Pular para o conteúdo
Agendar demonstração

Hify AttackHify Defense

Descubra onde
a IA
atacaria
a sua empresa,
antes que alguém
faça isso.

Nossa tecnologia testa seus sites e APIs como um atacante de alto nível. No código, toda mudança é revisada com contexto antes de ir para produção.

Agendar demonstração Ver os produtos

Hify Attackapi.example.com

Testando

  1. Ler a fatura de outra contaGET /api/invoices/demo-02

    Decisão: Reproduzidovai para o pesquisador

  2. Abrir o painel internoGET admin.example.com

    Decisão: Bloqueadofora do escopo autorizado

  3. Usar a sessão depois de sairPOST /api/logout

    Decisão: Em validaçãoaguarda o pesquisador

  4. Testar os campos de buscaGET /api/search

    Decisão: Na filaaguarda a sua aprovação

[02] Prova

Conte com quem vive e respira cybersecurity.

Os achados são revisados por pesquisadores reconhecidos por Apple, Microsoft e Google.

Ranking HackerOneBrasil

Top 2

entre os pesquisadores do Brasil em 2026

2026
2º lugar no Brasil
2025
3º lugar no Brasil
Bug bounty
mais de 1 milhão recebido

Lucas SouzaCofundador, Chief Offensive Security

Hall of Fame

Principais empresas onde encontramos vulnerabilidades

  • NASA
  • GitLab

Empresas para as quais nosso time já reportou vulnerabilidades

[03] Produtos

Dois produtos. Um ciclo de segurança.

01para suas aplicações e APIs

Hify Attack

Agentes de IA testam os sites e APIs que você autorizou. Cada achado chega revisado, com prova reproduzível.

Conhecer o Attack

02para o seu código

Hify Defense

Revisa cada mudança de código com contexto e sugere a correção no próprio pull request.

Conhecer o Defense

Hify Attack para suas aplicações e APIs Produto 1 de 2

[04] Como funciona

Agentes de IA atacam. Um especialista confirma.

  1. Testamos a aplicação

    Agentes de IA atacam os sites e APIs que você autorizou.

  2. Um pesquisador revisa

    Cada achado passa por uma pessoa antes de chegar a você.

  3. Seu time corrige

    O achado traz o passo a passo para reproduzir e corrigir.

  4. Retestamos

    Refazemos o ataque para confirmar que a falha fechou.

Comece por uma aplicação. As outras entram depois, na ordem de risco que você definir.

[05] Cadência Hify Attack

Um pentest por ano não acompanha o que muda.

Sua aplicação muda toda semana. Na Hify, cada mudança relevante dispara um teste.

As 52 semanas de um ano de exemplo. Pentest anual: teste nas três primeiras semanas e, depois, 49 semanas sem teste. Com a Hify: testes ao longo do ano inteiro.
  • semana com teste
  • semana sem teste

PCI DSS v4.0.1, req. 11.4, pede pentest ao menos a cada 12 meses e também depois de mudança significativa.

[06] Achado Hify Attack

Cada achado vem com prova.

Nada de lista de alertas. Seu time recebe o que foi explorado, como corrigir e a confirmação de que a correção funcionou.

HFY-0142

Leitura de dados de outra conta

Severidade: Alta

Prova

A conta A leu os dados da conta B.

Pedido feito pela conta A

GET /v1/accounts/7f3c…e21
Authorization: Bearer ‹conta A›

Resposta com dados da conta B

200 OK
{ "nome": "Mar*** S***",
  "cpf": "***.***.***-12" }

Correção

Conferir se a conta pertence a quem pede, antes de responder.

Trecho sugerido

if (conta.dono !== usuario.id)
  return 404

Reteste

Corrigido em 25/09 · confirmado pelo mesmo ataque

Antes200 OK

Depois404

[07] Plataforma Hify Attack

Uma tela para quem decide. Outra para quem corrige.

O conselho vê se o risco está caindo. O time técnico vê o que corrigir primeiro.

