Escondi 3 falhas no meu app e a skill de segurança da Cloudflare encontrou... (security-audit-skill)

Autoria: Matheus Battisti - Hora de Codar · Assistir no YouTube

Vídeo de autoria do canal indicado, não da IANIA; todos os direitos pertencem ao criador. Transcrição, resumo e tradução gerados automaticamente; o conteúdo no idioma original é preservado na versão em idioma original.

Idioma original: português

Vídeo original: Escondi 3 falhas no meu app e a skill de segurança da Cloudflare achou… (security-audit-skill) · Canal: Matheus Battisti - Hora de Codar · 14:01 · Assistir no YouTube

Tópicos: Agentes de IA, Cibersegurança e segurança de software, Engenharia de software com IA

Resumo

Matheus Battisti demonstra a Security Audit Skill da Cloudflare, que usa subagents para analisar um projeto, testar possíveis vulnerabilidades e gerar relatórios de auditoria. No projeto Studio Ritmo, a skill mapeia a aplicação, divide a busca por áreas e submete os achados a verificações adicionais. A auditoria identifica problemas como uma possível SQL injection e uma senha padrão que precisa de validação, registrando os resultados em arquivos Markdown. O vídeo também mostra como pedir correções com testes automatizados e observa que a execução pode consumir muitos tokens e ter um custo elevado.

Pontos-chave

A Security Audit Skill da Cloudflare automatiza etapas de análise de segurança usando subagents.
O fluxo demonstrado inclui mapear o projeto, procurar vulnerabilidades, verificar os achados e gerar relatórios.
A skill divide a auditoria em áreas, como rotas de API, autenticação e server actions.
Um sandbox com Docker pode permitir testes adicionais; no Windows, a configuração pode ser mais difícil.
A auditoria gera arquivos Markdown com detalhes dos achados, itens que precisam de validação e um relatório final.
Entre os resultados apresentados estão uma possível SQL injection e uma senha padrão que pode representar um risco se estiver em produção.
O autor sugere pedir que cada falha seja reproduzida por um teste automatizado antes de aplicar a correção.
A auditoria pode ser cara: no exemplo, o autor estima um custo de 26 dólares e relata uso do Opus 5.5.

Capítulos

Início	Capítulo	Resumo
00:00	Apresentação da skill de segurança	O apresentador explica a proposta da skill da Cloudflare e descreve seu fluxo de análise com subagents.
02:34	Repositório e instalação	Ele apresenta o repositório, o projeto Studio Ritmo e a instalação da skill no ambiente de desenvolvimento.
05:10	Execução da auditoria	A skill mapeia o projeto e inicia as buscas, com uma explicação sobre o uso de sandbox e as limitações no Windows.
07:47	Busca e verificação dos achados	Subagents analisam áreas distintas do projeto e outros agentes verificam os resultados encontrados.
10:56	Relatórios, custo e correções	O apresentador mostra os achados e os relatórios, comenta o custo e sugere corrigir as falhas com testes automatizados.

Citações

Vários subagents vão procurar problemas e todo o ciclo roda nessas seis fases. — 01:33

Se ele rodar o sandbox, vai ter mais testes sendo executados. — 05:42

Ele encontrou um SQL injection, sem login. — 11:26

Para cada falha, escreva antes um teste automatizado que reproduza o ataque e falhe, e depois faça ele passar. — 12:59

Conceitos e entidades

Security Audit Skill (ferramenta): Skill apresentada no vídeo para procurar vulnerabilidades em projetos e produzir relatórios de auditoria.
Cloudflare (empresa): Empresa responsável pela skill de segurança demonstrada no vídeo.
subagent (conceito): Agente auxiliar que examina uma área do projeto ou verifica achados da auditoria.
sandbox (conceito): Ambiente isolado usado para testar a aplicação durante a auditoria.
Docker (ferramenta): Ferramenta mencionada como opção para montar o ambiente isolado de testes.
SQL injection (conceito): Vulnerabilidade identificada entre os achados apresentados na auditoria.
Opus 5.5 (modelo): Modelo que, segundo o autor, foi usado na auditoria do exemplo.
Studio Ritmo (repo): Projeto usado no vídeo como alvo da auditoria de segurança.
Matheus Battisti (pessoa): Apresentador do vídeo e responsável pela demonstração da skill.

