Página inicial › Segurança verificada
Segurança verificada, com os limites ditos
Nossos sistemas lidam com dinheiro e com dados de clientes. Antes de pedir a sua confiança, testamos como um invasor testaria, corrigimos o que apareceu e provamos ao vivo, no ar. Esta página resume o relatório assinado, versão 2, situação em 01/10/2026, inclusive o que ainda não fizemos.
Relatório de avaliação de segurança técnica internaVersão 2 do relatório · uso interno e sob NDA
- Código
- AGENTUM-SEG-2026-v2
- Última revisão completa
- 01/10/2026
- Responsável
- José Dias, sócio-administrador da AGENTUM LTDA
- Natureza
- Avaliação interna com apoio de IA e revisão humana. Não é pentest nem certificação.
- Assinatura digital
- certificado e-CNPJ da AGENTUM LTDA (ICP-Brasil), com selo visível no documento
- Próxima revisão
- a cada 6 meses ou a cada mudança relevante
Os números, como estão no relatório
Situação em 01/10/2026. “Apontamento” é o que o auditor de IA registrou em cada rodada; o mesmo assunto pode aparecer em mais de uma rodada, então 68 apontamentos não são 68 problemas distintos.
- 9rodadas de teste adversarial interno com IA
- 68apontamentos registrados, todos listados no relatório
- 0apontamentos críticos
- 44corrigidos e verificados
- 15riscos aceitos, cada um com o motivo documentado
- 4em acompanhamento, com plano registrado
- 5sem falha após a reconferência: 3 não se confirmaram, 2 verificados em produção como corretos
- 781testes automáticos passando nos 6 sistemas
- ≈130ataques simulados contra os sistemas que cobram por uso, sem conseguir usar sem pagar
Dos 44 corrigidos: 35 por mudança no código (cada um cita o commit), 8 por configuração de domínio, borda ou scripts de operação (com backup) e 1 por permissão de arquivos no servidor. Alguns eram “falta de implantar”: o código já existia e não estava no ar. Os 2 apontamentos classificados como “altos” pelo auditor de IA não tinham exploração conhecida em produção após a reconferência.
Em linguagem simples
Os pontos mais sensíveis, dinheiro, isolamento entre contas de clientes e exposição na internet, resistiram a tudo o que tentamos. Os problemas reais que apareceram eram, quase todos, de endurecimento e higiene. Os mais importantes foram achados e corrigidos antes de causar dano.
Linha do tempo
Cinco momentos de verificação em 2026, do cuidado com as contas à prova ao vivo em produção.
- 02/09Contas e acessos2FA nas contas críticas, chaves de acesso antigas revogadas.
- 12/09Disjuntor de gastoAuditoria do mecanismo que limita gasto com fornecedor de dados.
- 26/09Auditoria totalSeis frentes de revisão e varredura da superfície externa.
- 30/09Avaliação em camadasRodadas 1 a 6, segunda opinião independente e relatório v1 assinado.
- 01/10Rodadas 7 a 10Correção, implantação e prova ao vivo em 6 sistemas; relatório v2 assinado.
Resultado por rodada
Contagem como cada relatório de rodada registrou, antes da reconferência. A “rodada 5” foi a consolidação das rodadas 1 a 4 (documento v1), por isso não aparece.
| Rodada | Data | Escopo | Método | Crít. | Alto | Méd. | Baixo | Info | Total |
|---|---|---|---|---|---|---|---|---|---|
| R1 | 30/09 | Payment Agent e Business | código | 0 | 0 | 1 | 7 | 0 | 8 |
| R2 | 30/09 | Cash Control | código | 0 | 0 | 2 | 7 | 0 | 9 |
| R3 | 30/09 | EtherBuddy | código | 0 | 0 | 3 | 7 | 0 | 10 |
| R4 | 30/09 | Superfície externa (6 endereços) | sondas leves | 0 | 0 | 1 | 7 | 0 | 8 |
| R6 | 30/09 | Pacote MCP, disjuntor, agentes, Voice, scripts, segredos | código | 0 | 0 | 1 | 9 | 0 | 10 |
| R7 | 01/10 | Payment Agent | código + local + ar | 0 | 1 | 2 | 1 | 0 | 4 |
| R8 | 01/10 | Cash Control | código + local + ar | 0 | 1 | 1 | 2 | 2 | 6 |
| R9 | 01/10 | Business | código + local + ar | 0 | 0 | 2 | 4 | 0 | 6 |
| R10 | 01/10 | EtherBuddy e Voice | código + local + ar | 0 | 0 | 1 | 3 | 3 | 7 |
| Soma | 0 | 2 | 14 | 47 | 5 | 68 |
“Local + ar” quer dizer: cópia local do sistema atacada à vontade, e o sistema em produção sondado de forma leve e não destrutiva (cerca de 12 a 100 requisições por rodada, sem criar contas e sem gastar dinheiro).
Dentro do escopo
Seis sistemas em produção, versões conferidas em 01/10/2026.
- Código dos 6 sistemas e suas dependências, com auditoria online.
