White PaperA IA escreve a aplicação em horas. A revisão de segurança continua em semanas
Segurança de aplicações web na era do código gerado por IA
Com assistentes de código e vibecoding, rota de API, autenticação e dependência nova entram em produção no mesmo dia, mais rápido do que qualquer escopo manual de teste acompanha. O EcoTrust AppSec cobre a aplicação do código à produção e testa o que está de fato rodando: descobre o escopo navegando, testa 27 categorias com cobertura do OWASP Top 10:2025 e entrega evidência de exploração por achado.
O problema: a aplicação é a camada com menos cobertura de segurança dentro da maioria dos programas, e passou a ser também a que muda mais rápido. Com assistentes de código e vibecoding, funcionalidade nova sai de um prompt e chega à produção no mesmo dia: rota de API que ninguém documentou, autenticação improvisada, dependência trazida sem avaliação, regra de autorização que o gerador não tinha como entender. Infraestrutura tem scanner contínuo, superfície externa tem descoberta contínua, e a aplicação depende de teste pontual com escopo definido à mão. Esse escopo já envelhecia mais rápido do que o ciclo de teste; com código gerado por IA, envelhece em dias.
A abordagem: o EcoTrust AppSec é o módulo de segurança de aplicações da plataforma, com escopo declarado do código à produção e organizado por técnica de teste. A técnica em operação é o teste da aplicação em execução, o teste dinâmico (DAST) operado por um agente autônomo que navega, mapeia e testa a aplicação de ponta a ponta sem definição manual de escopo, cobrindo 27 categorias de vulnerabilidade com evidência de exploração por achado. Testar o que está rodando é o que não depende de saber quem, ou o que, escreveu o código. A análise estática de código-fonte (SAST) está no roadmap do módulo e não faz parte da entrega atual.
O resultado: a aplicação em execução passa a ter cobertura atualizada a cada scan, sem depender de configuração manual. Cada vulnerabilidade confirmada vem com payload, requisição, resposta e código de correção, e o achado segue para o EcoTrust Flow, que conduz o ciclo de vida até a correção. A cobrança é por aplicação web, sem limite de scans.
A aplicação passou a ser escrita mais rápido do que é revisada.
Programas de segurança maduros cobrem infraestrutura e superfície externa de forma contínua. O host tem inventário, o CVE tem scanner, o domínio exposto tem descoberta. A aplicação segue outra lógica: é testada em janelas, por projeto, com escopo definido manualmente por um analista, e entre uma janela e outra o código muda várias vezes.
Em uma aplicação em desenvolvimento ativo, com deploys semanais ou diários, a superfície de ataque muda constantemente. Um endpoint de API criado na última sprint. Um novo formulário de upload adicionado na semana passada. Uma rota de autenticação refatorada ontem. Nenhum desses aparece no escopo configurado no mês passado.
O que o código gerado por IA mudou
Assistentes de código e o que o mercado passou a chamar de vibecoding, descrever a funcionalidade em linguagem natural e aceitar o código que o modelo devolve, comprimiram o intervalo entre a ideia e o deploy. O ganho de produtividade é real, e o efeito colateral em segurança também: o volume de código novo cresce sem que a capacidade de revisão cresça junto, e quem aceita o código muitas vezes não é quem saberia avaliar a implicação de segurança dele.
Os padrões que aparecem com mais frequência são conhecidos: rota de API criada para atender ao pedido imediato e nunca documentada; validação de entrada que existe no frontend e não no servidor; autorização verificada na tela e não no endpoint, o que reabre a porta do IDOR e do controle de acesso quebrado, primeiro item do OWASP Top 10; segredo deixado no código porque o exemplo que o modelo aprendeu fazia assim; dependência importada sem avaliação de manutenção nem de vulnerabilidade conhecida. Nenhum desses é exótico. Todos são falhas clássicas reintroduzidas em escala nova.
Há um detalhe que agrava: o código gerado por IA é sintaticamente correto e passa nos testes de produto. Ele faz o que foi pedido. A revisão humana, quando acontece, tende a verificar se a funcionalidade funciona, não se ela expõe algo. A falha, quando existe, não é visível na leitura casual do diff, mas é visível para quem testa a aplicação rodando, do lado de fora, como um atacante testaria.
Por que testar o que está em execução: a origem do código deixou de ser um dado confiável para dimensionar risco. Não importa se a rota foi escrita por um desenvolvedor sênior, gerada por um modelo ou colada de um exemplo: ela está publicada e responde a requisições. Testar a aplicação em execução mede a exposição real, sem depender de saber quem a escreveu, quando, ou se alguém revisou.
O resultado prático é que o relatório informa "aplicação limpa" enquanto funcionalidades novas, que nunca foram testadas, estão em produção com vulnerabilidades não detectadas. A confiança no relatório é proporcional à desatualização do escopo que o gerou.
