Escondi 3 falhas no meu app e a skill de segurança da Cloudflare achou... (security-audit-skill)

Author: Matheus Battisti - Hora de Codar · Watch on YouTube

Video authored by the channel shown, not by IANIA; all rights belong to the creator. Transcript and summary generated automatically; the original-language content is preserved.

Original language: Portuguese

Original video: Escondi 3 falhas no meu app e a skill de segurança da Cloudflare achou… (security-audit-skill) · Channel: Matheus Battisti - Hora de Codar · 14:01 · Watch on YouTube

Topics: AI agents, Cybersecurity and software security, Software engineering with AI

Summary

Matheus Battisti demonstra a Security Audit Skill da Cloudflare, que usa subagents para analisar um projeto, testar possíveis vulnerabilidades e gerar relatórios de auditoria. No projeto Studio Ritmo, a skill mapeia a aplicação, divide a busca por áreas e submete os achados a verificações adicionais. A auditoria identifica problemas como uma possível SQL injection e uma senha padrão que precisa de validação, registrando os resultados em arquivos Markdown. O vídeo também mostra como pedir correções com testes automatizados e observa que a execução pode consumir muitos tokens e ter um custo elevado.

Key points

A Security Audit Skill da Cloudflare automatiza etapas de análise de segurança usando subagents.
O fluxo demonstrado inclui mapear o projeto, procurar vulnerabilidades, verificar os achados e gerar relatórios.
A skill divide a auditoria em áreas, como rotas de API, autenticação e server actions.
Um sandbox com Docker pode permitir testes adicionais; no Windows, a configuração pode ser mais difícil.
A auditoria gera arquivos Markdown com detalhes dos achados, itens que precisam de validação e um relatório final.
Entre os resultados apresentados estão uma possível SQL injection e uma senha padrão que pode representar um risco se estiver em produção.
O autor sugere pedir que cada falha seja reproduzida por um teste automatizado antes de aplicar a correção.
A auditoria pode ser cara: no exemplo, o autor estima um custo de 26 dólares e relata uso do Opus 5.5.

Chapters

Start	Chapter	Summary
00:00	Apresentação da skill de segurança	O apresentador explica a proposta da skill da Cloudflare e descreve seu fluxo de análise com subagents.
02:34	Repositório e instalação	Ele apresenta o repositório, o projeto Studio Ritmo e a instalação da skill no ambiente de desenvolvimento.
05:10	Execução da auditoria	A skill mapeia o projeto e inicia as buscas, com uma explicação sobre o uso de sandbox e as limitações no Windows.
07:47	Busca e verificação dos achados	Subagents analisam áreas distintas do projeto e outros agentes verificam os resultados encontrados.
10:56	Relatórios, custo e correções	O apresentador mostra os achados e os relatórios, comenta o custo e sugere corrigir as falhas com testes automatizados.

Quotes

Vários subagents vão procurar problemas e todo o ciclo roda nessas seis fases. — 01:33

Se ele rodar o sandbox, vai ter mais testes sendo executados. — 05:42

Ele encontrou um SQL injection, sem login. — 11:26

Para cada falha, escreva antes um teste automatizado que reproduza o ataque e falhe, e depois faça ele passar. — 12:59

Concepts and entities

Security Audit Skill, Cloudflare, subagent, sandbox, Docker, SQL injection, Opus 5.5, Studio Ritmo, Matheus Battisti

Full transcript (original language)

00:00 Galera, CloudFlare lançou uma skill de segurança gratuita. Que que ela faz? Ela divide em sub agents que vão atacar o teu projeto em várias partes e ainda os achados são testados para que realmente eles constem no arquivo de melhorias, de correções que a gente tem que fazer. Muita gente está utilizando, o repositório já passa de 40.000 estrelas e hoje eu vou mostrar para vocês ela na prática, como utilizar e como tirar aí o

00:30 melhor resultado dessa skill que tem uma empresa muito grande por trás. Então, bora lá. Bom, galera, antes uma pequena apresentação aqui, só para mostrar para vocês como que funciona, tá? Porque o interessante é ver na prática, tá? O nome dela é Security Auto Skill. CloudFlare, para quem não conhece, também é uma empresa bem conhecida nesse ramo da segurança. Muitos nossos projetos rodam ali o DNS gerenciado pela CloudFlare, porque aí tu consegue fazer uma espécie de proteção e também CDN para que os sites

01:02 sejam acessados mais rapidamente, tá? Além disso, né, eles trabalham em outras frentes e agora eles estão entrando muito forte na IA. Eles lançaram um concorrente por Jeff, né? Eu até trouxe aqui no canal alguns dias atrás e agora essa skill aqui que muita gente tá utilizando, tá? Quando eu comecei a preparar o material, tava com 32.000 estrelas, agora já passa de 40, tá? É gratuita, qualquer um pode utilizar e aceita vários agentes, porque é um markdown, né? Não tem limitações quanto a isso. Como é que funciona? Bom, é bem