- Isolamento entre contas de clientes, sessão, CSRF, cobrança e webhooks.
- Fluxo financeiro dos pagamentos por uso: verificar, liquidar, entregar.
- Superfície externa: DNS, TLS, cabeçalhos, e-mail, 6 endereços públicos.
- Scripts de operação e acesso aos computadores de operação.
- Contas de acesso críticas (código, pacotes, e-mail): 2FA.
Fora do escopo (não testado)
Dizemos o que não foi feito para que ninguém suponha que foi.
- Serviços de terceiros (provedores de IA, pagamento, e-mail e dados).
- Dados reais de clientes: nenhuma conta real foi criada nem lida nos testes.
- Teste de carga e negação de serviço real; engenharia social; segurança física.
- Aplicativo iOS (retirado da loja em 07/09) e contratos inteligentes ainda não implantados.
- Análise profunda do front-end (XSS) e medição estatística de tempo.
Como cada rodada é feita: método em 8 camadas
Nenhuma IA tem a palavra final sozinha. Modelos diferentes entre si atacam, reconferem e dão a segunda opinião; a correção só vale com teste que prova o erro; e a última palavra é a prova ao vivo (consultas públicas e, nas rotas pagas, um pagamento real de US$ 0,02). Regra da casa: só entra no relatório o que foi reconferido; o que não se confirmou aparece como tal.
Diagrama em sequência das oito camadas do método, detalhadas na lista a seguir.
- Teste adversarial interno com IAUma IA age como invasor: lê o código, sobe uma cópia local, forja pagamentos e sonda os sistemas no ar de forma não destrutiva, sem gastar dinheiro e sem ler segredos.Cobertura rápida e barata de muitas hipóteses.
- ReconferênciaCada achado é refeito por outra IA no código real, com testes locais, consultas de DNS e HTTP e leitura da configuração dos servidores.IA erra: já classificou como risco o que não era.
- Segunda opinião independenteUma terceira IA lê as correções só em leitura, com perguntas específicas, e dá o veredito: aprovado, com ressalvas ou não aprovado.Já achou falha na primeira versão de uma correção nossa e corrigiu 2 afirmações erradas nossas.
- Correção com teste de mutaçãoToda correção vem com um teste que reproduz o erro. O teste é provado quebrando o código de propósito.Teste que nunca falha não protege.
- BackupAntes de alterar produção, cópia de segurança do que vai mudar.Reduz o risco de uma correção derrubar clientes.
- Implantação com testesImplantação com os testes rodando e reversão pronta.Reduz o risco de uma mudança sem teste chegar ao ar.
- Prova ao vivoConferência no ar: consultas públicas, cabeçalhos e um pagamento real de US$ 0,02 nas rotas pagas, para provar que nada quebrou.Teste verde não é resultado certo.
- RegistroCada correção cita o commit; tudo entra no relatório, inclusive os nossos erros.Rastreabilidade para quem for conferir.
Quem faz o quê
IA que atacaProcura falhas como um invasor faria. Pode errar para mais: apontar risco que não existe.
IA que confere e corrigeRefaz cada achado no código real, corrige e escreve o teste que prova a correção.
IA de segunda opiniãoLê as correções só em leitura e procura o que as duas primeiras não viram. Dá o veredito antes de qualquer implantação.
José Dias decide e respondeAprova o que vai ao ar, executa as ações de risco (logins, 2FA, publicações) e assina o relatório.
Erros da nossa equipe, registrados de propósito
A segunda opinião corrigiu duas afirmações nossas. Durante as correções também cometemos deslizes; todos foram pegos antes de chegar à produção. Registrar isso é parte do método.
O que está de pé e como conferir
Controles conferidos em 01/10/2026, não apenas configurados. As consultas públicas podem ser repetidas por qualquer pessoa.
Controles verificados
Em linguagem simples, sem detalhe que ajude um atacante.
- Acesso às contas críticas com 2FA sem SMS
Autenticação forte, sem SMS, nas contas de código, pacotes e e-mail. - E-mail da empresa autenticado
SPF, DKIM de 2048 bits e DMARC em rejeição. Provado: dkim, spf e dmarc = pass. - Dependências auditadas: 0 vulnerabilidades conhecidas em 01/10/2026
Auditoria online nos 6 projetos. Nenhum segredo no código nem no histórico, inclusive nos repositórios públicos (varredura de 30/09). - Backup cifrado
Banco de dados do painel de consultas copiado todo dia, cifrado, com a chave fora do servidor. - Contas de clientes isoladas
Isolamento entre contas conferido; sessões guardadas só como hash; senhas com hash forte; dados de clientes finais cifrados em repouso. - Pagamento por uso protegido
Por desenho, só executa depois de liquidar e valida a entrada antes de cobrar; as falhas que achamos nesse fluxo foram corrigidas e testadas. O disjuntor suspende só as rotas de custo se houver abuso. Nas rotas pagas, pagamento real de US$ 0,02 liquidado após cada implantação. - Vigilância 24 h com alerta
Vigilância cruzada entre servidores, vigia externo independente e varredura diária (27 de 27 checagens ok em 01/10). Alerta no celular, sem plantão humano. - HTTPS forçado, DNSSEC e CAA
Cabeçalhos de proteção nos sites, canal público para relatar falhas nos nossos domínios e documentação de continuidade para a empresa seguir sem depender de uma só pessoa.
