Nesta página
- O ponto de controlo mudou. Quase ninguém reparou.
- O que acabou de sair
- Quatro camadas de governação, uma só instalação
- Uma passagem concreta
- Cinco agentes, detetados automaticamente
- O passo a passo: do registo a um prompt governado
- Privacidade: nada do seu código atravessa a rede
- Preço: incluído em todos os planos, plano gratuito incluído
- O que isto muda
O seu agente de código de IA entrega mais código num dia do que os seus revisores lerão num mês. Acabámos de lançar a ferramenta que dá a esse agente as suas regras de negócio, os seus frameworks de segurança e a sua lista de ações de paragem absoluta. Instalada em 5 segundos.
@cybedefend/[email protected] aterrou no npm ontem. É uma única linha npx que deteta automaticamente cada agente de código no seu portátil e liga-os à camada de governação CybeDefend. Sem yaml. Sem deploy. Sem contentor a construir. Sem endpoint SaaS para colocar na lista de permitidos. Corra-a, escolha a sua região, escolha os seus agentes, e o seu próximo prompt já está governado.
Este post explica o que o pacote faz, porque é que sai agora, e como passar de npm a um prompt protegido em menos de sessenta segundos.
O ponto de controlo mudou. Quase ninguém reparou.
Durante quinze anos, a AppSec viveu dentro da pull request. O SAST analisava o diff. O SCA verificava as dependências. O revisor lia a alteração. Três camadas, todas alinhadas no mesmo artefacto: a PR.
Esse modelo assume uma coisa essencial: que um humano lê o diff antes de ele fazer merge. Funciona à cadência humana. Não funciona à cadência do agente.
Quando a sessão de Claude Code de um único programador entrega 2000 linhas de código numa tarde, o ciclo de PR review fratura-se. Algumas equipas fazem merge sem mais. Outras juntam a saída do agente numa PR gigante que nenhum humano lê de facto de ponta a ponta. De qualquer forma, o diff deixou de ser um ponto de controlo. É agora uma transcrição.
O novo ponto de controlo é o próprio prompt. Quaisquer regras que queira impor, tem de as pôr nas mãos do agente antes de ele escrever a linha ofensiva, não depois, num scanner que chega quando o código já está em disco e o agente já avançou.
É essa toda a tese por detrás do VibeDefend, e é o que saiu ontem.
O que acabou de sair
O VibeDefend é uma CLI Node distribuída como @cybedefend/vibedefend no npm. Faz uma coisa: instala a ponte entre o seu agente de código e o backend de governação da CybeDefend. Essa ponte tem quatro camadas: regras de negócio extraídas do seu repositório, regras de segurança vindas dos frameworks de conformidade canónicos, action guards que bloqueiam chamadas perigosas antes de dispararem, e live findings que alimentam cada resultado de scanner para o agente.
O instalador cabe numa linha.
npx -y @cybedefend/vibedefend@latest install
É essa toda a interface. O instalador é interativo: deteta automaticamente qual dos Claude Code, Cursor, OpenAI Codex, Windsurf e VS Code Copilot vive na sua máquina, pergunta a sua região (EU ou US), e escreve a ligação MCP, os hooks de regras e os ficheiros de doutrina nos sítios certos.
O Node 18.17 é o único requisito. A maioria dos leitores já o tem porque o Claude Code, o Cursor e o Codex trazem um Node embutido de qualquer forma. Funciona em macOS, Linux e Windows; bash, zsh, fish, PowerShell, cmd e Git Bash comportam-se todos da mesma maneira.
Quatro camadas de governação, uma só instalação
Assim que o VibeDefend está ligado, quatro camadas independentes começam a vigiar o agente. Cada camada trata de uma superfície de ameaça diferente, e cada uma fala uma forma de regra diferente.
Business Rules
As convenções no seu repositório que são reais mas nunca foram escritas. Usar Decimal128 para dinheiro. Nunca expor um registo com soft delete. A autorização passa por requireOwner, não por verificações cruas de pertença. O VibeDefend extrai-as da forma como a sua equipa já programa, propõe-nas como regras explícitas, e o autopilot continua a extrair à medida que entrega. Cada regra aceite aterra no contexto do agente antes da edição seguinte.
