Datadog Fortalece Defesa Contra Pacotes Maliciosos com GuardDog 3.0

O GuardDog 3.0 da Datadog chega como uma resposta robusta à crescente necessidade de segurança na cadeia de suprimentos de software. A Datadog redesenhou seu scanner de código aberto para pacotes PyPI e npm, trocando o Semgrep pelas regras YARA executadas via yara-python. Essa mudança representa um ganho substancial em velocidade e eficiência de memória, problemas que o Semgrep apresentava em varreduras de grande escala.

A grande inovação é o motor de risco aprimorado. Ele correlaciona capacidades e indicadores de ameaça ao longo do ciclo de ataque, atribuindo uma pontuação de risco de 0 a 10. Isso permite ao GuardDog identificar de forma mais precisa e contextualizada a maliciosidade de um pacote, superando a abordagem anterior de apenas sinalizar cada correspondência de regra isoladamente. Além disso, a execução das varreduras em um sandbox Nono restringe o acesso ao sistema de arquivos e rede, protegendo o próprio scanner contra tentativas de exploração por pacotes maliciosos.

A atualização do GuardDog 3.0 é um salto técnico em relação à versão 2.0. Antes, o GuardDog 2.0 dependia do Semgrep para heurísticas e exibia achados sem priorização ou correlação, tratando cada regra como um sinal fraco. O GuardDog 3.0 abandona o Semgrep em favor das regras YARA, que são mais eficientes. Agora, ele usa um motor de risco que combina regras de capacidade e indicadores de ameaça, correlacionando-os para gerar uma pontuação de maliciosidade de 0 a 10, algo ausente na versão anterior.

Outra mudança fundamental é a introdução do sandbox Nono. Enquanto o GuardDog 2.0 não tinha essa camada de proteção, a nova versão isola o processo de varredura, impedindo que pacotes maliciosos explorem o próprio scanner. Isso aumenta a resiliência da ferramenta. Embora o GuardDog 2.0 já tivesse introduzido a varredura YARA, na versão 3.0 ela se tornou o motor principal, substituindo o Semgrep e sendo executada de forma mais otimizada via yara-python.

A segurança da cadeia de suprimentos de software é um ponto crítico para qualquer desenvolvedor ou empresa que usa pacotes de código aberto. Com ataques cada vez mais sofisticados, ferramentas como o GuardDog 3.0 são essenciais para proteger ambientes de desenvolvimento e produção. A precisão de 89,2% e o recall de 88,3% mostram que a ferramenta é eficaz em identificar ameaças.

A capacidade de varrer pacotes de forma mais rápida e segura, sem comprometer o scanner, eleva o nível de confiança na integridade do software consumido. Isso é vital para as equipes de DevSecOps, que ganham um aliado mais inteligente e resiliente na detecção proativa de código malicioso. A tendência de fortalecer a segurança em gerenciadores de pacotes, como visto com o uv audit que o CEVIU noticiou em junho e julho de 2026, mostra que a Datadog está na vanguarda dessa proteção.