Tradução completa (pt-BR)

00:00 Galera, a Cloudflare lançou uma skill de segurança gratuita. O que ela faz? Ela divide o trabalho entre subagents que vão atacar o teu projeto em várias partes. Além disso, os achados são testados para que realmente constem no arquivo de melhorias e correções que a gente tem que fazer. Muita gente está utilizando; o repositório já passa de 40.000 estrelas. Hoje eu vou mostrar para vocês como ela funciona na prática, como utilizar e como tirar o

00:30 melhor resultado dessa skill, que tem uma empresa muito grande por trás. Então, bora lá. Bom, galera, antes, uma pequena apresentação aqui, só para mostrar para vocês como funciona, tá? Porque o interessante é ver na prática, tá? O nome dela é Security Auto Skill. A Cloudflare, para quem não conhece, também é uma empresa bem conhecida nesse ramo da segurança. Muitos dos nossos projetos rodam com o DNS gerenciado pela Cloudflare, porque aí tu consegue ter uma espécie de proteção e também uma CDN para que os sites

01:02 sejam acessados mais rapidamente, tá? Além disso, eles trabalham em outras frentes e agora estão entrando muito forte na IA. Eles lançaram um concorrente da Jev, né? Eu até trouxe aqui no canal alguns dias atrás. E agora tem essa skill aqui, que muita gente está utilizando, tá? Quando comecei a preparar o material, o repositório tinha 32.000 estrelas; agora já passa de 40.000, tá? É gratuita, qualquer um pode utilizar e aceita vários agents, porque é um arquivo Markdown, né? Não tem limitações quanto a isso. Como funciona? Bom, é bem

01:33 simples. Vários subagents vão procurar problemas, e todo o ciclo passa por essas seis fases. Então, a gente tem o mapeamento da aplicação; vários subagents são acionados para encontrar os problemas; tem uma equipe de ataque e um verificador para cada achado. Então, aqui a gente vai verificar se é de fato um problema. Se for, ele será registrado nesse arquivo de achados. Depois, há outra conferência com outros agents, como se fosse uma segunda checagem, e aí, por fim, há um relatório. Com esse relatório, a gente consegue resolver os problemas encontrados.

02:04 Tá bom? Então, é bem interessante, bem simples e fácil de utilizar. Chega mais que agora vamos ver na prática. Galera, antes de mostrar o repositório, não esquece de baixar o Fábrica. Fábrica é o nosso e-book com quase 200 páginas, no qual eu mostro para vocês como desenvolvo sistemas. É um material de leitura, que muita gente pede, totalmente ilustrado, com casos práticos. O link vai estar aqui na

02:34 descrição, tá? Então baixa aí, porque acho que vai te ajudar se tu quer melhorar o teu desenvolvimento de sistemas com IA. Olha, o repositório é este aqui, beleza? Como falei, ele está com mais de 40.000 estrelas e explica aqui como funciona a instalação da skill. A gente vai fazer isso juntos, né? Mas é bem autoexplicativo, não tem mistério, tá? Eles também lançaram um artigo em que explicam melhor como surgiu a skill, né? Quem tiver interesse em ler, é bem completo e informativo, tá?

03:06 Utilizei isto aqui para fazer a apresentação para vocês, né? Extraí as informações daqui. Bom, como vocês sabem, a gente precisa ter um cenário de base, e aqui tenho um projeto que usei em um vídeo anterior. Vou verificar a quantidade de problemas neste projeto, o Studio Ritmo, tá? Como a gente começa? No meu caso, estou com o VS Code aberto, sem a skill instalada, e vou instalá-la agora com o comando que está lá no repositório.

03:37 Algumas pessoas perguntaram por que estou utilizando aqui pelo terminal. Não gosto do Claude Code, da interface dele, tá? Prefiro o terminal; para mim, é melhor e tem mais funcionalidades. Talvez eles melhorem. Já o Codex, estou utilizando pela interface; para mim, tem tudo de que preciso. Já o Claude Code, não. Então, vamos utilizar este comando: npx skills add, para instalar a Security Audit Skill da Cloudflare. Ele vai adicioná-la aqui, e aí iniciamos o Claude Code para