Security Rules
OWASP Top 10, SOC 2, RGPD, ISO 27001: os playbooks que os seus auditores já esperam, carregados no dia em que instala. Acrescente as suas próprias regras à medida por cima. O agente lê cada lembrete aplicável antes de cada edição, de modo que o requisito do framework se torna parte da escrita em vez de uma caixa a marcar no momento da auditoria.
Action Guard
sudo rm -rf, leituras cruas de process.env sobre chaves com forma de segredo, instruções psql ad-hoc contra hosts com aspeto de produção. O Action Guard interceta a chamada do agente antes de disparar. Alterne avisar ou bloquear por regra, acrescente os seus próprios padrões proibidos, cada interceção aterra no registo de auditoria.
Live Findings
Cada resultado dos scanners da CybeDefend, SAST com alcançabilidade, SCA, segredos, IaC e CI/CD, está ao vivo no contexto do agente. Assim o agente não só escreve código seguro, como tria e corrige as vulnerabilidades que já tem, cada correção um diff que aprova.
O objetivo de as separar é que falham de formas diferentes. Uma business rule que escapa é um bug de qualidade: o seu código afasta-se da convenção, o modelo mental da sua equipa torna-se mais difícil de partilhar. Uma security rule que escapa é um bug de conformidade: entrega algo que falha um controlo SOC 2. Uma falha do Action Guard é um bug de agora: o agente acabou de correr algo destrutivo na máquina a que tinha acesso. O VibeDefend trata das quatro a partir da mesma instalação.
Uma passagem concreta
Três minutos depois da instalação, a sua sessão de Claude Code parece-se com algo assim.
Pede ao agente que adicione uma funcionalidade de código de desconto ao checkout. O agente edita cart-checkout.ts. Antes de a edição aterrar, o VibeDefend empurra a regra extraída no-raw-amount-math de src/billing.ts:14 para o contexto: "Os valores monetários TÊM de usar Decimal128, nunca Number." O agente aplica-a logo na primeira escrita (total = new Decimal128(cart.sum)) sem que tenha de dizer uma palavra.
Um minuto depois pede-lhe que filtre a user-search por email. O agente começa a escrever db.query("SELECT * FROM users WHERE email = '" + email + "'"). O VibeDefend corresponde a owasp-a03-injection (severidade: alta) antes de a linha estar terminada e o agente reescreve com uma query parametrizada. Mais uma vez, não disse nada.
Mais tarde, enquanto depura um problema de ambiente, o agente propõe com confiança sudo rm -rf /etc/old-config. O Action Guard bloqueia-o com no-destructive-sudo (severidade crítica, ligado por omissão, não pode ser desativado) e o evento aterra no seu registo de auditoria CybeDefend com um timestamp e um motivo. O agente recebe uma recusa amigável; você recebe uma entrada de log; nada quebra.
Nenhum destes momentos foi policiado por um scanner a ler o diff já feito merge. Os três foram policiados no prompt, por uma ferramenta que já tinha a regra certa em mãos.
Cinco agentes, detetados automaticamente
O instalador cobre os cinco agentes de código que detêm a maior parte do mercado em atividade em 2026: Claude Code, Cursor, OpenAI Codex, Windsurf e VS Code Copilot. Deteta quais estão instalados na sua máquina e só liga aqueles que deixar marcados. Volte a correr o instalador a qualquer momento para ativar ou desativar um agente; é idempotente.
Os cinco agentes não expõem a mesma superfície de hooks, por isso a cobertura de cada camada difere um pouco. O Claude Code, o Cursor e o Codex têm a integração mais profunda. O Windsurf suporta os guards do lado da escrita mais um fallback inteligente para ferramentas que não são de escrita. O VS Code Copilot traz o MCP e as camadas de regras; os Action Guards estão ainda pendentes do lado do GitHub. Voltar a correr o instalador puxa qualquer agente que exponha novas superfícies de hooks entre releases.
