IA em foco: Semgrep avalia ferramentas open-source para segurança de código
Aprofundamento CEVIU
Aprofundamento
A segurança de código com IA generativa está em ebulição, com novas ferramentas open-source surgindo rapidamente. A Semgrep, especialista em análise estática de código, detalhou essas inovações, classificando-as em três categorias principais. A primeira, LLM-led exploitgen, usa modelos de linguagem para gerar exploits e encontrar vulnerabilidades por meio de uma espécie de fuzzing, focando em cenários de falha. A segunda, LLM-skill-boosting, aprimora as habilidades da IA para simular o raciocínio de um pesquisador de segurança humano, como visto em ferramentas da Cloudflare e Trail of Bits. Por fim, os SAST+LLM hybrids combinam a análise determinística de ferramentas SAST tradicionais, como Semgrep e CodeQL, com a capacidade contextual dos LLMs para guiar a busca por vulnerabilidades.
Entre os projetos analisados, destacam-se o defending-code-harness da Anthropic, o security-audit-skill da Cloudflare e o VVAH da Visa, cada um com abordagens distintas para validação, execução de código e geração de patches. Embora o campo esteja em franca expansão, o estudo da Semgrep conclui que ainda não há um líder open-source consolidado, e as empresas frequentemente desenvolvem suas próprias
Por que isso importa
Linha do tempo
OpenAI lança o Codex Security, agente de IA para detecção de vulnerabilidades em código.
Anthropic e OpenAI expõem ponto cego da segurança de IA em SAST, lançando scanners gratuitos.
CEVIU News publica sobre o uso de IA local para testes de invasão e pesquisa de segurança.
Cotool lança benchmarks de IA para Blue Teams, com ressalvas.
Estudo da Aikido avalia modelos de IA na detecção de vulnerabilidades, destacando GPT-5.6 e Kimi K3.
Semgrep avalia ferramentas open-source de IA baseadas em LLM para segurança de código.
Perguntas frequentes
O que são as três categorias de ferramentas de segurança de código open-source com IA?
A análise da Semgrep divide as ferramentas em LLM-led exploitgen (geram exploits para encontrar vulnerabilidades), LLM-skill-boosting (aprimoram a IA para raciocinar como humanos na pesquisa de segurança) e SAST+LLM hybrids (combinam análise estática tradicional com LLMs para direcionar a busca por falhas).
Quais são as principais limitações das ferramentas de segurança de código com IA hoje?
Ainda não existe um líder open-source consolidado, o que reflete um campo em rápida evolução e com muitos projetos emergentes, alguns até descontinuados. Além disso, a capacidade de gerar exploits é limitada por proteções dos modelos, e a profundidade da cobertura e validação dos achados varia bastante entre as soluções.
Como o Semgrep avaliou essas ferramentas e o que considerar ao escolhê-las?
O Semgrep comparou as ferramentas com base em critérios como validação, execução de código, geração de patches e cobertura de linguagens. Para escolher, empresas devem considerar se preferem soluções totalmente locais (como ai-deep-sast), se buscam alta confiança em achados (como defending-code-harness para C/C++), ou se precisam de um pipeline SAST abrangente (como VVAH).
As IAs conseguem gerar patches para as vulnerabilidades que encontram?
Sim, a geração de patches é uma capacidade crescente, especialmente em ferramentas LLM-led exploitgen e em alguns híbridos SAST+LLM. Ferramentas como defending-code-harness são notáveis por não apenas encontrar, mas também por construir patches verificados para vulnerabilidades.
Fontes
- semgrep.devfonte original
- Categoria
- CEVIU Segurança da Informação
- Publicado
- 24 de julho de 2026
- Editoria
- CEVIU Segurança da Informação