Como conferir sem confiar na nossa palavra
Qualquer pessoa pode fazer estas verificações hoje.
- Quem somos
CNPJ 68.964.713/0001-09 na Receita Federal: situação ativa, abertura em 03/09/2026, Sertãozinho/SP. - Dono do domínio
agentumtecnologia.com.br registrado em nome da AGENTUM LTDA. WHOIS no Registro.br. - Canal para relatar falhas
Publicado em/.well-known/security.txt, com contato e prazo de validade. Respondemos em português ou inglês. - E-mail autêntico
Mensagens de @agentumtecnologia.com.br trazemdkim=pass,spf=passedmarc=pass(no Gmail: “Mostrar original”). Até 26/09/2026 a caixa técnica usava outro domínio da empresa. - Relatório assinado
O PDF leva assinatura digital com o certificado e-CNPJ da empresa, com selo visível na última página. Quem recebe confere autoria e integridade no painel de assinaturas do leitor de PDF ou no validador do ITI. - Código
Repositórios privados: cada correção cita o hash do commit, conferível sob NDA com acesso de leitura.
O que ainda falta
Avaliação interna não substitui teste humano externo. Falhas não detectadas são possíveis.
- Teste de intrusão por especialista humano externo
Ainda não feito. Primeiro corrigimos o que dá para achar por dentro, para que o especialista gaste as horas no que é mais difícil. Planejado, com reteste, quando houver receita recorrente ou quando um cliente exigir. - Certificação ISO 27001 ou SOC 2
Não temos. Só será avaliada se um cliente exigir. - Plantão humano 24 horas
Não há. A vigilância é automática, com alerta no celular do responsável. - Pagamentos adversários só em cópias locais
Pagamentos forjados foram testados contra cópias locais; em produção, só sondas leves, sem criar contas. - 4 apontamentos em acompanhamento
Nenhum crítico; cada um tem prazo ou ciclo próprio no relatório. - Política formal de divulgação de vulnerabilidades
Prevista para a próxima versão do relatório. Hoje o canal é osecurity.txt. - Nova avaliação completa
A cada seis meses e a cada mudança relevante. Próxima prevista para abril de 2027.
Internet e e-mailDNSSEC · CAA · SPF, DKIM e DMARC · security.txt
BordaHTTPS e HSTS · cabeçalhos de proteção · limites de requisições
Aplicaçãosessão em hash · CSRF e origem · validação antes de pagar · disjuntor · cotas · erros sem detalhe
Dadosdados de clientes finais cifrados em repouso · backup cifrado diário · permissões restritas
Transversal: vigilância 24 h com alerta no celular · 2FA sem SMS · backup antes de cada mudança
Algumas provas repetíveis hoje
- dig TXT _dmarc.agentumtecnologia.com.br
- deve aparecer
v=DMARC1; p=reject;no início da resposta - curl https://agentumtecnologia.com.br/.well-known/security.txt
- contato institucional e prazo de validade
- “Mostrar original” no Gmail
- em um e-mail nosso:
dkim=pass,spf=pass,dmarc=pass
Próximos passos
O que está planejado, e quando. Compromisso: o relatório será atualizado a cada nova rodada, com os mesmos critérios.
- Teste de intrusão humano externo, com retesteNos 3 sistemas que movimentam dinheiro e dados de clientes.Após a primeira receita recorrente ou pedido de cliente
- Fechar os 4 itens em acompanhamentoCada um com plano registrado no relatório (alguns com data, outros em ciclo próprio).Plano no relatório
- Política formal de divulgação de vulnerabilidadesPágina própria, com prazos de resposta.Próxima versão do relatório
- Nova avaliação interna completaEste mesmo método, a cada seis meses e a cada mudança relevante.Próxima: abril de 2027
- Certificação ISO 27001 ou SOC 2Avaliar apenas se um cliente exigir.Sob demanda
| Versão | Data | Descrição |
|---|---|---|
| v1 | 30/09/2026 | Primeira avaliação (4 rodadas + consolidação), reconferência, segunda opinião e 1 correção aplicada. Assinada (gov.br e e-CNPJ). |
| v2 | 01/10/2026 | Rodadas 6 a 10; correções aplicadas, auditadas e implantadas nos 6 sistemas; e-mail e domínios; scripts e computadores de operação; pacote público; plano de próximos passos. Esta versão substitui a v1. |
| v3 | a definir | Próxima rodada: após teste de intrusão humano externo ou, no máximo, em abril de 2027. |
Relatório completo sob NDA
O documento de 14 páginas, com os 68 apontamentos, o commit de cada correção e os riscos aceitos com o motivo, é de uso interno e sob acordo de confidencialidade. Peça por contato@agentumtecnologia.com.br.
AGENTUM-SEG-2026-v2 · última revisão completa: 01/10/2026