Segurança para apps feitos com IA
Encontramos e explicamos as falhas que podem expor clientes, dados e pagamentos antes que alguém de fora as encontre.
Raio-X por R$ 497. Relatório em até 48 horas úteis depois do acesso. Teste somente com autorização por escrito.
Nosso guia
Aprenda com casos públicos, referências reconhecidas e um app feito para quebrar, sem colocar ninguém em risco.
Em produção. O capítulo de amostra já pode ser lido.
Isso já aconteceu
Estes são casos públicos, documentados pelas fontes indicadas. Nenhum deles foi atendido por nós.
Moltbook · janeiro de 2026
A Wiz encontrou uma chave do Supabase no JavaScript. Sem RLS, ela permitia ler e alterar dados, incluindo cerca de 1,5 milhão de tokens.
Lição: a chave pública precisa de regras no banco.
Ler a análise da WizApps na Lovable · 2025
Pesquisadores relataram 303 endpoints expostos em 170 dos 1.645 projetos analisados. Em um teste, marcaram um registro como pago sem passar pela Stripe.
Lição: ter uma política não prova que ela está certa.
Ler o relato dos pesquisadoresBase44 · julho de 2025
A Wiz encontrou rotas de cadastro sem autenticação. Conhecendo o app_id, público, era possível entrar em apps privados. A correção saiu em 24 horas.
Lição: regra de acesso precisa valer no servidor.
Ler a análise da WizReplit e SaaStr · julho de 2025
O fundador da SaaStr relatou a exclusão de dados durante um congelamento de código. A Replit anunciou a separação entre bancos de desenvolvimento e produção.
Lição: agente de IA não deve ter acesso livre à produção.
Ler a reportagemO que revisamos
A análise é manual, com apoio de ferramentas, e usa referências públicas para classificar cada risco.
Se trocar um ID abre dados de outro usuário e se uma conta comum vira admin.
RLS do Supabase, regras do Firebase, arquivos públicos e dados retornados além do necessário.
Limite de tentativas, recuperação de senha, senha padrão e sessão que não termina.
Segredos no navegador, no Git ou em variáveis como NEXT_PUBLIC_ e VITE_.
Webhooks sem assinatura, preço definido no navegador e plano liberado sem pagamento.
Prompt injection, permissões demais e uso sem limite que gera custo alto.
Como podemos ajudar
O relatório foi feito para você poder usar com qualquer desenvolvedor. Correção é opcional.
R$ 497
pagamento único
Sob orçamento
a partir de R$ 2.000
R$ 297
por mês, cancele quando quiser
O que você recebe
O que isso significa: uma pessoa de fora consegue baixar nomes, telefones e horários usando uma chave que qualquer visitante vê no navegador.
O que fazer: ativar as regras de acesso na tabela e limitar cada usuário aos próprios registros.
Exemplo fictício, para mostrar o formato.
Como funciona
Você conta o que o app faz. Confirmamos se o Raio-X é o caminho certo.
Você assina o escopo: o que pode ser testado, quando e o que fica proibido.
Revisamos em ambiente de teste, com contas de teste, sempre que possível.
Você recebe o relatório e marcamos a conversa sobre as prioridades.
Nossas referências
Usamos estes materiais como base técnica. Citar uma referência não significa afiliação, certificação ou garantia.
OWASP Top 10:2025Principais riscos em aplicações web.
OWASP API Security Top 10Falhas recorrentes em APIs.
OWASP Top 10 para LLMRiscos em recursos de IA generativa.
OWASP ASVS 5.0Requisitos para verificar controles de segurança.
NIST SP 800-218APráticas de desenvolvimento seguro para IA generativa.
Documentação dos fornecedoresRegras oficiais de Supabase, Stripe e outras plataformas.
Sem promessa impossível
Nenhuma revisão prova segurança totalAnalisamos o escopo combinado, naquele momento. Novas mudanças podem criar novas falhas.
Não é certificadoO relatório não substitui certificação, auditoria formal nem assessoria jurídica de LGPD.
Não é pentest completoO Raio-X é focado e rápido. Sistemas maiores podem precisar de um teste mais longo.
Sem autorização, não há testeSó começamos com o documento assinado por quem responde pelo app.
Perguntas frequentes
Sim. Cada problema vem explicado em linguagem simples, com o que fazer e um prompt para colar na sua ferramenta de IA.
Lovable, Bolt, Cursor, v0, Replit e apps web parecidos. Se usar outra stack, conte na conversa inicial antes de pagar.
Ajuda muito, mas não é obrigatório. O acesso de leitura ao repositório permite achar mais problemas em menos tempo. Isso é combinado no escopo.
Testes de sobrecarga são proibidos, e preferimos um ambiente separado. Em produção, o risco é reduzido com regras definidas no escopo, mas nenhum teste tem risco zero.
Usamos só o necessário e evitamos baixar dados reais. As evidências são apagadas 30 dias depois da entrega, salvo combinação diferente por escrito.
Ótimo. O relatório registra o que foi verificado e os limites da análise. Você paga pela revisão, não pela quantidade de falhas.
Se o trabalho ainda não começou, devolvemos o valor integral. Se não conseguirmos iniciar por falta de condições técnicas nossas, também.
Envie o link do app, a ferramenta usada e sua data de lançamento. Respondemos com o próximo passo, sem compromisso.