O passo a passo: do registo a um prompt governado
O caminho credível mais rápido de "vi um tweet sobre isto" a "o meu agente está governado" demora cerca de sessenta segundos.
O dashboard vive em eu.cybedefend.com ou us.cybedefend.com consoante a sua região; escolhe ao registar-se. O plano gratuito existe, sem cartão necessário, e inclui tudo o que precisa para experimentar as quatro camadas de ponta a ponta. O UUID está na página do projeto assim que cria um. O .cybedefend/config.json é um ficheiro JSON de uma linha que coloca na raiz de cada repositório que quer monitorizar:
{ "projectId": "<your-cybedefend-project-uuid>" }
É esse todo o onboarding. Sem SDK a vender, sem imagem Docker a manter, sem DSL de política a aprender. O agente apanha a ligação no próximo arranque de sessão.
Privacidade: nada do seu código atravessa a rede
O VibeDefend vive no seu portátil, ao lado do seu agente. As decisões (se uma regra dispara, se uma ação é bloqueada, se um padrão extraído vale a pena propor) acontecem localmente. Apenas metadados de governação estruturados chegam ao backend da CybeDefend: o nome da regra que disparou, o caminho do ficheiro a que apontou, a severidade, um timestamp, o agente que chamou.
Nenhum código-fonte atravessa a rede. Nenhum conteúdo de prompt atravessa a rede. As regras de negócio extraídas são produzidas localmente e enviadas para a plataforma como enunciados em linguagem natural de uma linha acompanhados de uma referência de ficheiro; o corpo do ficheiro nunca é transmitido. O registo de auditoria vê a regra, nunca a linha de código que correspondeu.
Os tenants da EU e dos US são fisicamente separados. Escolha a região na instalação; o registo de auditoria fica no tenant que corresponde. Sem replicação, sem caminho entre regiões. Se precisar de ambos, cria dois projetos.
Preço: incluído em todos os planos, plano gratuito incluído
O VibeDefend está incluído em todos os planos CybeDefend, plano gratuito incluído. O pacote npm é gratuito, licenciado BUSL-1.1, e converte-se em Apache-2.0 a 2030-05-25. Os planos pagos do lado da plataforma desbloqueiam a retenção histórica do registo de auditoria, a gestão de regras multi-equipa e os dashboards ao nível da organização.
A intenção é simples: a fricção para pôr governação dentro do agente deve ser zero. A fricção para a escalar por uma organização é onde a relação comercial começa.
O que isto muda
Durante dez anos a AppSec vendeu scanners que chegavam depois de o código estar escrito. Isso fazia sentido quando os humanos escreviam o código, porque os humanos costumam abrandar antes de fazer merge. Esse modelo está agora uma ordem de grandeza atrás do fluxo de trabalho. O agente entrega mais depressa do que o ciclo do scanner, o revisor lê menos do que o agente produz, o diff já não é a barreira que era.
O ponto de controlo mudou para o prompt. A pergunta para cada equipa em 2026 é se a sua stack de AppSec mudou com ele, ou se ainda estão a financiar ferramentas que policiam uma fase do pipeline que já não importa tanto.
O VibeDefend é a resposta que acabámos de lançar. Não é a única possível, e não será a última forma que a categoria toma. Mas é a primeira coisa que vimos que se instala em 5 segundos, que corre no seu portátil, que fala cada agente de código importante, e que lhe dá as quatro camadas de governação de uma só vez. É essa a fasquia a partir de agora.
O pacote completo está em npmjs.com/package/@cybedefend/vibedefend. O README e a matriz de suporte vivem no GitHub. A página do produto está em cybedefend.com/vibedefend. A plataforma está em eu.cybedefend.com e us.cybedefend.com.
Entregue uma funcionalidade esta tarde. Veja as suas regras de negócio aterrar no contexto do agente. Diga-nos o que nos escapou.