04:08 poder ver a skill. Gosto de instalar por projeto, tá, galera? Porque assim eu isolo o ambiente, vejo se vale a pena e aí sim tomamos a decisão de instalar globalmente. Então, vamos iniciar o Claude Code, e aqui vai aparecer a Security Audit, tá? O que acontece? Vou mapear aqui o uso de tokens. Vamos ver se ela usa bastante, tá? Então vou consultar o uso. Estou vendo aqui que a sessão não tem custo nenhum, né? Vamos executar a skill uma vez para ver

04:39 quanto ela vai gastar neste cenário aqui, né? Vou pedir para auditar o projeto todo. Então, galera, vamos usar a Security Audit, tá? E posso mandar um prompt junto. Aí tu pode pedir o que quiser em relação a esse tema de segurança. Por exemplo: “Faça uma auditoria de segurança completa do projeto que está na pasta turma cheia”, já que estou na pasta pai, né? O perfil padrão da skill. Depois, sugiro que vocês deem uma olhada na documentação. Salve todos os arquivos da auditoria na pasta

05:10 auditoria, aqui fora do projeto. Assim, dou uma orientação de onde salvar esses arquivos, tá? Aí ele vai consultar a skill, entender e começar as fases. Vocês podem ver ali que a primeira fase é mapear o projeto, como estava explícito no slide, e aí começa. Ele vai fazer essa verificação, separar os subagents, testar, catalogar os achados, testar de novo e, por fim, validar somente o que sobrou e entregar para a gente, né? Também tem uma questão de sandbox, tá,

05:42 galera? É um ambiente isolado que ele consegue montar para testar a aplicação, tá? Aqui ele está dizendo que consegue usar o Docker que eu tenho para isso, tá? E ter isso ajuda a melhorar a precisão dos testes, beleza? Então, se ele não executar esse sandbox, serão feitos menos testes. Se executar o sandbox, serão feitos mais testes. Basicamente, é isso. E, de forma mais simples, em ambientes Linux e Mac, isso é

06:15 mais fácil de fazer, né? Como estou no Windows, ele depende de outras ferramentas que talvez não estejam no computador. Mas, se for testar no Windows, por exemplo, pode ser que ele não execute essa parte por falta do sandbox. Mas isso não compromete tudo; ele ainda consegue executar boa parte da skill. Bom, galera, enquanto ele vai fazendo o trabalho dele, outro aviso importante: a Hostinger está em Black Friday, tá? Se tu estava esperando um bom momento, uma boa promoção para adquirir tua VPS, teu servidor na nuvem, cara, agora é a hora, né? É a melhor promoção do ano. Vou deixar o link aqui na descrição deste vídeo, tá? O nosso cupom já é aplicado automaticamente e te dá mais um

06:46 descontinho. Eu sempre indico este KVM2. É uma máquina intermediária, como vocês podem ver aqui, com configurações muito boas. Vai aguentar vários projetos ao mesmo tempo, né, simultaneamente. E tem a questão de ter o servidor no Brasil, tá? Então, tu vai escolher o plano aqui: quanto mais tempo, mais desconto tu ganha. E aqui tu pode escolher Brasil e terá a menor latência possível, né? Várias empresas só têm servidores fora do Brasil, e a Hostinger investe muito em infraestrutura aqui no Brasil, em data centers. Então, tu pode escolher essa opção e ter uma latência menor, ou seja,

07:16 tua aplicação será mais rápida. Aqui, eu particularmente escolheria o Ubuntu como sistema operacional, tá? Mas tu pode escolher o que te agrada mais. Acho o Ubuntu fácil de mexer. E aqui ele não aplicou meu cupom porque já estou autenticado na minha conta, né? Mas tu pode ver que o teu vai estar aplicado. Se não estiver, aplica; vai ter um descontinho a mais e pronto: a VPS está pronta, tu pode utilizá-la para colocar tuas aplicações no ar. Bora voltar para a skill. Bom, aqui, como vocês podem ver, ele terminou o mapeamento, então provavelmente já está indo para a segunda etapa, né?

07:47 De disparar os subagents, e aí vai começar a encontrar os problemas, né? Provavelmente vou dar umas cortadas para deixar o vídeo mais dinâmico, mas é um processo que demora, é um processo que gasta tokens, tá, galera? Mas é importantíssimo para garantir que o app não tenha nenhum problema de segurança, né? É o que a gente quer. Aqui, se vocês perceberem, ele identificou o projeto como pequeno — ele já tinha falado isso antes — e vai colocar quatro caçadores, né? Que são os subagents para encontrar os problemas. Então ele colocou aqui: rotas

08:18 de API, autenticação, ações do servidor de domínio, renderização e curinga. Foi assim que ele dividiu o projeto. São áreas isoladas, né? Teoricamente. E cada um deles vai trazer os problemas encontrados para a gente. A pasta de auditoria já está criada aqui, né? Ele cria os subagents e tudo mais; fica tudo bem catalogado. Tem arquitetura aqui, prompts. Então é algo bem presente, né?