01:33 simples. Vários sub agents, tá, que vão procurar problemas e todo o ciclo roda nessas seis fases. Então, a gente tem ali um mapeamento da aplicação, vários sub agents, eh, sendo disparados para poder encontrar os problemas, tem a derrubar, um verificador por achado, então aqui a gente vai verificar se é é problema de fato. Se for, ele será registrado nesse arquivo de achados. Depois tem uma outra conferência com outros agentes, como se fosse um double

02:04 check, e aí por fim tem um relatório e com esse relatório a gente consegue estar resolvendo os problemas encontrados. Tá bom? Então, bem interessante, bem simples e fácil de utilizar. Chega mais que agora vamos ver ela em prática. Galera, antes de mostrar o repositório, não esquece de baixar o Fábrica, Fábrica é o nosso e-book com quase 200 páginas onde eu mostro para vocês como eu desenvolvo sistemas. É um material de leitura, muita gente pede, totalmente ilustrado, com cases práticos. O link vai estar aqui na

02:34 descrição, tá? Então baixa aí que eu acho que vai te ajudar se tu quer melhorar o teu desenvolvimento de sistemas com IA. Ó, o repositório é esse aqui, beleza? Como eu falei, ele tá com mais de 40.000 stars e ele tem aqui como funciona, né, a maneira de instalar a Skill. A gente vai fazer isso juntos, né? Mas é bem autoexplicativo aqui, não tem mistério, tá? Eles também lançaram um artigo onde eles explicam mais como é que surgiu a Skill, né? Quem tiver interesse em ler, é bem completo, bem informativo, tá?

03:06 Utilizei isso aqui para fazer a apresentação ali para vocês, né? Extrair aqui as informações. Bom, como vocês sabem, né, a gente precisa ter um cenário de base e aqui eu tenho um projeto que eu usei num vídeo atrás e eu vou verificar aí a quantidade de problemas nesse aqui, esse Studio Ritmo, tá? Como é que a gente começa? Então, no meu caso, eu tô com o VS Code aberto aqui, eu estou sem Skill instalada e eu vou justamente instalar ela agora com o comando que tá lá no repositório.

03:37 Algumas pessoas perguntaram por que eu tô utilizando aqui via terminal, eu não gosto do Code Code, da interface deles, tá? Prefiro o terminal, para mim é melhor, tem mais funcionalidades, talvez eles melhorem. Já o Codex, eu tô utilizando ele via interface, para mim tem tudo que eu preciso. Já o Cloud Code não. Então a gente vai utilizar esse comando NPX Skills add, né, para instalar a Skill Security Audit Audit da Cloudflare. Ele vai fazer a adição aqui e aí a gente inicia o Cloud, eh, para

04:08 poder ver a Skill. Gosto de instalar via projeto, tá galera, porque eu isolo o ambiente, aí eu vejo se vale a pena e aí sim a gente toma uma decisão de instalar global. Aí inicializaremos o Cloud e aqui vai ter a Security Audit, tá? Que que acontece? Vou mapear aqui o uso de tokens, vamos ver se ela usa bastante, tá? Então vou dar um usage aqui. Tô começando a ver aqui a sessão não tem custo nenhum, né? Vamos rodar uma vez a Skill para ver

04:39 quanto que ela vai gastar nesse cenário aqui, né? Onde eu peço para auditar o projeto todo. Então aqui, galera, a gente vai utilizar o Security Audit, tá? E eu posso mandar um prompt junto. Aí tu pode pedir o que tu quiser em torno, né, desse termo de segurança. Por exemplo, faça uma auditoria de segurança completa do projeto que está na pasta turma cheia, que eu tô na pasta pai, né? O perfil standard, né, padrão ali da Skill. Depois sugiro vocês darem uma olhada na documentação. Salve todos os arquivos de da auditoria na pasta

05:10 auditoria, aqui fora do projeto. Então para uma orientação para onde salvar esses arquivos, tá? Aí ele vai ver a Skill, ele vai entender e vai começar as fases. Vocês podem ver ali que a primeira fase é mapear o projeto, como estava explícito lá no slide, e aí começa. Ele vai fazer essa verificação, vai separar os subagents, vai testar, vai catalogar os achados, vai retestar e aí por fim ele vai validar somente o que sobrou e vai entregar para a gente, né? Tem também uma questão de sandbox, tá