O ciclo da cobertura parcial: analista configura escopo, deploy de nova funcionalidade, nova funcionalidade fica fora do escopo, relatório reporta tudo limpo, vulnerabilidade persiste, incidente. O problema não é a ferramenta em si, é que a cobertura da aplicação depende de uma decisão humana que não acompanha o ritmo do desenvolvimento.
O EcoTrust AppSec é o módulo de aplicação, organizado por técnica.
A distinção é operacional, não semântica. Um produto que se define por uma técnica precisa ser substituído quando a organização precisa de outra. Um módulo que se define pelo objeto de teste, a aplicação, incorpora novas técnicas sem trocar de fornecedor, de console ou de processo de remediação.
O escopo do módulo é a aplicação: o código que a origina e o comportamento dela em execução. A técnica em operação cobre o comportamento em execução. As demais entram no mesmo módulo, no mesmo console e no mesmo fluxo de correção.
Cobertura do módulo por técnica
Agente autônomo que descobre o escopo navegando pela aplicação, autentica, executa payloads de 27 categorias de vulnerabilidade e entrega evidência de exploração por achado. É a técnica descrita em detalhe neste documento.
Declarada como próxima técnica do EcoTrust AppSec, sem data de disponibilidade e sem capacidade disponível hoje. Nenhuma afirmação deste documento sobre cobertura, achados ou evidência se aplica a análise de código.
O antigo EcoTrust WAS passa a ser o motor de scan dentro do EcoTrust AppSec. Quem já operava o WAS mantém a capacidade de scan, agora dentro de um módulo com escopo maior.
Toda vulnerabilidade confirmada, independente da técnica que a encontrou, segue para o EcoTrust Flow, que conduz o ciclo de vida do achado até a correção, com SLA, responsável e verificação.
O módulo opera junto ao EcoTrust Surface, que descobre quais aplicações existem e estão expostas, e ao EcoTrust VulScan, que cobre a vulnerabilidade de infraestrutura e de componentes sob a aplicação. O AppSec responde pela aplicação em si.
Teste dinâmico: a primeira técnica entregue.
A diferença em relação a um scanner dinâmico convencional não é de velocidade nem de quantidade de vulnerabilidades, é de arquitetura. Um scanner tradicional recebe uma lista de URLs e testa cada uma. O agente recebe uma URL de entrada e navega: segue links, submete formulários, chama endpoints de API, autentica quando necessário e mapeia a superfície de ataque completa antes de iniciar os testes.
O resultado é que o escopo do agente é sempre atual. Uma funcionalidade deployada hoje será incluída no próximo scan automaticamente, sem que ninguém precise atualizar uma lista ou reconfigurar nada. É assim que a cobertura da aplicação em execução deixa de depender de manutenção humana.
Escopo manual vs escopo autônomo no EcoTrust AppSec
Escopo manual: analista configura lista de URLs a cada sprint ou release. EcoTrust AppSec: agente descobre a superfície navegando pela aplicação, sem lista manual.
Escopo manual: ficam fora do escopo até alguém adicionar manualmente. EcoTrust AppSec: incluídas automaticamente no próximo scan.
Escopo manual: cobertura limitada, configuração de autenticação complexa. EcoTrust AppSec: agente virtualiza usuário autenticado com JWT, cookie ou formulário.
Escopo manual: requer schema OpenAPI importado manualmente. EcoTrust AppSec: descobre e testa endpoints de API durante a navegação.
Escopo manual: alta, escopo precisa ser atualizado a cada mudança significativa. EcoTrust AppSec: zero, agente adapta o escopo automaticamente.
Evidência técnica absoluta: a prova que o dev consegue usar.
Um relatório que aponta "possível SQL Injection" sem fornecer o payload, a requisição e a resposta do servidor coloca o desenvolvedor em uma posição impossível: ele precisa investigar, tentar reproduzir, e frequentemente não consegue, porque a detecção foi heurística, não baseada em exploração real. O alerta vai para o backlog e envelhece.
O EcoTrust AppSec não apenas detecta, executa o payload e captura o resultado. Cada vulnerabilidade confirmada chega ao dev com quatro elementos que transformam a investigação em ação:
A string exata injetada no campo vulnerável, reproduzível pelo dev em qualquer ferramenta. Sem ambiguidade sobre o que foi testado e o que funcionou.
Method, URL, headers e corpo da requisição que demonstra a exploração. O dev cola a requisição e reproduz em segundos, sem precisar entender o mecanismo antes de corrigir.
O que o servidor retornou ao payload, o stack trace com dados internos, o conteúdo indevido, o redirect não autorizado. A prova irrefutável de que a vulnerabilidade é explorável, não hipotética.
Gerado com contexto da vulnerabilidade, referência CWE e OWASP. O dev não abre a documentação, recebe a solução com a explicação do problema. A conversa muda de "você tem certeza que isso é real?" para "quando você corrige?"