08:48 Digamos assim, fisicamente no nosso projeto, né? Customizado para a nossa necessidade. Não é algo genérico, digamos assim, né? Então, aqui não tem o que fazer: é só esperar os subagents voltarem, e aí a próxima fase vai começar. Olha, galera, o que aconteceu aqui? Ele já retornou, tá? Trouxe os quatro caçadores, e eles trouxeram os resultados. Agora ele juntou tudo, né? E disparou de

09:20 novo subagents naquela fase de verificar os achados. Então ele disparou oito agents para fazer aquela segunda checagem, como comentei com vocês. Tudo o que foi encontrado agora vai ser confirmado, né? Como vocês podem ver aqui, em vez de caçadores, agora temos os verificadores nos prompts. É exatamente isso que está sendo disparado ali para fazer a conferência. E aí vamos ter o resultado final para ver o que faremos com

09:53 os problemas encontrados aqui no nosso projeto. Olha, galera, ele falou que todos os verificadores estão terminando a segunda rodada. E aí vai começar a fase cinco, que é justamente a revisão das checagens e do que os subagents trouxeram, né? Essa é a fase cinco. Como ela dispara os subagents, também faz uma comparação final para a gente ver o que vai sobrar

10:26 para a fase seis, que é o relatório. Então, os subagents estão terminando aqui; provavelmente estamos nos encaminhando para a fase seis. Olha, agora sim, a fase cinco está completa. Todos os sete achados foram verificados, e nenhum precisa ser substituído, né? Ele está fazendo uma última checagem e, depois disso, falou que vai escrever os relatórios. Aí, sim, nós corrigiríamos os problemas, né? Olha, ele terminou tudo aqui, galera,

10:56 está fazendo a crítica final de limpeza. Com isso, vamos ter os relatórios em português, né? Rodou tudo em português, apesar de a IA responder em inglês para o Sku; o relatório final está em português. Bom, agora ele terminou e está falando que a fase seis começa, né? Então, vamos aos relatórios para ver quanto custou e também como vamos pedir para corrigir isso. Vocês viram ali: é bem simples, né? Roda tudo praticamente no automático. É bem cômodo, o Sku faz tudo sozinho. Aí,

11:26 para avaliar, depois, no final, é só pedir para corrigir. Olha, galera, ele fala que rodou tudo e que os itens confirmados são estes aqui: crítico, alto, médio, médio. Por exemplo, encontrou uma injeção de SQL sem login. Então, isso aqui é um problema; tem que corrigir, senão nossa aplicação vai ficar suscetível a invasões, né? E alguns itens precisam de validação, né? Isso seria um critério nosso. Por exemplo: senha padrão, sequência 1, 2, 3. O

11:58 banco é preenchido automaticamente com essa senha, que está no README. Confirmei que ela dá acesso às quatro contas de professor. Falta saber se algum deploy real foi criado assim. Então, ele não quer, digamos assim, que essa senha esteja em produção, porque isso também pode ser um risco. Aí a gente tem os relatórios. Tem estes três arquivos Markdown aqui: os detalhes das descobertas, que mostram como ele encontrou cada uma; os itens que precisam de validação, que são os que ele mencionou; e o relatório final. Tudo bem documentado. E aí, o que a gente faria? A gente

12:28 pediria para ele corrigir, né? Então, primeiro vou abrir o uso aqui. Olha, se fosse uma auditoria de API, teria custado 26 dólares, né? Então, é realmente um processo bem custoso. Ele utilizou basicamente o Opus 5.5; não variou para submodelos, como Haiku e Sonnet. Então, isso acaba ficando caro, né? E aí, o que eu poderia fazer? Um prompt de correção. Como ele sabe do que estamos falando e tem o contexto da conversa, ficaria mais

