Figma Inova na Segurança e Antecipa Vulnerabilidades com Abordagem Baseada em Agentes

A abordagem do Figma na cibersegurança com o uso de agentes representa um avanço significativo na proteção de código. Em vez de uma varredura estática tradicional, a empresa utiliza agentes de IA (como Claude Code e Codex com GPT-5.6 Sol) que atuam em diferentes etapas do ciclo de desenvolvimento. Esses agentes revisam cada pull request, auditam um monorepo com código legado e até contribuem para a geração de código seguro. O ponto chave é a criação de um modelo de ameaças detalhado, construído a partir de políticas internas e precedentes, que orienta a atuação dos agentes, garantindo alta precisão e recall na identificação de vulnerabilidades.

A precisão se refere à capacidade de evitar falsos positivos, crucial para manter a confiança dos desenvolvedores, enquanto o recall assegura que a maioria das vulnerabilidades reais seja detectada. O Figma foca em um ciclo de feedback contínuo, onde desenvolvedores avaliam os achados e a equipe de segurança refina a política dos agentes. Esta política, que o Figma vê como um verdadeiro modelo de ameaças, é o que realmente potencializa a capacidade bruta dos modelos de IA, elevando a detecção de vulnerabilidades de 44.4% para 64.2% em alguns cenários.

Desde agosto de 2025, quando o Figma implementou o Claude Code Security Reviewer em modo "sombra" (apenas para monitoramento), a evolução foi contínua. Inicialmente com 15% de precisão, o sistema foi aprimorado para 80% até dezembro de 2025. O Figma migrou de uma ação simples do GitHub para um serviço TypeScript dedicado, removeu excessos no prompt dos modelos de IA e adicionou um "adjudicador" para reexaminar achados ambíguos. Isso elevou o recall em 30%, mostrando que a engenharia de segurança por trás dos modelos de IA é tão vital quanto os modelos em si.

A cobertura anterior do CEVIU News já apontava para a ascensão dos agentes de segurança. Em março de 2026, noticiamos o "OpenAI Codex Security" em prévia, que visava analisar repositórios e propor correções, algo similar ao que o Figma já vinha aprimorando. O "Dropbox" e a "Cursor" também apareceram em nossa cobertura de junho e março de 2026, respectivamente, com suas próprias abordagens agentic para revisão de código e gestão de ameaças. O Figma demonstra, portanto, a maturidade prática dessa tecnologia no ambiente de produção, mostrando como uma base de IA pode ser customizada e otimizada para o cenário específico de uma empresa, muito além das ferramentas genéricas ou em fase de pesquisa.

Este desenvolvimento é crucial porque redefine a integração da segurança no fluxo de trabalho de desenvolvimento de software. Ao incorporar agentes de segurança diretamente na revisão de código e na geração de código, o Figma não apenas automatiza a detecção de vulnerabilidades, mas também força uma mentalidade "security-by-design". Isso reduz a janela de oportunidade para atacantes, minimiza os custos associados a bugs e incidentes, e libera equipes de segurança para focar em ameaças mais complexas. A ênfase na precisão e no recall é um lembrete importante de que a eficácia dessas ferramentas depende de um equilíbrio cuidadoso entre não sobrecarregar os desenvolvedores com falsos positivos e garantir que vulnerabilidades críticas não sejam perdidas.