AtRisk - Plataforma de segurança contínua para aplicações construídas com IA

O que é o AtRisk

Se você está construindo aplicações com IA no ritmo do vibe-coding, sabe como é fácil empurrar código para produção sem a revisão de segurança que ele merece. Protótipos viram produtos, produtos viram sistemas críticos — e entre um passo e outro, vulnerabilidades entram silenciosamente no seu stack. É exatamente nesse cenário que o AtRisk entra em cena.

O AtRisk é uma plataforma de segurança contínua projetada especificamente para aplicações construídas com IA. Em vez de oferecer apenas um relatório estático de uma única vez, ele trabalha em um loop permanente: analisa seus sites ao vivo, conecta-se aos repositórios GitHub e revisa pull requests de forma autônoma. O resultado é uma visão unificada da segurança do seu código, do deploy ao desenvolvimento.

A cobertura é tripla. Primeiro, ele realiza revisões autônomas em URLs ao vivo — sejam elas de produção, staging ou protótipos vibe-coded. São mais de 100 verificações, incluindo cabeçalhos de segurança, padrões de segredos vazados, redirecionamentos mal configurados e exposição de superfícies de IA, como chaves LLM e endpoints abertos. Segundo, ele conecta essas descobertas ao código correspondente no GitHub. Terceiro, ele revisa pull requests automaticamente, marcando riscos antes que eles entrem no merge.

No centro de tudo está a pontuação Ship/Block — uma métrica clara e acionável que diz se aquele URL está pronto para ir ao ar ou se precisa de atenção antes. Nada de relatórios ambíguos: você recebe um veredito direto.

Principais recursos do AtRisk

Cada recurso do AtRisk foi desenhado para resolver um problema específico no seu dia a dia de engenharia. Vamos ver o que você pode fazer com cada um.

Segurança de URL ao vivo

Você pode usá-lo para escanear qualquer URL pública em segundos — produção, staging ou aquele protótipo vibe-coded que você quer validar antes de mostrar ao time. Cole a URL, clique em escanear e receba uma pontuação Ship/Block baseada em mais de 100 verificações. O valor é imediato: mesmo sem conectar um repositório GitHub, você já sabe se aquela página está segura o suficiente para ir ao ar.

Descobertas vinculadas

Você pode usá-lo para conectar descobertas de URL ao vivo ao código exato que as causa no GitHub. Em vez de receber um aviso genérico de "segredo exposto", você vê exatamente qual arquivo e qual linha são responsáveis. Todos os problemas semelhantes são agrupados em uma única caixa de entrada, então nada se perde entre ferramentas diferentes.

Revisões de código e pull requests

Você pode usá-lo para revisões automáticas de segurança de envio em pull requests qualificados. O AtRisk verifica segredos vazados, dependências vulneráveis, problemas de autenticação e riscos de superfície de IA. Exemplos reais de achados incluem:

• Chave LLM do cliente na resposta — Crítica

• CSP ausente no next.config — Aviso

• Segredo hardcoded no repositório — Crítica

• Cookie de autenticação sem flag Secure — Aviso

Isso significa que problemas sérios são capturados antes do merge, não depois do deploy.

Integração IDE e fluxo de correção

Você pode usá-lo para acelerar a remediação dentro do seu ambiente de trabalho. O AtRisk apresenta os problemas, os arquivos-fonte vinculados e prompts de correção de IA prontos para uso. Se você trabalha com Cursor ou Claude Code, o suporte a MCP (Model Context Protocol) permite integrar essas correções diretamente no seu fluxo. O caminho é simples: descubra e priorize o problema → abra o arquivo vinculado → aplique a correção → reverifique o URL ao vivo para confirmar a resolução.

Integração CI/CD (Pro)

Você pode usá-lo para criar um portão de deploy real no seu pipeline. O plano Pro inclui uma GitHub Action com formato SARIF que funciona como gate de CI — se a varredura encontrar problemas críticos, o deploy é bloqueado. Além disso, há um sinal de deploy de produção no Vercel com abordagem de aviso primeiro, para você ter visibilidade sem travar o fluxo.

Quem usa o AtRisk

O AtRisk foi projetado para diferentes perfis de equipes que constroem com IA. Se você se identificar com algum destes cenários, ele provavelmente se encaixa no seu fluxo.

Vibe-coders e construtores AI-first: você prototipa rápido com IA e precisa saber se o código que está enviando é seguro. Basta colar a URL, receber a pontuação Ship/Block em segundos — sem precisar configurar GitHub no primeiro momento.

Fundadores solo entregando full-stack: você precisa de descobertas vinculadas entre site e código-fonte, uma única caixa de entrada para entender e corrigir vulnerabilidades. O AtRisk centraliza o que antes exigiria duas ou três ferramentas.

Pequenas equipes de engenharia: as revisões automáticas de segurança de PR no plano Starter capturam segredos e dependências problemáticas antes do merge. Isso libera tempo de revisão manual para focar em arquitetura e lógica.

Equipes padronizadas em Cursor/Claude Code: o suporte a MCP e os prompts de correção prontos aceleram a remediação dentro do IDE. Em vez de sair para outra ferramenta, você resolve o problema dentro do ambiente onde já trabalha.

Equipes que precisam de confiança no lançamento: o portão de deploy CI do plano Pro bloqueia deploys inseguros automaticamente e permite verificar se as correções realmente resolveram o problema. Confiança mensurável, não apenas prometida.

Capacidades técnicas e design

Além de recursos práticos, vale entender a abordagem técnica que faz do AtRisk uma ferramenta verdadeiramente integrada — e quais são seus limites honestos.

Descobertas vinculadas ao código-fonte

O AtRisk mapeia descobertas de URL para código real em repositórios GitHub. Isso conecta o que está em produção ao que está no desenvolvimento, fechando o ciclo entre deploy e correção. Você não recebe apenas "há um problema" — você recebe "este problema está nesta linha deste arquivo".

Varredura somente leitura e não invasiva

Um ponto importante: o AtRisk não é um teste de penetração. As varreduras são exclusivamente de leitura em URLs públicas e repositórios conectados. Não há exploração de vulnerabilidades nem modificação de sites. Isso significa que você pode usar a ferramenta com tranquilidade em ambientes de produção sem risco de interferência.

Cobertura de 100+ verificações

As verificações cobrem cabeçalhos de segurança, padrões de segredos, redirecionamentos e exposição de IA — como chaves LLM expostas no cliente e endpoints de IA abertos. Essa cobertura ampla é especialmente relevante para apps construídos com IA, onde erros comuns de configuração podem vazar credenciais de modelos.

Análise de segurança de PR

As revisões automáticas de pull requests marcam problemas críticos como chaves LLM do cliente e segredos hardcoded. Para cada achado, você recebe hunks sugeridos e prompts de correção, o que transforma a revisão em uma ação prática em vez de apenas um alerta.

Loop de verificação

Aqui está o diferencial mais interessante: o AtRisk opera em um loop de verificação contínua. Marque um problema como corrigido → reverifique o URL ao vivo → confirme a resolução. Não é um relatório de uma única vez; é um ciclo que prova que a correção realmente funcionou.

Planos de preço do AtRisk

A filosofia de preço do AtRisk é simples: comece grátis, escale quando precisar. Você pode criar uma conta gratuita para ver as contagens de descobertas (com detalhes borrados). Para ter acesso completo a correções e controles de CI, é preciso um plano pago. Os preços são mensais: US$ 29 no Starter e US$ 49 no Pro. A disponibilidade de cobrança anual depende do processador de pagamento Polar no checkout.

Perguntas frequentes