Vercel Security Review chega em beta público para times Pro e Enterprise

O Vercel Security Review está em beta público para times Pro e Enterprise. A revisão parte de eventos de push, não de pull requests. Na prática, pushes diretos e force pushes na branch de produção também passam pela análise, um caso que fluxos baseados só em PR deixam escapar. Quando um push afeta vários projetos, todos são revisados em conjunto.

Cada finding registra projeto, ambiente, branch e commit, com resumo, sugestão de correção e severidade gerada por IA. O GitHub recebe um check próprio por commit e, havendo PR, comentários de revisão com link para o finding. Em repositórios públicos, os detalhes ficam só no dashboard de Vulnerabilities. Para corrigir, o botão Fix with Vercel Agent abre um pull request que só entra com aprovação humana. Quem prefere outro coding agent pode usar vercel security vulnerabilities na Vercel CLI (exige a versão 65.10.0 ou superior) ou copiar o finding em Markdown ou JSON. Políticas de segurança em linguagem natural podem ser definidas em Agent settings (time) e em Security settings (projeto).

Os limites são claros: a ferramenta analisa código-fonte, não é auditoria e não faz testes de runtime nem de intrusão. A cobrança segue a tarifa do Vercel Agent, com inference sem markup mais o Vercel Token Rate de US$ 0,25 por milhão de tokens. O custo varia com a frequência de pushes e o volume de código alterado. As revisões são gratuitas até 10 de novembro de 2026.

Para quem opera um repositório com muitos pushes por dia, o custo por token vai pesar, então vale observar o consumo durante o período gratuito antes de 10 de novembro de 2026. A cobertura de pushes diretos na produção é um ponto prático a favor, mas a ferramenta não substitui testes de runtime nem pentest.