Esse é o padrão de evidência do módulo, não da técnica. Qualquer técnica que entre no EcoTrust AppSec entrega o achado no mesmo nível de prova e no mesmo fluxo de remediação.
Como o teste dinâmico opera: do crawling autenticado à evidência.
Pipeline de execução em 5 fases
Navega links, formulários, chamadas de API e endpoints REST/GraphQL para construir o mapa completo da superfície de ataque acessível.
JWT (token Bearer), cookies de sessão ou formulário de login. O agente virtualiza usuário legítimo e acessa áreas protegidas.
27 categorias de vulnerabilidade testadas em cada ponto de entrada descoberto. Confirmação por exploração, não por heurística.
Payload, requisição, resposta e código de correção documentados por vulnerabilidade confirmada.
OWASP Risk Rating, classificação CVSS, referências CWE e plano de remediação por vulnerabilidade. O achado segue para o EcoTrust Flow.
27 categorias de vulnerabilidade
Dois modos de deploy, sem agente
Para aplicações internet-facing. Sem instalação, sem configuração de rede. Acesso direto pela URL pública da aplicação.
Para aplicações em redes privadas, ambientes de homologação ou staging. O scanner está provisionado localmente e alcança aplicações internas, conectando via WebSocket Seguro sem abrir portas no firewall, apenas porta 443.
Impacto no negócio: cobertura real e ciclo de remediação curto.
DevSecOps: segurança no ciclo de desenvolvimento
O EcoTrust AppSec é projetado para rodar em cada deploy de homologação. Com crawling autônomo, não existe custo operacional de atualizar o escopo a cada sprint. Com evidência técnica, não existe custo humano de validação, o dev recebe o que precisa para corrigir diretamente.
O resultado é que segurança de aplicações deixa de ser uma fase separada do ciclo de desenvolvimento e passa a ser uma propriedade contínua de cada release. Vulnerabilidades introduzidas naquela sprint são detectadas e corrigidas antes de chegar à produção.
Portfólio de aplicações: cobertura sem custo operacional linear
A cobrança por aplicação web, e não por scan ou por horas de execução, cria um modelo onde aumentar a frequência de testes não aumenta o custo. Uma organização com 20 aplicações pode escanear todas a cada deploy sem negociar orçamento adicional de segurança.
O modelo que muda o comportamento: quando o custo de um scan adicional é zero, o time de segurança para de negociar frequência e começa a otimizar qualidade. A pergunta deixa de ser "quantas vezes podemos escanear essa app por mês?" e passa a ser "o que mais podemos testar em cada scan?" A cobrança por aplicação alinha os incentivos certos.
Um só ciclo de vida para o achado de aplicação
O achado de aplicação não termina no relatório. Ele segue para o EcoTrust Flow, que atribui responsável, aplica SLA, acompanha a correção e verifica o fechamento. Quando novas técnicas entrarem no módulo, os achados delas entram no mesmo ciclo, sem criar um segundo processo de remediação para a mesma aplicação.
Evidência que auditores aceitam diretamente
PCI DSS 4.0 e ISO 27001 exigem testes de segurança em aplicações web com evidências documentadas. O relatório do EcoTrust AppSec, com payload, requisição, resposta e código de correção por vulnerabilidade, é exatamente o formato que QSAs e auditores de ISO aceitam sem coleta adicional de evidências.
Compliance: cobertura autônoma, evidência aceita.
Evidência de exploração por vulnerabilidade atende diretamente ao requisito 6.4, sem coleta manual adicional para auditores QSAs.
A integração com pipelines de deploy via EcoTrust Connect documenta que testes de segurança foram realizados antes de cada release.
As 27 categorias testadas pelo teste dinâmico do EcoTrust AppSec cobrem integralmente o OWASP Top 10:2025 com evidência de exploração, não apenas detecção baseada em heurística.
SQL Injection, IDOR e Broken Access Control em aplicações com dados pessoais são detectados com evidência, documentando a diligência técnica exigida.
Conclusão: cobrir a aplicação, técnica por técnica.
O EcoTrust AppSec assume essa responsabilidade como módulo. A técnica em operação é o teste da aplicação em execução, e ela resolve dois problemas de uma vez: o escopo autônomo garante que nenhuma funcionalidade nova fica invisível entre ciclos de configuração, e a evidência técnica absoluta garante que nenhuma vulnerabilidade detectada fica sem correção por falta de prova.
A análise estática de código-fonte está declarada no roadmap do módulo e ainda não está disponível. Quando entrar, entra como técnica adicional dentro do mesmo módulo, com o mesmo padrão de evidência e o mesmo ciclo de remediação no EcoTrust Flow. Nada do que já está em operação precisa mudar por causa disso.
O resultado, hoje, é uma aplicação em execução com cobertura contínua, sem custo operacional de manutenção de escopo e sem custo humano de validação de alertas.
Veja o agente navegar e testar suas apps ao vivo.
Demonstração ao vivo