Webinar em inglêsWebinar com Jason Lee, quarta, 14/10Your newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkInscreva-se

Fala com o teu repo. Lança a versão segura.

Faz uma pergunta de segurança no teu IDE; responde o teu próprio código.

Experimentar o CloudMarcar uma demo guiada de 30 min
  • Claude Code
  • Cursor
  • Windsurf
  • Visual Studio Code
  • JetBrains
  • GitHub Copilot
  • OpenAI Codex
  • GitHub
Cybe Championstorefront main

tu: Qual é a falha mais arriscada em /api/auth neste momento?

AltoO refresh token fica guardado no localStorage
Apenas descobertas alcançáveis

Três perguntas, respondidas no teu código.

api/login.tsCybe Champion
  res.cookie("sid", session.rotate(user));  res.json({ refresh: token.issue(user) });

Cybe ChampionCWE-352A01

  • Sessão: renova o SID no login. Sólido.
  • CSRF: sem double-submit no POST /api/login.
  • Refresh token guardado no localStorage da SPA.

Começa por um repositório.

Liga o GitHub, o GitLab, o Bitbucket ou o Azure DevOps, escolhe um repositório e a primeira análise arranca.

Experimentar o CloudMarcar uma demo guiada de 30 min

Em detalhe

As tuas regras, extraídas do teu próprio código.

Redige as regras que o teu código já segue. Tu aprovas.

  1. 01Lê o teu código.
  2. 02Redige as regras.
  3. 03Tu aceitas, editas ou rejeitas.
Regras tiradas do teu códigostorefront
  • 01 Multi-tenancyEvery query on db.orders filters by tenantIdAceite42 of 43 occurrences, 16 files, confidence 94%src/handlers/export.ts:17não cumpre
  • 02 Authorisation ceilingRefunds over €300 require the role finance.managerEditada7 of 8 occurrences, 4 files, confidence 87%src/handlers/refund.ts:22não cumpre
  • 03 Audit loggingEvery payment mutation writes audit.log(actor, amount)À espera de revisão31 of 34 occurrences, 11 files, confidence 91%src/handlers/payouts.ts:54não cumpre
As três respostas completas

Faz uma pergunta de segurança no teu IDE e a resposta vem do teu próprio código, com a linha e a correção.

Pergunta e vê o que o Champion faz com isso.

Cybe Championstorefront main

tu: Quais são os 3 maiores riscos em /api/auth este mês?

Pesquisa no grafo de conhecimento/api/auth

Três riscos alcançáveis, do mais grave ao menos grave.

AltoO refresh token fica guardado no localStorageapi/login.ts:15CWE-922alcançável via POST /api/login
MédioSem verificação CSRF no formulário de loginapi/login.ts:12CWE-352alcançável via POST /api/login
BaixoA recuperação da palavra-passe revela que e-mails existemapi/auth/reset.ts:19CWE-204alcançável via POST /api/auth/reset

Ver o patchapi/login.ts

Apenas descobertas alcançáveis

  • Este handler de login é seguro?

    Lê o grafo, não o diff. A sessão é renovada, falta a verificação CSRF e o refresh token vai parar ao localStorage. Aponta para a linha 15.

  • Corrige isso por mim.

    Reescreve a linha segundo as tuas convenções: um cookie httpOnly e SameSite, e o teste que o prova. Tu aceitas o diff.

  • Garante que não volta a acontecer.

    A correção passa a ser uma regra, aplicada no Claude Code, no Cursor e na CI a partir do turno seguinte.

Zero YAML. As tuas regras, extraídas do teu próprio código.

O Champion lê o teu repositório, redige as regras que o teu código já segue e aponta as linhas que as violam.

Já disponível no Cybe Champion.

Não é IA colada a um SAST de 2015.

  • O risco, visível antes da PR

    Pontos críticos, controlos que se desviam, testes em falta. O Champion assinala-os no IDE enquanto o código é escrito.

  • Sugestões de patch que o agente pode aplicar

    Cada descoberta traz uma correção funcional que o agente pode preparar. PR num clique, assinadas pelo teu bot e validadas pela tua CI.

  • Inteligência de segurança coletiva

    Cada correção aceite e cada veredicto confirmado alimentam o grafo. A organização acumula propriedade intelectual de segurança, não uma pilha de políticas.

