Para desenvolvedores e equipes
Avalie uma aplicação autorizada, revise os achados e escolha uma assinatura Team ou Growth, ou pague pelos scans web concluídos.
Segurança de web e API baseada em evidências
Pentest web e de APIs, com evidências que você pode revisar.
Teste suas aplicações autorizadas, revise as evidências dos achados confirmados e verifique as correções. Comece com uma aplicação ou crie um programa de testes para sua equipe.
Até 14 dias por domínio empresarial · sem cartão · um target autorizado e uma varredura · sem cobrança automática
Verifique antes de confiar
Conheça o produto antes de conectar um app.
Um software de segurança deve conquistar acesso com evidências. Revise o fluxo, as entregas e o tratamento de dados antes de criar uma conta.
Use a simulação ao vivo
Explore uma varredura do OWASP Juice Shop, achados, saídas de ferramentas e relatórios. Sem conta e sem tráfego para seus sistemas.
Explorar a simulação →Leia o entregável
Leia um exemplo datado do Juice Shop, reproduzido manualmente, com requests copiáveis, saída HTTP, limites e correção.
Abrir exemplo de evidência →Revise o tratamento de dados
Veja região de hospedagem, criptografia de credenciais, retenção, subprocessadores, controles de autorização e situação atual das certificações.
Ler detalhes de segurança →Conheça os termos do teste
Um novo domínio corporativo recebe até 14 dias corridos de acesso de escrita, a partir da criação da primeira conta, para um target autorizado e uma varredura. Sem cartão e sem cobrança automática.
Iniciar a avaliação →Verifique PDFs AI Explained e de compliance
Esses PDFs incluem uma prova assinada. O destinatário pode conferir o arquivo exato sem compartilhar os achados. O registro na Base aparece após a confirmação.
Registro de achado confirmado
A evidência fica separada de um alerta de scanner.
Um achado registrado mostra o que foi observado e o que permanece incerto. A confirmação é explícita, em vez de inferida por códigos de status ou redirecionamentos.
- URL afetada, método, parâmetro e requisição registrada
- Resultado observado e comparação de validação ou controle
- Passos de reprodução e material de prova de conceito quando capturados
- Estado de confirmação, saída original, ressalvas e correção
Entregáveis
Veja o que você recebe.
Registros de achados, material de reprodução capturado, resumos executivos e exportações alinhadas a normas, com evidências ausentes, sinais e ressalvas sempre visíveis.
Relatórios para fluxos de auditoria
Não certificamos sua organização. Nos planos pagos, exporte evidências prontas para auditoria em fluxos de GRC, questionários de clientes e revisões de auditores.
- Templates PDF de pentest: AI Explained, Executivo, Desenvolvedor, OWASP WSTG/ASVS, NIST 800-115 e CSF 2.0, CREST, estilo PCI-DSS ASV, CIS Controls
- JSON de mapeamento de frameworks (matrizes completas com status covered/partial/N/A/gap): SOC 2, PCI-DSS, HIPAA, ISO 27001, MITRE ATT&CK Enterprise, CIS Controls, NIST CSF 2.0, OWASP ASVS — aplicabilidade conforme o tipo de app (ex.: HIPAA só com contexto de saúde/PHI)
- Pacote de evidências ZIP para fluxos de auditoria
- Apêndice de reteste: resultados de verificação de correção para achados remediados
- Exportações estruturadas: PDF, JSON e CSV
- Branding PDF white-label nos planos Team e Enterprise
Templates estilo PCI-DSS ASV documentam achados de avaliação de vulnerabilidades — não constituem certificação PCI ASV nem attestation de QSA.
Como funciona
Da URL ao relatório.
Autorize um target, escolha o perfil adequado e mantenha a evidência junto do achado.
01
Adicione sua URL
~2 min de setup
Staging ou produção. Opcionalmente OAuth, SAML, chave de API ou cookie de sessão.
02
Simulamos ataques
A duração depende do perfil e da superfície
O planejador seleciona e sequencia os recursos relevantes e valida descobertas com respostas registradas e comparações de controle.
03
Corrija e entregue
Reteste quando a correção estiver pronta
Revise o estado de confirmação, os passos de reprodução, a saída original e a correção. Exporte o resultado ou encaminhe pelo CI.
Escolha como começar
Uma aplicação hoje. Um programa de segurança amanhã.
Comece por conta própria ou defina conosco um programa para sua organização.
Para equipes de segurança empresarial
Converse com nossa equipe sobre escopo, cobertura de aplicações, governança, onboarding e níveis de serviço contratados.
Clientes
Times que entregam com confiança.
“A integração da Agent Breach ao nosso ciclo de desenvolvimento trouxe visibilidade contínua sobre aplicações e APIs. Os relatórios são claros, reproduzíveis e focados no impacto real para o negócio.”
Parceiros
Parceiro de entrega
Organizações que constroem e entregam com a Agent Breach.
Como testamos
IA que pensa como um atacante.
