Revisão de Segurança

Um scanner de segurança com IA que raciocina sobre seu código da mesma forma que um pesquisador de segurança humano — rastreando fluxos de dados, entendendo interações de componentes e detectando vulnerabilidades que ferramentas de correspondência de padrões perdem.

Quando Usar Esta Habilidade

Use esta habilidade quando a solicitação envolver:

• Escanear um código ou arquivo em busca de vulnerabilidades de segurança
• Executar uma revisão de segurança ou verificação de vulnerabilidade
• Verificar injeção de SQL, XSS, injeção de comando ou outras falhas de injeção
• Encontrar chaves de API expostas, segredos codificados ou credenciais no código
• Auditar dependências em busca de CVEs conhecidos
• Revisar lógica de autenticação, autorização ou controle de acesso
• Detectar criptografia insegura ou aleatoriedade fraca
• Realizar uma análise de fluxo de dados para rastrear a entrada do usuário até "sinks" perigosos
• Qualquer solicitação com frases como "meu código está seguro?", "escanear este arquivo" ou "verificar meu repositório em busca de vulnerabilidades"
• Executar /security-review ou /security-review <path>

Como Esta Habilidade Funciona

Ao contrário das ferramentas tradicionais de análise estática que buscam padrões, esta habilidade:

1. Lê o código como um pesquisador de segurança — entendendo contexto, intenção e fluxo de dados
2. Rastreia entre arquivos — seguindo como a entrada do usuário se move através da sua aplicação
3. Auto-verifica descobertas — reexamina cada resultado para filtrar falsos positivos
4. Atribui classificações de severidade — CRÍTICA / ALTA / MÉDIA / BAIXA / INFO
5. Propõe correções direcionadas — cada descoberta inclui uma correção concreta
6. Requer aprovação humana — nada é aplicado automaticamente; você sempre revisa primeiro

Fluxo de Execução

Siga estes passos em ordem sempre:

Passo 1 — Resolução de Escopo

Determine o que escanear:

• Se um caminho foi fornecido (/security-review src/auth/), escaneie apenas esse escopo
• Se nenhum caminho foi dado, escaneie o projeto inteiro a partir da raiz
• Identifique a(s) linguagem(ns) e framework(s) em uso (verifique package.json, requirements.txt, go.mod, Cargo.toml, pom.xml, Gemfile, composer.json, etc.)
• Leia references/language-patterns.md para carregar padrões de vulnerabilidade específicos da linguagem

Passo 2 — Auditoria de Dependências

Antes de escanear o código fonte, audite as dependências primeiro (vitórias rápidas):

• Node.js: Verifique package.json + package-lock.json em busca de pacotes vulneráveis conhecidos
• Python: Verifique requirements.txt / pyproject.toml / Pipfile
• Java: Verifique pom.xml / build.gradle
• Ruby: Verifique Gemfile.lock
• Rust: Verifique Cargo.toml
• Go: Verifique go.sum
• Sinalize pacotes com CVEs conhecidos, bibliotecas de criptografia obsoletas ou versões fixadas suspeitamente antigas
• Leia references/vulnerable-packages.md para uma lista de observação curada

Passo 3 — Escaneamento de Segredos e Exposição

Escanear TODOS os arquivos (incluindo configuração, env, CI/CD, Dockerfiles, IaC) em busca de:

• Chaves de API, tokens, senhas, chaves privadas codificadas
• Arquivos .env acidentalmente commitados
• Segredos em comentários ou logs de depuração
• Credenciais de nuvem (AWS, GCP, Azure, Stripe, Twilio, etc.)
• Strings de conexão de banco de dados com credenciais embutidas
• Leia references/secret-patterns.md para padrões de regex e heurísticas de entropia a serem aplicados

Passo 4 — Escaneamento Profundo de Vulnerabilidades

Este é o escaneamento principal. Raciocine sobre o código — não apenas corresponda padrões. Leia references/vuln-categories.md para detalhes completos sobre cada categoria.

Falhas de Injeção

• Injeção de SQL: consultas brutas com interpolação de strings, uso incorreto de ORM, SQLi de segunda ordem
• XSS: saída não escapada, dangerouslySetInnerHTML, innerHTML, injeção de template
• Injeção de Comando: exec/spawn/system com entrada do usuário
• Injeção LDAP, XPath, Header, Log

Autenticação e Controle de Acesso

• Falta de autenticação em endpoints sensíveis
• Autorização quebrada em nível de objeto (BOLA/IDOR)
• Fraquezas de JWT (alg:none, segredos fracos, sem validação de expiração)
• Fixação de sessão, falta de proteção CSRF
• Caminhos de escalonamento de privilégios
• Atribuição em massa / poluição de parâmetros

Tratamento de Dados

• Dados sensíveis em logs, mensagens de erro ou respostas de API
• Falta de criptografia em repouso ou em trânsito
• Desserialização insegura
• Travessia de caminho / travessia de diretório
• Processamento de XXE (XML External Entity)
• SSRF (Server-Side Request Forgery)

Criptografia

• Uso de MD5, SHA1, DES para fins de segurança
• IVs ou salts codificados
• Geração fraca de números aleatórios (Math.random() para tokens)
• Falta de validação de certificado TLS

Lógica de Negócios

• Condições de corrida (TOCTOU)
• Overflow de inteiros em cálculos financeiros
• Falta de limitação de taxa em endpoints sensíveis
• Identificadores de recursos previsíveis

…