Do calendário de formação a aprender na prática.

Uma formação anual de OWASP não muda nada. Uma explicação junto ao código em cada PR, sim.

  • Cada dev recebe tratamento de sénior

    Justificação em linguagem simples em cada descoberta, referências OWASP/CWE a um clique. Júnior ou staff, a mesma profundidade, a mesma paciência.

  • Contexto de segurança dentro do loop

    Acabou o 'espera que a equipa de segurança dê a opinião'. O Champion responde no IDE, com uma correção que funciona, antes de o dev passar a outra coisa.

  • As lições chegam ao editor, não a um convite de calendário

    O 'porquê' é explicado junto ao código, com um exemplo que funciona, no momento em que o dev ia pôr o bug em produção. Nenhuma formação trimestral chega tão a tempo.

Uma pergunta, uma regra

  • Perguntas no IDE

    Vulnerabilidades, correções, modelos de ameaças, OWASP. Por palavras tuas.

  • Responde em contexto

    Lê o grafo de conhecimento e aponta a linha, com a correção.

  • A resposta passa a ser regra

    Cada correção aceite passa a ser aplicada pelo agente a partir do turno seguinte.

O teu código fica na tua região.

Modelos alojados por nós, e nada sai da região.

Onde vive o teu códigoEUUS
  • Análise normalClonado num contentor isolado, destruído quando a análise termina.
  • Cybe Analysis e o Security ChampionGuardam uma cópia do código, o histórico git e um grafo de conhecimento na tua região, apagados quando pedires.
  • ModelosModelos open-weight alojados por nós na tua região: Scaleway na UE, Google Cloud nos EUA.
  • IA de terceirosNem o código nem os prompts são enviados para uma API de IA de terceiros.

Em conformidade com o RGPD. Auditoria SOC 2 Type II em curso.

Segurança e privacidade, construídas de raiz.

Privacidade por omissão. Modelos self-hosted, nenhuma API de LLM de terceiros, a região UE ou EUA que escolheres na instalação, e implementação em VPC ou air-gapped disponível.

  • Regiões de dados UE + EUA

    O teu código fica na tua região. Os clientes da UE correm em infraestrutura da UE de ponta a ponta, os dos EUA nos EUA.

  • Nunca treinamos com o teu código

    Os modelos são self-hosted. O código de cliente nunca é usado para treinar modelos partilhados. Nunca.

  • On-premise e air-gapped

    Os setores regulados podem manter toda a stack dentro da sua própria infraestrutura. O mesmo Champion corre na tua VPC ou totalmente isolado da rede, com os pesos do modelo incluídos e sem chamadas para o exterior.

O que as equipas perguntam antes de instalar

O Cybe Security Champion substitui a nossa equipa humana de segurança?
Não. Substitui o ponto de estrangulamento em que a equipa humana se tornou. O Champion trata da revisão de cada PR, da pergunta 'isto é seguro?' dentro do IDE, da explicação OWASP. A equipa de segurança foca-se na arquitetura, na modelação de ameaças e na resposta a incidentes. O trabalho que precisa de juízo humano.
Em que é diferente do GitHub Copilot ou de um assistente de programação com IA genérico?
O Copilot escreve código. O Champion é o engenheiro sénior que o revê. Lê o grafo de conhecimento do teu código (fluxos de taint, responsáveis, convenções do framework) em vez de adivinhar a partir de um LLM genérico. O mesmo prompt, uma resposta muito diferente.
Que IDE e agentes são compatíveis?
Plugins nativos: VS Code, Cursor, Windsurf, JetBrains, Antigravity. Servidor MCP nativo: Claude Code, Gemini CLI, Cline, Continue.dev, Zed. MCP genérico para todo o resto. Uma instalação por dev, uma licença por equipa.
O VibeDefend vai alguma vez treinar modelos com o nosso código?
Nunca. Os modelos são self-hosted, os pesos pertencem à CybeDefend, e o teu código é processado só no teu tenant. Nenhum código de cliente é usado para treinar modelos partilhados. É um compromisso contratual, não uma definição.
O que é preciso para a equipa começar a usá-lo?
Três passos para o primeiro dev: inicias sessão com SSO, instalas o plugin do IDE e apontas para o repo. O Champion faz a primeira revisão com contexto da próxima vez que guardares. Sem YAML nem playbooks para escrever.