12:59 ou menos assim: “Corrija no projeto as falhas apontadas no relatório de auditoria que está na pasta de auditoria, tanto as confirmadas quanto as que precisam de validação, que são aquelas duas, né? Siga a correção sugerida para cada uma. Para cada falha, escreva primeiro um teste automatizado que reproduza o ataque e falhe; depois, faça o teste passar. No fim, rode todos os testes.” Então, o que estou fazendo? Me protegendo contra futuros problemas semelhantes. E aí, agora, ele começaria a corrigir todos os problemas. Bem simples, não tem mistério nenhum, tá, galera? Bom, aí

13:30 agora é só esperar, né? Ele corrigiria, e a gente faria a revisão para ver se está tudo certo, tá? Vou deixar aqui a skill para vocês darem uma olhada, né? É uma skill bem popular; vejo que passou de 100 curtidas ali só no meu, durante a gravação do vídeo, né? Então é bem interessante vocês conhecerem. Se estão procurando uma VPS, cara, deem uma olhada na Hostinger. O link vai estar na descrição deste vídeo. Eles estão com a promoção da Black Friday; logo teremos a nossa, da Codar, também, tá? Então fiquem atentos. Vai ser interessante também, tá? Recomendo o KVM2, que é uma máquina

14:01 intermediária, como falei antes. E o Fábrica de Sistemas, que é o e-book que fiz recentemente, em que detalho meu processo de desenvolvimento de sistemas usando SSD. É uma estratégia bem validada e funciona, porque permite desenvolver sistemas de maneira planejada, né? Não é só ir prototipando, mas planejar o sistema antes de executar. Galera, então é isso. Espero que vocês tenham curtido. Se gostaram, deixem o like e se inscrevam aqui no canal. Isso me ajuda bastante e ajuda a continuar meu trabalho. E, é claro, fico esperando vocês no próximo vídeo. Valeu!

Transcrição original

[00:00] Galera, CloudFlare lançou uma skill de segurança gratuita. Que que ela faz? Ela divide em sub agents que vão atacar o teu projeto em várias partes e ainda os achados são testados para que realmente eles constem no arquivo de melhorias, de correções que a gente tem que fazer. Muita gente está utilizando, o repositório já passa de 40.000 estrelas e hoje eu vou mostrar para vocês ela na prática, como utilizar e como tirar aí o

[00:30] melhor resultado dessa skill que tem uma empresa muito grande por trás. Então, bora lá. Bom, galera, antes uma pequena apresentação aqui, só para mostrar para vocês como que funciona, tá? Porque o interessante é ver na prática, tá? O nome dela é Security Auto Skill. CloudFlare, para quem não conhece, também é uma empresa bem conhecida nesse ramo da segurança. Muitos nossos projetos rodam ali o DNS gerenciado pela CloudFlare, porque aí tu consegue fazer uma espécie de proteção e também CDN para que os sites

[01:02] sejam acessados mais rapidamente, tá? Além disso, né, eles trabalham em outras frentes e agora eles estão entrando muito forte na IA. Eles lançaram um concorrente por Jeff, né? Eu até trouxe aqui no canal alguns dias atrás e agora essa skill aqui que muita gente tá utilizando, tá? Quando eu comecei a preparar o material, tava com 32.000 estrelas, agora já passa de 40, tá? É gratuita, qualquer um pode utilizar e aceita vários agentes, porque é um markdown, né? Não tem limitações quanto a isso. Como é que funciona? Bom, é bem

[01:33] simples. Vários sub agents, tá, que vão procurar problemas e todo o ciclo roda nessas seis fases. Então, a gente tem ali um mapeamento da aplicação, vários sub agents, eh, sendo disparados para poder encontrar os problemas, tem a derrubar, um verificador por achado, então aqui a gente vai verificar se é é problema de fato. Se for, ele será registrado nesse arquivo de achados. Depois tem uma outra conferência com outros agentes, como se fosse um double

[02:04] check, e aí por fim tem um relatório e com esse relatório a gente consegue estar resolvendo os problemas encontrados. Tá bom? Então, bem interessante, bem simples e fácil de utilizar. Chega mais que agora vamos ver ela em prática. Galera, antes de mostrar o repositório, não esquece de baixar o Fábrica, Fábrica é o nosso e-book com quase 200 páginas onde eu mostro para vocês como eu desenvolvo sistemas. É um material de leitura, muita gente pede, totalmente ilustrado, com cases práticos. O link vai estar aqui na

[02:34] descrição, tá? Então baixa aí que eu acho que vai te ajudar se tu quer melhorar o teu desenvolvimento de sistemas com IA. Ó, o repositório é esse aqui, beleza? Como eu falei, ele tá com mais de 40.000 stars e ele tem aqui como funciona, né, a maneira de instalar a Skill. A gente vai fazer isso juntos, né? Mas é bem autoexplicativo aqui, não tem mistério, tá? Eles também lançaram um artigo onde eles explicam mais como é que surgiu a Skill, né? Quem tiver interesse em ler, é bem completo, bem informativo, tá?

