Como funciona
Como o PreHack funciona
Do push ao Pull Request: um pentester de IA que testa o seu app como um invasor, prova a falha e já traz o conserto.
Em uma frase
O PreHack é um pentester de inteligência artificial autônomo. Você conecta o seu repositório do GitHub uma vez; a partir daí ele monitora cada mudança, ataca o seu aplicativo num ambiente isolado para encontrar falhas de segurança, prova cada falha com uma invasão real e devolve a correção pronta num Pull Request, que você revisa e aprova. Nenhuma pessoa abre o seu código: só a IA.
Pentester (de penetration test) é o profissional que ataca um sistema de propósito, com autorização, para achar a porta aberta antes que um invasor real ache. O PreHack faz esse trabalho com agentes de IA, de forma contínua, no ritmo em que o seu código muda.
O princípio: provar, nunca só suspeitar
A maioria das ferramentas de segurança aponta suspeitas: “isto aqui talvez seja um problema”. O resultado é uma enxurrada de alertas, a maioria falso positivo, que alguém da sua equipe precisa triar um a um. O PreHack parte do princípio oposto.
Nada vira alerta sem uma prova de conceito: uma invasão de verdade, executada num ambiente isolado, que demonstra passo a passo como a falha é explorada. Se não dá para provar explorando, não é reportado. É isso que elimina o alarme falso, você só olha para o que é real.
O passo a passo, do push ao Pull Request
1. Você conecta o GitHub (e isso é a autorização)
Tudo começa com um clique: você conecta o repositório que quer proteger. Conectar o GitHub é a sua permissão explícita para o PreHack testar aquele código, teste de invasão só acontece contra o que é seu, com o seu consentimento. Você concede e revoga esse acesso quando quiser, direto no GitHub, sem passar por nós.
2. O PreHack passa a monitorar 24 horas
O PreHack é um agente de IA. Conectado ao seu GitHub, ele acompanha cada push e cada deploy e percebe o que mudou no instante em que muda. Não há painel para você ficar olhando nem rotina para manter: depois do primeiro clique, o trabalho é dele.
3. A cada mudança, o scan dispara sozinho
O scan (a varredura de segurança) roda automático a cada alteração de código, principalmente a cada deploy, que é justamente quando novas falhas costumam entrar. Você também pode disparar um scan na hora, quando quiser, mas não precisa: o padrão é ser contínuo.
4. Agentes de IA atacam o seu app num sandbox isolado
O scan não lê o código de longe à procura de padrões suspeitos. Agentes de IA especializados atacam o seu aplicativo com as mesmas ferramentas que um hacker usaria, dentro de um sandbox, um ambiente isolado e descartável, separado da sua produção. Cada agente se concentra num tipo de ataque, e eles trabalham em conjunto para cobrir o alvo.
5. Cada falha encontrada vira uma prova de conceito
Quando um agente encontra uma brecha, ele não para em “encontrei”. Ele monta e executa a invasão real que explora aquela brecha, ali no sandbox, e anexa esse passo a passo como prova. Falha sem prova não avança. Essa validação obrigatória é o que separa um achado de verdade de um palpite.
6. O conserto chega como Pull Request
Para cada falha provada, o PreHack escreve uma correção sob medida e abre um Pull Request no seu repositório, com a correção de um lado e a prova da falha do outro. Você revisa esse PR como revisaria o de qualquer colega de equipe: lê, entende, aprova e faz o merge. Nada é mexido no seu código sem a sua aprovação.
7. Pela MCP, a IA que você já usa puxa o conserto
Você não precisa instalar nem manter skills de segurança na sua própria IA. A IA que você já usa no dia a dia conversa com o PreHack pela MCP e puxa o conserto direto para o seu fluxo de trabalho, sem sair do ambiente onde você já programa. O PreHack assume o tema segurança por você; a sua IA só recebe o resultado pronto.
Por que a prova muda tudo
Código gerado por IA entra em produção mais rápido do que qualquer equipe consegue revisar, e a velocidade cria brechas. Quem criou essas ferramentas reconhece o ponto: Ty Sbano, CISO da Vercel, resume que “as ferramentas de IA são treinadas para gerar código que funciona, não código seguro” (fonte: Vercel). Uma análise da Veracode mediu o tamanho do problema: código gerado por IA chega a ter 2,74× mais falhas que o escrito por humanos (fonte: Veracode).
Num cenário desses, mais alertas não ajudam, atrapalham. O que importa é separar o que é real do que é ruído e já chegar com o conserto na mão. É por isso que o PreHack só reporta o que conseguiu invadir e entrega a correção junto: o seu tempo fica para decidir, não para investigar cada aviso.
Por que código escrito por IA precisa disso
A IA escreve muito código, rápido. A pesquisa pública mostra quanto disso sai inseguro.
Em 80 tarefas de programação rodadas em mais de 100 modelos de linguagem, 45% do código gerado por IA introduziu uma vulnerabilidade do OWASP Top 10, os riscos mais críticos de aplicação web, segundo o relatório GenAI Code Security 2025 da Veracode.
O mesmo relatório achou que os modelos falharam em escrever código seguro contra cross-site scripting em 86% das vezes, e contra log injection em 88%. São exatamente as falhas que um pentester autônomo prova e conserta a cada push.
Segurança e controle ficam com você
- Só a IA lê o seu código. Nenhuma pessoa abre o seu repositório em momento algum.
- Você aprova tudo. As correções chegam como Pull Request; nada entra no seu código sem o seu merge.
- Acesso revogável. Você concede e corta o acesso ao GitHub quando quiser, direto na plataforma deles.
- O teste ativo é só contra o que é seu, com a sua permissão explícita, e roda isolado num sandbox.
- O seu código não vira treino. Ele é analisado para achar falhas, nunca usado para treinar modelo nenhum, nem o nosso, nem de terceiros.
- Crédito gerenciado. Sem chave de API pra gerenciar — o Plug & Play inclui um pool de crédito e a PreHack paga o provedor de IA, com o custo de cada scan mostrado no seu saldo.
Glossário rápido
- Push / deploy
- Push é enviar uma mudança de código para o repositório; deploy é colocar essa mudança no ar. São os momentos em que novas falhas costumam entrar.
- Pull Request (PR)
- Uma proposta de mudança no código, aberta para revisão antes de entrar de verdade. É assim que o PreHack entrega cada correção: você revisa e aprova.
- Sandbox
- Ambiente isolado e descartável onde os ataques acontecem, separado da sua produção. A invasão de teste fica contida ali.
- Prova de conceito (PoC)
- A demonstração prática de que uma falha é explorável de verdade, o passo a passo da invasão, não um palpite.
- MCP
- O canal pelo qual a IA que você já usa conversa com o PreHack e puxa o conserto para o seu fluxo, sem você instalar nada.
- Crédito gerenciado
- Sem precisar de chave de API: o Plug & Play inclui um pool de crédito e a PreHack paga o provedor de IA. Cada scan mostra quanto custou no seu saldo, então você mantém o controle do gasto.
Veja o PreHack agir no seu código
Você conecta o GitHub e o PreHack começa a vigiar. Comece grátis com um config scan — sem chave de API, sem instalação. O pentest completo roda no Plug & Play (US$ 29/mês), com a conta da IA por nossa conta.
Começar grátis