPI foram infetados com backdoors através do GitHub Actions

Cinco versões do pacote, incluindo versões com cerca de 2 milhões de downloads semanais, distribuíram um dropper ofuscado em 14 de julho de 2026. Eis o que confirmámos até ao momento.

Malware

12 de junho de 2026

•

Ferramentas DevSec e Comparações

5 alternativas de segurança ao Socket e por que são melhores

Aikido Zen

Malware

open source

19 de agosto de 2025

•

Ferramentas DevSec e Comparações

As 13 melhores Ferramentas de Testes Dinâmicos de Segurança de Aplicações (DAST) em 2026

Descubra as 13 melhores ferramentas Testes Dinâmicos de Segurança de Aplicações (ou Testes de Segurança em Tempo de Execução) DAST) em 2026. Compare funcionalidades, vantagens, desvantagens e integrações para escolher a DAST mais adequada.

Ferramentas

DAST

18 de julho de 2025

•

Ferramentas DevSec e Comparações

As 14 Melhores Ferramentas de Container Scanning em 2026

Descubra as 14 melhores ferramentas de Container Scanning em 2026. Compare recursos, prós, contras e integrações para escolher a solução certa para seu pipeline de DevSecOps.

Ferramentas

Varredura de Container