Triagem de vulnerabilidades, caminho a caminho. 24/7.
Cada alerta lido como um caminho no teu código, e resolvido.
shop-apiCybe AnalysisProjeto de demonstração
CríticaManipulação do preço do carrinhoCWE-472
Regra de negócio: os preços vêm do catálogo, nunca do cliente.
- POST /checkoutroutes/checkout.ts:18Ponto de entrada. O carrinho chega do browser, com os preços incluídos.
- total = sum(items.map((i) => i.price))checkout.service.ts:57Falha. O total é calculado com os preços que o cliente enviou.
- payments.charge(total)payments/stripe.ts:104Sink. O cartão é debitado desse total.
ExplorávelPrioridade 92Responsável: equipa de pagamentos
Lê a tua aplicação como um grafo.
Uma falha é um caminho no teu código. A correção também.
O teu código como grafo
Escreve o veredicto de um analista sénior.
Uma triagem real, sem edição.
90%
dos alertas irrelevantes descartados durante a própria análise, antes de alguém os ler.
Valor da CybeDefend
Cybe Analysisvulpy2026-01-13 18:57- Verdict
- False positive
- Summary
- The reported SQL injection is a false positive: the code is part of a controlled initialization script with hardcoded, trusted values.
- Data flow
db_init_usersgood/db_init.py:22user_creategood/libuser.py:61- Reachability
- Not reachable from untrusted input
Começa por um repositório.
Liga o GitHub, o GitLab, o Bitbucket ou o Azure DevOps, escolhe um repositório e a primeira análise arranca.
Em detalhe
O veredicto completo
O Cybe Analysis lê o teu código como um grafo, descarta os alertas que não importam e dá um veredicto sobre os restantes.
Cada função, cada sink e cada regra de negócio torna-se um nó. Uma falha é um caminho nesse grafo, e a correção também.
Uma sessão de triagem real, 12 segundos, sem cortes: o fluxo de dados, as provas, a reachability, a decisão.
Cybe Analysisvulpy2026-01-13 18:57- Verdict
- False positive
- Summary
- The reported SQL injection is a false positive: the code is part of a controlled initialization script with hardcoded, trusted values.
- Data flow
db_init_usersgood/db_init.py:22user_creategood/libuser.py:61- Evidence
user_createinserts a new user with predefined, trusted values.- The code is only reachable during database initialization, not from external or untrusted input.
- Sanitizers
- No sanitizers are present.
- Reachability
- Not reachable from untrusted input
- Remediation
- None required: the code is not exploitable in its current context.
- Assigned priority
- Low
O teu código fica na tua região.
Modelos alojados por nós, e nada sai da região.
Onde vive o teu códigoEUUS
- Análise normalClonado num contentor isolado, destruído quando a análise termina.
- Cybe Analysis e o Security ChampionGuardam uma cópia do código, o histórico git e um grafo de conhecimento na tua região, apagados quando pedires.
- ModelosModelos open-weight alojados por nós na tua região: Scaleway na UE, Google Cloud nos EUA.
- IA de terceirosNem o código nem os prompts são enviados para uma API de IA de terceiros.
Em conformidade com o RGPD. Auditoria SOC 2 Type II em curso.
Cybe Analysis, em detalhe.
Como é que o Cybe Analysis difere de um scanner SAST tradicional?
Uma ferramenta SAST tradicional assinala cada correspondência de padrão que encontra e deixa aos programadores a tarefa de filtrar os 90% de falsos positivos. O Cybe Analysis constrói um grafo de conhecimento da tua aplicação (chamadas de funções, fluxo de taint, gates de framework) e só mostra as descobertas alcançáveis, exploráveis e relevantes no teu contexto de negócio. Os 90% de ruído são descartados durante o próprio scan, não depois.
Onde fica o meu código? É enviado algo para uma API externa?
O Cybe Analysis corre na nossa infraestrutura de IA self-hosted (região UE ou EUA, isolada). Não chama nenhuma API de LLM externa (nem OpenAI, nem Anthropic, nem outras). O teu código, as vulnerabilidades e as análises ficam na região que escolhes ao registar-te. Para responder a partir do teu código, o Cybe Analysis guarda uma cópia e o histórico git nessa região, apagados quando pedires. Uma análise normal corre num contentor que é destruído quando termina.
O que significa de facto 'ao nível de analista sénior'?
Cada descoberta vem com uma pontuação de risco (explorabilidade + reachability + raio de impacto + impacto de negócio), uma estimativa da complexidade de remediação, um responsável recomendado e uma justificação escrita que um engenheiro júnior consegue seguir sem escalar. É esse o resultado que comparamos com o trabalho de um engenheiro AppSec sénior.
O Cybe Analysis substitui as minhas ferramentas SAST / SCA existentes?
O Cybe Analysis trabalha sobre o que os scanners da CybeDefend encontram: o CybeDefend Engine corre motores open source como Opengrep, Gitleaks, Checkov e Trivy com as suas próprias regras, para SAST, SCA, IaC, contentores e segredos. O Cybe Analysis acrescenta aos resultados uma camada de reachability e contexto de negócio: o valor está nessa análise, não no scan em bruto. As equipas que adotam o VibeDefend costumam substituir por completo o SAST/SCA legado, e ficas com uma única fonte de verdade, um único grafo de deduplicação e ~90% menos falsos positivos.
Quanto tempo demora a análise?
Um scan de diff demora, em mediana, alguns segundos, e o primeiro scan de um repositório completo, normalmente alguns minutos. As execuções seguintes só reanalisam os caminhos de código alterados, por isso o custo em regime estável depende do teu ritmo de commits, não do tamanho do repositório.
Em que ponto está o Cybe Analysis quanto a SOC 2 e RGPD?
Já cumprimos o RGPD. A auditoria SOC 2 Type II está em curso e esperamos o relatório em breve. Partilhamos a atestação sob NDA no próprio dia em que for emitida. A residência de dados é estrita nos dois casos: os clientes da UE ficam na região UE, os dos EUA na região EUA, e as descobertas nunca saem da sua região. Há implementações self-hosted para ambientes altamente regulados.
O que é o Security Code Knowledge Graph?
O Security Code Knowledge Graph é a representação unificada da tua base de código que a CybeDefend constrói: um grafo de propriedades que se pode consultar. Cada ficheiro de código, função, fluxo de dados, dependência, recurso de infraestrutura e referência a um segredo torna-se um nó; as relações entre eles (chamadas, fluxos de taint, imports, caminhos de exploração) tornam-se arestas tipadas. Quando um scan corre, consultamos este grafo em vez de procurar padrões no texto em bruto, e é por isso que apanhamos caminhos de taint entre vários ficheiros, falhas de lógica de negócio entre serviços e CVE alcançáveis que o SAST de ficheiro único ignora por completo. O grafo é calculado uma vez por repositório e atualizado de forma incremental a cada diff do agente, com um P95 de consulta abaixo de 1,2 segundos em repositórios de 100k LOC. Serve também para deduplicar as descobertas de SAST, SCA, IaC, contentores e segredos: um grafo, uma fonte de verdade, zero alertas duplicados para a mesma falha de fundo.