UM RED TEAM
AUTÔNOMO

LEIA ISTO PRIMEIRO

Ferramenta de quem defende. Não de quem invade. Se você não consegue apontar quem assinou a autorização, não rode.

NÃO É UM SCANNER.
É UM TIME

A diferença entre o Strix e uma ferramenta tradicional de análise estática é a mesma entre ler a planta de um prédio e tentar arrombar a porta. Um aponta o que pode ser problema. O outro mostra o problema acontecendo.

São vários agentes trabalhando em conjunto: um faz reconhecimento, outro explora, outro valida o achado. É o desenho de um red team humano, automatizado.

AS CLASSES
DE FALHA

• IDOR — acesso a recurso de outro usuário trocando um identificador
• SQL injection — manipulação de consulta ao banco
• SSRF — fazer o servidor requisitar o que o atacante escolher
• XSS — injeção de script no navegador de outro usuário
• Falha de lógica de negócio — a mais difícil de achar automaticamente, porque exige entender a intenção do sistema
• Quebra de autenticação — burlar login, sessão ou permissão

A lógica de negócio é onde a abordagem por agente ganha de scanner comum. Uma ferramenta de padrão não sabe que transferir saldo negativo não deveria ser possível. Um agente que raciocina sobre o fluxo, sim.

SUBINDO EM
TRÊS PASSOS

Roda em Docker, então não suja sua máquina e o exploit fica contido.

# 1. instalar
$ pipx install strix-agent

# 2. sua chave de LLM
$ export STRIX_LLM="anthropic/claude-sonnet-5"
$ export LLM_API_KEY="sua-chave"

# 3. apontar para o que é SEU
$ strix --target ./meu-repositorio

O alvo pode ser um diretório local, um repositório ou uma URL — desde que seja seu. O painel de resultado roda localmente: nada sai da sua máquina.

DENTRO DO CI/CD

Rodar uma vez e olhar o relatório tem valor limitado. O ganho real aparece quando ele entra no pipeline e barra código inseguro antes de virar produção.

1. Roda a cada pull request, contra o ambiente de staging
2. Falha o build se encontrar vulnerabilidade validada
3. O desenvolvedor recebe o exploit junto com o alerta — e conserta sabendo exatamente o que estava quebrado

Esse último ponto é o que muda a cultura do time. Alerta genérico gera discussão sobre falso positivo. Exploit funcionando encerra a discussão.

ONDE ISSO NÃO SERVE

• Você não é técnico. Interpretar o resultado exige entender o que é uma falha de autenticação. Sem isso, você vai ter uma lista que não sabe priorizar.
• Não é seu e não tem autorização. Já foi dito, mas vale repetir: é o único item da lista que tem consequência criminal.
• Substituir auditoria humana. Ele acha classes conhecidas de falha. Um pentester experiente acha o que ninguém catalogou ainda.
• Produção sem janela. Ele executa ataque de verdade. Aponte para staging, ou combine janela de manutenção.

PARA ONDE IR AGORA