Para quem decide

Índice de risco
2 de 100
Críticos abertos
0
Tempo até corrigir
3 dias

Riscos abertos por mês

  1. 22mar
  2. 17abr
  3. 12mai
  4. 8jun
  5. 5jul
  6. 3ago
  7. 2set

Para quem corrige

  1. HFY-0160 Link de troca de senha funciona mais de uma vez Severidade: Alta Dono: Time de Contas corrigir até 02/10
  2. HFY-0151 Dá para descobrir quem é cliente pelo CPF Severidade: Média Dono: Time de Contas em reteste
  3. HFY-0157 Limite diário burlado com pedidos simultâneos Severidade: Crítica Dono: Time de Cartões corrigido em 25/09
  4. HFY-0142 Leitura de dados de outra conta Severidade: Alta Dono: Time de Contas corrigido em 25/09
Relatório executivo e evidência para auditoria saem da mesma tela.

Hify Defense para o seu código Produto 2 de 2

[08] Revisão de código

Revisão de cada mudança de código, com contexto.

Defense lê a mudança junto com os serviços que ela toca e explica o risco a quem escreveu, antes da produção.

Pull request #128 Endpoint de faturas

Corrigido antes de produção

src/api/invoices.ts linhas adicionadas: +5

12export async function getInvoice(req, res) {
13+const invoice = await db.invoices.find(req.params.id);
14+if (invoice.accountId !== req.session.accountId) {
15+return res.status(403).end();
16+}
17+return res.json(invoice);
18}

Hify Defense bot

Esta rota devolve a fatura sem conferir se ela é da conta logada. Qualquer usuário autenticado lê a fatura de outra conta trocando o id.

Sugestão de correção

+if (invoice.accountId !== req.session.accountId) {
+return res.status(403).end();
+}

Sugestão aplicada

  1. Entra pelo GitHub App

    No repositório que você escolher.

  2. Responde no pull request

    Explica o risco e sugere a correção onde o código é revisado.

  3. Seu time decide

    Seus desenvolvedores aprovam cada mudança antes de ir para produção.

[09] Controle

Nada sai do escopo que você aprovou.

Agente autônomo só é seguro com limite. O seu vira política, conferida a cada requisição.

  • Escopo aprovado

    Hosts, rotas, contas de teste, horário e velocidade.

  • Tudo registrado

    Cada requisição com a resposta, exportável para auditoria.

  • Você pausa

    Um botão no painel interrompe a execução na hora.

Bloqueado antes de sair

  • /v1/admin/*
  • /payments/*
  • serviços de terceiros

Dentro do escopo

  • app.exemplo.com.br
  • api.exemplo.com.br/v1

[10] Radar

Saiu uma falha nova. O Radar diz se ela afeta você.

O Radar monitora em tempo real mais de 200 fontes onde pesquisadores de cibersegurança do mundo todo publicam o que encontram, e entende como cada vulnerabilidade afeta as suas aplicações.

  1. Monitora

    Mais de 200 fontes, em tempo real.

  2. Cruza

    Cada falha nova com as suas aplicações.

  3. Prioriza

    Primeiro, o que pede ação hoje.

Abrir o Radar
Exemplo do Radar: cinco falhas publicadas hoje. Três afetam as suas aplicações e duas não.

Ao vivo

200+ fontes

  1. Falha permite entrar sem senhaCríticaBiblioteca de login

    Agir hojeAfeta 2 aplicações

  2. Versão adulterada rouba credenciaisAltaPacote de código aberto

    Não afeta vocêVocê não usa esse pacote

  3. Falha já usada em ataques reaisAltaServidor web

    Esta semanaAfeta 1 aplicação

  4. Vazamento de dados de clientesMédiaServiço de terceiros

    Não afeta vocêVocê não usa esse serviço

  5. Falha permite ler dados de outra contaCríticaFramework de API

    Agir hojeAfeta 1 aplicação

[11] Integrações

O achado chega onde seu time já trabalha.