05:42 galera, que é um ambiente que ele consegue montar de forma isolada para poder fazer o teste da aplicação, tá? Aqui ele tá falando que ele consegue usar o Docker que eu tenho para isso, tá? E ter isso ajuda a melhorar a precisão dos testes, beleza? Então, se ele não rodar esse Sandbox aqui, que vai ter menos testes sendo executados. Se ele rodar o Sandbox, vai ter mais testes sendo executados. Basicamente é isso. E de forma mais simples, em ambientes Linux, Mac, isso é

06:15 mais fácil de fazer, né? Como eu tô no Windows aqui, ele depende de outras ferramentas que talvez não estejam no computador. Mas se for testar aí no Windows, por exemplo, pode ser que ele não rode essa parte pela falta do Sandbox. Mas não compromete tudo, ele ainda consegue rodar boa parte da Skill. Bom, galera, enquanto ele vai se achando ali, um outro aviso importante é que a Hostinger tá em Black Friday, tá? Se tu tava esperando um momento bom, uma promoção boa para adquirir tua VPS, teu servidor na nuvem, cara, agora é a hora, né? É a melhor promoção do ano. Vou deixar o link aqui na descrição desse vídeo, tá? Já aplica o nosso cupom automaticamente, te dá mais um

06:46 descontinho ainda. Eu sempre indico esse KVM2, é uma máquina intermediária, como vocês podem ver aqui, configurações muito boas, vai aguentar vários projetos ao mesmo tempo, né, simultâneos. E tem a questão de ter o servidor no Brasil, tá? Então, tu vai escolher o plano aqui, ó, o quanto mais tempo, mais desconto tu ganha. E aqui tu pode vir em Brasil e tu terá a menor latência possível, né? Várias empresas só tem servidores fora do Brasil e a Hostinger investe muito em infra aqui, né, no Brasil em data centers. Então, tu pode tá escolhendo e tendo aí uma latência menor, ou seja,

07:16 tua aplicação será mais rápida. Aqui, eu particularmente vou de Ubuntu, tá, como sistema operacional, mas tu pode escolher o que te agrada mais. Eu acho o Ubuntu fácil de mexer. E aqui ele não pegou meu cupom porque eu já tô autenticado na minha conta, né? Mas tu pode ver que o teu vai tá aplicado, se não tiver, aplica, vai ter um descontinho a mais e pronto, VPS tá pronto, tu pode tá utilizando aí para colocar tuas aplicações no ar. Bora voltar para a Skill. Bom, aqui, como vocês podem ver, ele terminou o mapeamento, então provavelmente ele deve estar indo para a segunda etapa já, né?

07:47 De disparar os sub agents e aí vai começar a encontrar os problemas, né? Que provavelmente eu vou dar umas cortadas, daí eu vou deixar mais dinâmico o vídeo, mas é um processo que demora, é um processo que gasta tokens, está, galera? Mas é importantíssimo para garantir que teu app tenha zero problemas de segurança, né? Que é o que a gente quer. Aqui, se vocês perceberem, ele identificou o projeto como pequeno, ele tinha falado antes, e ele vai colocar quatro hunters, né? Que são os sub agents para encontrar os problemas. Então ele colocou aqui, eh, rotas

08:18 de API, autenticação, hã, domain server actions, rendering and wildcard. Foi assim que ele dividiu o projeto. Aí, eh, são áreas isoladas, né? Teoricamente. E ele vai trazer, cada um deles vai trazer problemas encontrados aí para a gente. A pasta auditoria já está criada aqui, né? Ele cria os sub agents, tudo, fica tudo bem, eh, catalogado, tem arquitetura aqui, prompts. Então é algo bem presente, né?

08:48 Vamos dizer assim, fisicamente no nosso projeto, né? Customizado para a nossa necessidade. Não é algo, eh, genérico, digamos assim, né? Então aqui não tem que fazer, só esperar os sub agents voltarem e aí a gente vai ter a próxima fase começando. Ó, galera, aí aqui, o que aconteceu? Ele já retornou, tá? Ó, ele trouxe os quatro hunters e eles trouxeram, né, os resultados. Agora ele uniu tudo, né? E disparou de

09:20 novo sub agents naquela fase, né? De verificar os achados. Então ele disparou oito agentes para poder fazer aquele double check, como eu comentei com vocês. Então tudo que foi encontrado agora vai ser confirmado, né? Então, como vocês podem ver aqui, em prompts agora, em vez de hunters, né, a gente tem os verificadores. Que é exatamente o que está sendo disparado ali para fazer a conferência. E aí, a gente vai ter o resultado final para poder ver o que faremos, né, quanto

09:53 os problemas encontrados aqui no nosso projeto. Ó, galera, e aí, ele falou que todos os verificadores estão terminando, né, da segunda wave. E aí, a fase cinco vai começar, que é justamente aí a revisão das checagens do que os sub agents trouxeram, né. Que é a fase cinco, né. Como ela dispara os sub agents, ela ainda também faz uma comparação final ali para a gente poder ver o que que vai sobrar