[03:06] Utilizei isso aqui para fazer a apresentação ali para vocês, né? Extrair aqui as informações. Bom, como vocês sabem, né, a gente precisa ter um cenário de base e aqui eu tenho um projeto que eu usei num vídeo atrás e eu vou verificar aí a quantidade de problemas nesse aqui, esse Studio Ritmo, tá? Como é que a gente começa? Então, no meu caso, eu tô com o VS Code aberto aqui, eu estou sem Skill instalada e eu vou justamente instalar ela agora com o comando que tá lá no repositório.

[03:37] Algumas pessoas perguntaram por que eu tô utilizando aqui via terminal, eu não gosto do Code Code, da interface deles, tá? Prefiro o terminal, para mim é melhor, tem mais funcionalidades, talvez eles melhorem. Já o Codex, eu tô utilizando ele via interface, para mim tem tudo que eu preciso. Já o Cloud Code não. Então a gente vai utilizar esse comando NPX Skills add, né, para instalar a Skill Security Audit Audit da Cloudflare. Ele vai fazer a adição aqui e aí a gente inicia o Cloud, eh, para

[04:08] poder ver a Skill. Gosto de instalar via projeto, tá galera, porque eu isolo o ambiente, aí eu vejo se vale a pena e aí sim a gente toma uma decisão de instalar global. Aí inicializaremos o Cloud e aqui vai ter a Security Audit, tá? Que que acontece? Vou mapear aqui o uso de tokens, vamos ver se ela usa bastante, tá? Então vou dar um usage aqui. Tô começando a ver aqui a sessão não tem custo nenhum, né? Vamos rodar uma vez a Skill para ver

[04:39] quanto que ela vai gastar nesse cenário aqui, né? Onde eu peço para auditar o projeto todo. Então aqui, galera, a gente vai utilizar o Security Audit, tá? E eu posso mandar um prompt junto. Aí tu pode pedir o que tu quiser em torno, né, desse termo de segurança. Por exemplo, faça uma auditoria de segurança completa do projeto que está na pasta turma cheia, que eu tô na pasta pai, né? O perfil standard, né, padrão ali da Skill. Depois sugiro vocês darem uma olhada na documentação. Salve todos os arquivos de da auditoria na pasta

[05:10] auditoria, aqui fora do projeto. Então para uma orientação para onde salvar esses arquivos, tá? Aí ele vai ver a Skill, ele vai entender e vai começar as fases. Vocês podem ver ali que a primeira fase é mapear o projeto, como estava explícito lá no slide, e aí começa. Ele vai fazer essa verificação, vai separar os subagents, vai testar, vai catalogar os achados, vai retestar e aí por fim ele vai validar somente o que sobrou e vai entregar para a gente, né? Tem também uma questão de sandbox, tá

[05:42] galera, que é um ambiente que ele consegue montar de forma isolada para poder fazer o teste da aplicação, tá? Aqui ele tá falando que ele consegue usar o Docker que eu tenho para isso, tá? E ter isso ajuda a melhorar a precisão dos testes, beleza? Então, se ele não rodar esse Sandbox aqui, que vai ter menos testes sendo executados. Se ele rodar o Sandbox, vai ter mais testes sendo executados. Basicamente é isso. E de forma mais simples, em ambientes Linux, Mac, isso é

[06:15] mais fácil de fazer, né? Como eu tô no Windows aqui, ele depende de outras ferramentas que talvez não estejam no computador. Mas se for testar aí no Windows, por exemplo, pode ser que ele não rode essa parte pela falta do Sandbox. Mas não compromete tudo, ele ainda consegue rodar boa parte da Skill. Bom, galera, enquanto ele vai se achando ali, um outro aviso importante é que a Hostinger tá em Black Friday, tá? Se tu tava esperando um momento bom, uma promoção boa para adquirir tua VPS, teu servidor na nuvem, cara, agora é a hora, né? É a melhor promoção do ano. Vou deixar o link aqui na descrição desse vídeo, tá? Já aplica o nosso cupom automaticamente, te dá mais um