Também por e-mail, WhatsApp, API, webhooks e login único (SSO).

  • Jira
  • Slack
  • Microsoft Teams
  • GitHub
  • GitLab
  • Claude Code
  • Cursor
  • Codex
  • GitHub Copilot
  • Windsurf

[12] Comparativo

Profundidade de pentest, no ritmo das suas mudanças.

Comparação entre pentest anual, scanner, bug bounty e a Hify
Critério Pentest anual Scanner Bug bounty
Frequência 1 vez por ano A cada build Enquanto o programa durar Em ciclos e a cada mudança relevante
Encontra falha de regra de negócio Sim Parcial Parcial Sim
Entrega prova reproduzível Sim Parcial Sim Sim
Refaz o ataque depois da correção Parcial Sim Parcial Sim
Encaixa no deploy Não Sim Não Sim
Revisa cada mudança de código antes de produção Não Parcial Não Sim
Custo previsível Sim Sim Não Sim

Para rede interna, engenharia social e teste físico, o pentest tradicional continua sendo o caminho.

[13] Equipe

Quem constrói a Hify.

Quatro cofundadores construindo a plataforma, com um advisor do conselho do Nubank.

  • Cofundador, CEO

    Igor Gontijo

    Fundou, escalou e vendeu a Hackr Ads, plataforma que gerenciava mais de R$ 380 milhões em anúncios. Adquirida pela Conta Simples em 2022.

  • Cofundador, CPO

    Lucas Fonseca

    Experiência na construção de sistemas com IA. Consultor de segurança da Dreamer, adquirida pela Meta em 2026.

  • Cofundador, Chief Offensive Security

    Lucas Souza

    Distinguished hacker, com mais de 1 milhão recebido em bug bounty. TOP 2 da HackerOne no Brasil em 2026, com experiência em times de DevSecOps.

  • Cofundador, Chief Research & Development

    João Costa

    Foi desenvolvedor e atuou em AppSec no Mercado Pago, no time que constrói as soluções de segurança de aplicações do Mercado Livre. Construiu com Lucas Souza um harness próprio de testes de intrusão.

Advisor

Rogério Calderón

Membro do conselho de administração do Nubank e presidente do comitê de risco.

[14] Dúvidas

Dúvidas antes da demonstração.

Substitui o pentest manual?

Em aplicações web e APIs, a Hify testa com muito mais frequência que um pentest anual, e todo achado passa por um especialista. Rede interna, engenharia social e teste físico ficam fora: para eles, o pentest manual continua no seu plano.

Substitui o scanner?

Não, complementa. O scanner procura padrões conhecidos, uma requisição por vez. A Hify segue caminhos de várias etapas com sessão real, testa a regra de negócio da aplicação e entrega cada achado com a prova.

Em qual ambiente os testes rodam?

No ambiente que você define no escopo, com janela de horário, limite de requisições por segundo e métodos destrutivos bloqueados.

Onde ficam os dados dos testes?

Onde ficam, por quanto tempo e quem acessa são respondidos no questionário de segurança, sob acordo de confidencialidade, antes de qualquer dado sensível. Na evidência, dados pessoais aparecem mascarados.

Preciso fornecer credenciais ou código?

Não para começar. Dá para partir da visão externa ou de duas contas de teste, que já mostram se uma conta consegue ler dados da outra. Código entra quando você autorizar, e o teste passa a enxergar mais.

E se nada for encontrado?

Nenhum achado não quer dizer ambiente seguro. O relatório registra o que foi testado, com quais acessos, e o que ficou de fora e por quê.

Como funciona o preço?

Por aplicação, conforme o plano. Pesam a complexidade de cada uma, a frequência dos ciclos e o nível de acesso. O valor é definido depois da demonstração; não há tabela pública.

[15] Conversa

Veja a Hify atacar primeiro, com a sua autorização.

Uma demonstração com a plataforma rodando.

Ou escreva para igor@hify.ai.