10:26 para a fase seis, que é o relatório. Então, tá tudo terminando os sub agents aqui, provavelmente estamos nos encaminhando para a fase seis. Ó, agora sim, a fase cinco tá completa, todos os sete achados, né, foram verificados e nenhum precisa ser trocado, né. Ele tá fazendo aqui uma última checagem, depois disso ele falou que vai escrever os relatórios. E aí, sim, nós corrigiríamos, né, os problemas. Ó, daí ele terminou tudo aqui, galera,

10:56 ele tá fazendo o final clean critic. E aí, com isso, a gente vai ter aí os relatórios em português, né. Rodou tudo em português, apesar da IA respondendo ali em inglês para a Sku, o relatório final a gente tem em português. Bom, aí agora ele terminou, ele tá falando que a fase seis começa, né. Então, vamos aos relatórios para a gente ver quanto custou e também como que a gente vai pedir para corrigir isso. Vocês viram ali, é bem simples, né. Roda tudo no automático, praticamente, né. Bem cômodo, a Sku faz tudo sozinha. Aí,

11:26 para avaliar, depois, no final, pede para corrigir. Ó, galera, daí, ele fala que rodou ali tudo, os confirmados são esses aqui, ó, crítica alta, média, média, por exemplo, ele encontrou um SQL injection, né, sem login. Então, isso aqui é um problema, tem que corrigir, senão nossa aplicação vai estar suscetível a invasões, né? E aí, algumas ele precisa de validação, né? E isso seria um critério nosso, por exemplo, senha padrão, ritmo 1 2 3, o

11:58 banco é populado sozinho com essa senha, que está no readme, confirmei que ela abre as quatro contas de professor. Falta saber se algum deploy real foi criado assim. Então, ele não quer, digamos assim, que essa senha esteja em produção, porque isso pode ser também um risco. Aí, a gente tem os relatórios, tem esses três markdowns aqui, ó, tem esse finding details, né, que é como ele achou, tem os que precisam de validação, que é o que ele falou ali, e o relatório final. Tudo bem documentado. E aí, que que a gente faria? A gente

12:28 pediria pediria para ele corrigir, né? Então, primeiro eu vou dar um users aqui. Ó, essa, se fosse API, né, auditoria tinha teria custado 26 dólares, né? Então, é realmente um processo bem custoso, né? Ele utilizou aqui basicamente o Opus 5.5, ele não variou para submodelos, né, como Raikou Sont. Então, isso acaba que fica caro, né? E aí, que que eu poderia fazer? Um prompt de correção, porque ele sabe que a gente tá falando, ele tem o contexto ali da conversa, ficaria mais

12:59 ou menos assim: Corrija no projeto uma cheias faz o relatório de auditoria que está na pasta auditoria, todas as confirmadas com as que precisam de validação, que são aquelas duas lá, né? Seguindo a correção sugerida em cada uma. Para cada falha, escreva antes um teste automatizado que reproduza o ataque e falha, e depois faça ele passar. No fim, rode todos os testes. Então, o que eu tô fazendo? Me protegendo contra futuros problemas semelhantes. E aí, agora, ele começaria toda a correção dos problemas. Bem simples, não tem mistério nenhum, tá galera? Bom, aí

13:30 agora tem que esperar, né? Ele corrigiria e a gente faria a revisão se tá tudo certo, tá? Eu vou deixar aqui a skill para vocês darem uma olhada, né? Uma skill que tá bem popular, eu vejo que passou de 100 likes ali só no meu, na gravação do vídeo, né? Então é bem interessante vocês conhecerem. Se estão procurando VPS, cara, dá uma olhada na Hostinger, o link vai estar aqui na descrição desse vídeo. Eles tão com a promoção da Black Friday, logo teremos a nossa da Codar também, tá? Então fiquem atentos aí. Vai ser interessante também, tá? Então eu recomendo o KVM2, que ele é uma máquina

14:01 intermediária, como eu falei antes. E o Fábrica de Sistemas, que é o e-book que eu fiz recentemente, onde eu detalho o meu processo de desenvolvimento de sistemas utilizando SSD. É uma estratégia bem validada aí e funciona, porque ela faz os sistemas de uma maneira planejada, né? Não é só ir prototipando, e sim planejando o sistema antes de executar. Galera, então é isso. Espero que vocês tenham curtido. Se gostaram, deixem o like e se inscreva aqui no canal. Isso me ajuda bastante, ajuda a continuar meu trabalho. E é claro, fico esperando vocês no próximo vídeo. Valeu!