[06:46] descontinho ainda. Eu sempre indico esse KVM2, é uma máquina intermediária, como vocês podem ver aqui, configurações muito boas, vai aguentar vários projetos ao mesmo tempo, né, simultâneos. E tem a questão de ter o servidor no Brasil, tá? Então, tu vai escolher o plano aqui, ó, o quanto mais tempo, mais desconto tu ganha. E aqui tu pode vir em Brasil e tu terá a menor latência possível, né? Várias empresas só tem servidores fora do Brasil e a Hostinger investe muito em infra aqui, né, no Brasil em data centers. Então, tu pode tá escolhendo e tendo aí uma latência menor, ou seja,

[07:16] tua aplicação será mais rápida. Aqui, eu particularmente vou de Ubuntu, tá, como sistema operacional, mas tu pode escolher o que te agrada mais. Eu acho o Ubuntu fácil de mexer. E aqui ele não pegou meu cupom porque eu já tô autenticado na minha conta, né? Mas tu pode ver que o teu vai tá aplicado, se não tiver, aplica, vai ter um descontinho a mais e pronto, VPS tá pronto, tu pode tá utilizando aí para colocar tuas aplicações no ar. Bora voltar para a Skill. Bom, aqui, como vocês podem ver, ele terminou o mapeamento, então provavelmente ele deve estar indo para a segunda etapa já, né?

[07:47] De disparar os sub agents e aí vai começar a encontrar os problemas, né? Que provavelmente eu vou dar umas cortadas, daí eu vou deixar mais dinâmico o vídeo, mas é um processo que demora, é um processo que gasta tokens, está, galera? Mas é importantíssimo para garantir que teu app tenha zero problemas de segurança, né? Que é o que a gente quer. Aqui, se vocês perceberem, ele identificou o projeto como pequeno, ele tinha falado antes, e ele vai colocar quatro hunters, né? Que são os sub agents para encontrar os problemas. Então ele colocou aqui, eh, rotas

[08:18] de API, autenticação, hã, domain server actions, rendering and wildcard. Foi assim que ele dividiu o projeto. Aí, eh, são áreas isoladas, né? Teoricamente. E ele vai trazer, cada um deles vai trazer problemas encontrados aí para a gente. A pasta auditoria já está criada aqui, né? Ele cria os sub agents, tudo, fica tudo bem, eh, catalogado, tem arquitetura aqui, prompts. Então é algo bem presente, né?

[08:48] Vamos dizer assim, fisicamente no nosso projeto, né? Customizado para a nossa necessidade. Não é algo, eh, genérico, digamos assim, né? Então aqui não tem que fazer, só esperar os sub agents voltarem e aí a gente vai ter a próxima fase começando. Ó, galera, aí aqui, o que aconteceu? Ele já retornou, tá? Ó, ele trouxe os quatro hunters e eles trouxeram, né, os resultados. Agora ele uniu tudo, né? E disparou de

[09:20] novo sub agents naquela fase, né? De verificar os achados. Então ele disparou oito agentes para poder fazer aquele double check, como eu comentei com vocês. Então tudo que foi encontrado agora vai ser confirmado, né? Então, como vocês podem ver aqui, em prompts agora, em vez de hunters, né, a gente tem os verificadores. Que é exatamente o que está sendo disparado ali para fazer a conferência. E aí, a gente vai ter o resultado final para poder ver o que faremos, né, quanto

[09:53] os problemas encontrados aqui no nosso projeto. Ó, galera, e aí, ele falou que todos os verificadores estão terminando, né, da segunda wave. E aí, a fase cinco vai começar, que é justamente aí a revisão das checagens do que os sub agents trouxeram, né. Que é a fase cinco, né. Como ela dispara os sub agents, ela ainda também faz uma comparação final ali para a gente poder ver o que que vai sobrar

