Você está publicando código mais rápido do que nunca. Claude Code, Cursor, Copilot — a IA está escrevendo uma parcela cada vez maior do seu código a cada semana. Isso é ótimo para a velocidade. Nem tanto para a segurança.
O código gerado por IA tem um problema conhecido: é fluido, confiante de si mesmo, e às vezes perigosamente incorreto. Padrões de SQL injection, fluxos de autenticação quebrados, endpoints expostos — o tipo de coisa que teria sido detectada em uma revisão séria, exceto que seu processo de revisão não está acompanhando o ritmo de seu cadência de deploy.
Strix é como você fecha essa lacuna.
O que é Strix?
Strix é uma plataforma de segurança agêntica open-source com mais de 21 mil estrelas no GitHub. Não escaneia seu código de forma estática e entrega uma lista de avisos — executa sua aplicação, atua como um atacante real, e valida os achados através de exploits de prova de conceito reais.
Pense nisto como um pentester que corre automaticamente em cada pull request e nunca reclama de trabalhar nos fins de semana.
Suporta qualquer provedor de LLM: OpenAI, Anthropic, Vertex AI, Bedrock, Azure, ou um modelo local via Ollama. Você traz sua API key; Strix traz o playbook de ataque.
O fluxo de trabalho
Strix opera em três modos dependendo do que você está testando:
- Codebase local — aponte para um diretório, leia seu código-fonte e procure por vulnerabilidades antes de fazer deploy
- Repositório no GitHub — passe uma URL, clone e analise
- Web app em vivo — avaliação black-box contra uma URL em execução, com ou sem credenciais
# Instalação
pipx install strix-agent
# Configure seu LLM (exemplo com Anthropic)
export STRIX_LLM="anthropic/claude-opus-4-6"
export LLM_API_KEY="sua-chave-anthropic"
# Execute contra seu projeto local
strix --target ./meu-app
# Ou contra seu ambiente de staging
strix --target https://staging.meu-app.com \
--instruction "Focus on authentication and privilege escalation"
Na primeira execução, baixa uma imagem Docker sandboxeada para executar os exploits de forma segura. Os resultados ficam em strix_runs/<nome-da-execução> — relatórios estruturados com descrição, impacto, evidência e passos de remediação.
A parte que realmente muda seu workflow: integração CI/CD
É aqui que Strix se ganha seu lugar. Um workflow do GitHub Actions, e cada PR dispara uma verificação de segurança antes do merge:
name: strix-penetration-test
on: pull_request:
jobs:
security-scan:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v6
- name: Install Strix
run: curl -sSL https://strix.ai/install | bash
- name: Run Strix
env:
STRIX_LLM: ${{ secrets.STRIX_LLM }}
LLM_API_KEY: ${{ secrets.LLM_API_KEY }}
run: strix -n -t ./ --scan-mode quick
A flag -n executa em modo não-interativo (perfeito para CI). --scan-mode quick faz uma verificação rápida de alto impacto — não exaustiva, mas suficiente para pegar problemas críticos antes do merge. Strix termina com código de saída não-zero quando encontra vulnerabilidades, o que significa que seu pipeline falha e o PR fica bloqueado. Você não precisa de nenhuma alteração no seu código além do YAML.
Para avaliações mais profundas — antes de um release, por exemplo — mude quick para thorough e execute manualmente ou em um agendamento.
O que encontra
Strix inclui uma biblioteca de skills de segurança que cobre o OWASP Top 10 e muito mais: SQL injection, RCE, controle de acesso quebrado, SSRF, bypasses de autenticação, e outros. A versão v0.6.0 adicionou raciocínio encadeado através de investigações multi-etapa — os agentes preservam seu pensamento entre etapas, para poder seguir cadeias de exploit da mesma forma que um atacante real faria, não apenas verificar padrões individuais isoladamente.
A deduplicação baseada em LLM significa que você não recebe 40 variações do mesmo achado. Os relatórios se mapeiam de forma clara a como se lê um relatório de pentest real: descrição, impacto, evidência, remediação — pronto para converter em um ticket ou documento de compliance.
O contexto: por que importa agora
A comunidade de segurança vem alertando sobre código gerado por IA há mais de um ano. A preocupação não é que a IA escreva código ruim propositalmente — é que escreve código plausivelmente ruim em escala. Um requisito mal interpretado, uma validação que falta, uma suposição de confiança que não deveria estar lá.
Strix não substitui a revisão de segurança, mas dá a qualquer equipe de desenvolvimento — mesmo aquelas que não têm um engenheiro de AppSec dedicado — um atacante automatizado executando em cada mudança. Isso é uma mudança real.
Para começar
- GitHub: GitHub - usestrix/strix: Open-source AI hackers to find and fix your app’s vulnerabilities. · GitHub
- Docs: https://docs.strix.ai
- Versão cloud com dashboards e features enterprise: https://app.strix.ai
Você já tem alguma ferramenta de segurança integrada em seu pipeline? Ou a segurança ainda é algo que você revisa “quando há tempo”? Conte-nos nos comentários.