Scanners de assinatura repetem templates. A Agent Breach usa evidências das respostas para selecionar e sequenciar recursos de um catálogo com mais de 45 ferramentas e técnicas de segurança.
Por que varredura de checkbox falha
DAST tradicional dispara payloads conhecidos e lista hits isolados. Atacantes exploram fluxos de auth, encadeiam IDOR com injeção e pivotam entre endpoints. Isso exige raciocínio — não só assinaturas.
O loop Agent Breach
- 01
Descobrir
Mapear endpoints, specs OpenAPI, esquemas GraphQL, superfícies de auth e tecnologia — autenticado e não autenticado.
- 02
Orquestrar
O LLM seleciona as próximas ferramentas e testes via MCP com base no que cada resposta revela.
- 03
Encadear
Conectar injeção, controle de acesso e falhas de sessão em caminhos exploráveis.
- 04
Priorizar
Classificar por explorabilidade e impacto — não volume bruto de alertas.
- 05
Explicar
Relatórios enriquecidos por LLM com remediação clara — não dump bruto de ferramenta.
Stack transparente: Nuclei, SQLMap, Nikto e outros recursos especializados, com a saída original das ferramentas preservada para revisão.
Pesquisas públicas de vulnerabilidades podem orientar o planejamento e gerar alertas compatíveis com a stack. Toda verificação ainda segue o perfil escolhido, a autorização do target e o escopo registrado.
Simulação do produtoExecução ilustrativa
Segurança em pull requests
O que analisamos em cada PR.
Conecte o GitHub App para varreduras de PR hospedadas com check runs, comentários inline nos arquivos alterados e política clara de pass/warn/fail.
Semgrep (SAST)
Análise estática de padrões inseguros na branch do PR.
Gitleaks (segredos)
Detecta chaves de API, tokens e credenciais hardcoded.
Trivy
CVEs em dependências e misconfigurações de IaC no filesystem.
OSV Scanner
Vulnerabilidades conhecidas em lockfiles e manifestos.
OpenSSF Scorecard
Higiene de supply chain do repositório abaixo dos limiares configurados.
Endurecimento de workflows
Pinning de GitHub Actions, permissões e least privilege.
Delta de manifestos de dependências
Sinaliza lockfiles e manifestos adicionados, alterados ou removidos vs a base do PR.
A maioria dos motores analisa o snapshot da branch do PR (commit head). O delta de manifestos de dependências compara lockfiles base vs head. Comentários inline no GitHub priorizam arquivos alterados no pull request.
Auditorias Code Security têm preços separados dos planos web/API e exigem autorização do repositório e consentimento explícito.
Compare abordagens
O que você ganha ao contratar a Agent Breach.
A maioria dos stacks mistura categorias. Veja nesta tabela por que times nos escolhem em vez de DAST por assinatura ou esperar só o PTaaS clássico.
| DAST / monitoramento por assinatura | PTaaS / pentest humano | Agent BreachIdeal para AppSec contínuo | |
|---|---|---|---|
| Melhor para | Monitoramento amplo de CVE e misconfig | Teste criativo profundo e sign-off de compliance | Simulação ofensiva contínua de web/API |
| Cadência | Scans agendados | 1–4× por ano | Verificações agendadas, em deploys e PRs |
| Supervisão humana | Nenhuma / ruído de alerta | Engajamento humano completo | Validação automatizada; revisão conforme o serviço |
| Saída | Findings isolados | PDF + narrativa humana | Caminhos encadeados, repro, grafo de ataque (pago) |
| Tempo para começar | Dias a semanas de setup | Semanas a meses | Minutos |
| Teste de auth | Frequentemente limitado | Forte | OAuth, SAML, cookies, API keys |
| Entrada de preço | Assinaturas mid-tier | Cinco–seis dígitos ao ano | Team self-serve + Enterprise |
A Agent Breach é um SaaS hospedado na UE, sem instalação na sua infraestrutura. Ela substitui o pentest pontual por validação contínua com evidências.
Quem está por trás da Agent Breach
Denis Cabral Lopes
Fundador e Engenheiro de Software Principal
Criei a Agent Breach porque obter um relatório de segurança, ou mesmo saber o que está vulnerável na sua aplicação, costuma ser longo, lento e cheio de burocracia. Quis construir algo mais rápido e acessível. Algo fácil de usar, onde você vê os achados conforme aparecem e entende o que a plataforma está testando. Enquanto empresas esperam meses entre um pentest e outro, continuam expostas. Atacantes ganham tempo demais para explorar falhas que um processo mais ágil teria encontrado antes. Pentest não deveria ser um evento anual. Deveria acontecer com a mesma frequência com que você entrega código.
Mais sobre nós →Conectar no LinkedInFAQ
Perguntas frequentes.
Comece pelas evidências
Explore primeiro. Conecte um app quando estiver pronto.
Use a simulação e o relatório de exemplo sem uma conta ou crie um workspace de avaliação empresarial para um target autorizado e uma varredura. A avaliação compartilhada dura até 14 dias desde a primeira conta, sem cartão ou cobrança automática.