[10:26] para a fase seis, que é o relatório. Então, tá tudo terminando os sub agents aqui, provavelmente estamos nos encaminhando para a fase seis. Ó, agora sim, a fase cinco tá completa, todos os sete achados, né, foram verificados e nenhum precisa ser trocado, né. Ele tá fazendo aqui uma última checagem, depois disso ele falou que vai escrever os relatórios. E aí, sim, nós corrigiríamos, né, os problemas. Ó, daí ele terminou tudo aqui, galera,

[10:56] ele tá fazendo o final clean critic. E aí, com isso, a gente vai ter aí os relatórios em português, né. Rodou tudo em português, apesar da IA respondendo ali em inglês para a Sku, o relatório final a gente tem em português. Bom, aí agora ele terminou, ele tá falando que a fase seis começa, né. Então, vamos aos relatórios para a gente ver quanto custou e também como que a gente vai pedir para corrigir isso. Vocês viram ali, é bem simples, né. Roda tudo no automático, praticamente, né. Bem cômodo, a Sku faz tudo sozinha. Aí,

[11:26] para avaliar, depois, no final, pede para corrigir. Ó, galera, daí, ele fala que rodou ali tudo, os confirmados são esses aqui, ó, crítica alta, média, média, por exemplo, ele encontrou um SQL injection, né, sem login. Então, isso aqui é um problema, tem que corrigir, senão nossa aplicação vai estar suscetível a invasões, né? E aí, algumas ele precisa de validação, né? E isso seria um critério nosso, por exemplo, senha padrão, ritmo 1 2 3, o

[11:58] banco é populado sozinho com essa senha, que está no readme, confirmei que ela abre as quatro contas de professor. Falta saber se algum deploy real foi criado assim. Então, ele não quer, digamos assim, que essa senha esteja em produção, porque isso pode ser também um risco. Aí, a gente tem os relatórios, tem esses três markdowns aqui, ó, tem esse finding details, né, que é como ele achou, tem os que precisam de validação, que é o que ele falou ali, e o relatório final. Tudo bem documentado. E aí, que que a gente faria? A gente

[12:28] pediria pediria para ele corrigir, né? Então, primeiro eu vou dar um users aqui. Ó, essa, se fosse API, né, auditoria tinha teria custado 26 dólares, né? Então, é realmente um processo bem custoso, né? Ele utilizou aqui basicamente o Opus 5.5, ele não variou para submodelos, né, como Raikou Sont. Então, isso acaba que fica caro, né? E aí, que que eu poderia fazer? Um prompt de correção, porque ele sabe que a gente tá falando, ele tem o contexto ali da conversa, ficaria mais

[12:59] ou menos assim: Corrija no projeto uma cheias faz o relatório de auditoria que está na pasta auditoria, todas as confirmadas com as que precisam de validação, que são aquelas duas lá, né? Seguindo a correção sugerida em cada uma. Para cada falha, escreva antes um teste automatizado que reproduza o ataque e falha, e depois faça ele passar. No fim, rode todos os testes. Então, o que eu tô fazendo? Me protegendo contra futuros problemas semelhantes. E aí, agora, ele começaria toda a correção dos problemas. Bem simples, não tem mistério nenhum, tá galera? Bom, aí

[13:30] agora tem que esperar, né? Ele corrigiria e a gente faria a revisão se tá tudo certo, tá? Eu vou deixar aqui a skill para vocês darem uma olhada, né? Uma skill que tá bem popular, eu vejo que passou de 100 likes ali só no meu, na gravação do vídeo, né? Então é bem interessante vocês conhecerem. Se estão procurando VPS, cara, dá uma olhada na Hostinger, o link vai estar aqui na descrição desse vídeo. Eles tão com a promoção da Black Friday, logo teremos a nossa da Codar também, tá? Então fiquem atentos aí. Vai ser interessante também, tá? Então eu recomendo o KVM2, que ele é uma máquina

[14:01] intermediária, como eu falei antes. E o Fábrica de Sistemas, que é o e-book que eu fiz recentemente, onde eu detalho o meu processo de desenvolvimento de sistemas utilizando SSD. É uma estratégia bem validada aí e funciona, porque ela faz os sistemas de uma maneira planejada, né? Não é só ir prototipando, e sim planejando o sistema antes de executar. Galera, então é isso. Espero que vocês tenham curtido. Se gostaram, deixem o like e se inscreva aqui no canal. Isso me ajuda bastante, ajuda a continuar meu trabalho. E é claro, fico esperando vocês no próximo vídeo. Valeu!