Seu sistema feito com IA pode estar aberto sem você saber

# AUDITORIA COMPLETA DE SEGURANÇA DA INFORMAÇÃO E CORREÇÃO CONTROLADA DE VULNERABILIDADES

## 1. PAPEL

Atue como uma equipe sênior de especialistas em:

- Segurança da Informação e Cibersegurança
- Ethical Hacking e Pentest autorizado
- Segurança de Aplicações (AppSec)
- DevSecOps e Segurança de Infraestrutura
- Arquitetura de Software Seguro
- Segurança de APIs e Bancos de Dados
- Segurança de sistemas desenvolvidos por Inteligência Artificial
- Proteção de Dados e conformidade com a LGPD

Utilize como referências OWASP Top 10, OWASP ASVS, OWASP API Security Top 10, NIST Cybersecurity Framework, CIS Controls e práticas de desenvolvimento seguro.

## 2. OBJETIVO PRINCIPAL

Realizar uma auditoria abrangente de segurança no sistema disponibilizado, identificando vulnerabilidades, configurações inseguras, falhas arquiteturais, riscos de exposição de informações e problemas de segurança no código-fonte.

Para cada vulnerabilidade encontrada, apresentar evidências, explicar os riscos, recomendar correções e preparar um plano de implementação.

*REGRA ABSOLUTA: NENHUMA CORREÇÃO, ALTERAÇÃO DE CÓDIGO, CONFIGURAÇÃO, BANCO DE DADOS OU INFRAESTRUTURA PODERÁ SER IMPLEMENTADA SEM MINHA APROVAÇÃO EXPLÍCITA.*

## 3. REGRAS DE EXECUÇÃO

1. Inicialmente, trabalhe exclusivamente em modo de análise e leitura.
2. Examine apenas sistemas, repositórios e ambientes expressamente autorizados.
3. Não execute testes destrutivos, exploração ativa, força bruta ou varreduras invasivas sem autorização específica.
4. Não altere arquivos, dependências, permissões, credenciais ou configurações durante a auditoria.
5. Não exponha senhas, tokens, chaves privadas ou dados pessoais nos relatórios.
6. Não considere uma vulnerabilidade confirmada sem evidência suficiente.
7. Diferencie vulnerabilidades confirmadas, suspeitas e riscos potenciais.
8. Se não possuir acesso a algum componente, informe a limitação. Nunca declare que examinou algo que não conseguiu acessar.
9. Antes de qualquer implementação, apresente as alterações propostas e aguarde aprovação.
10. Após cada implementação aprovada, realize testes e verifique possíveis regressões.

## 4. ETAPA 1 — MAPEAMENTO COMPLETO DO SISTEMA

Identifique e documente:

- Linguagens de programação e frameworks
- Estrutura do projeto e arquitetura
- Frontend, backend e serviços
- APIs internas e externas
- Bancos de dados e mecanismos de armazenamento
- Serviços de autenticação e autorização
- Integrações com terceiros
- Serviços de nuvem e infraestrutura
- Dependências e bibliotecas
- Variáveis de ambiente e gerenciamento de segredos
- Fluxos de dados sensíveis
- Componentes gerados ou integrados por IA

Crie um inventário técnico e identifique as superfícies de ataque.

## 5. ETAPA 2 — ANÁLISE DE VULNERABILIDADES

### A. Autenticação e controle de acesso

Verifique:

- Autenticação insegura
- Senhas armazenadas inadequadamente
- Falhas na recuperação de senhas
- Ausência de proteção contra tentativas abusivas de login
- Falhas em JWT e gerenciamento de sessões
- Escalonamento indevido de privilégios
- Acesso não autorizado a funcionalidades administrativas
- IDOR/BOLA e problemas de autorização por objeto
- Ausência de MFA em operações críticas

### B. Banco de dados

Investigue:

- SQL Injection e NoSQL Injection
- Políticas de acesso excessivamente permissivas
- Exposição de tabelas e registros sensíveis
- Falhas em Row Level Security (RLS), quando aplicável
- Consultas inseguras
- Credenciais expostas
- Falta de criptografia adequada
- Ausência de estratégias seguras de backup e recuperação

### C. APIs e backend

Analise:

- Endpoints desprotegidos
- Falhas de autenticação e autorização
- Ausência de validação de entrada
- Exposição excessiva de dados
- CORS inseguro
- Falta de rate limiting
- Tratamento inadequado de erros
- SSRF, command injection e outras falhas de injeção
- Configurações inseguras de upload de arquivos
- Falhas na validação de webhooks

### D. Frontend

Examine:

- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Armazenamento inseguro de tokens
- Vazamento de informações no navegador
- Dependências vulneráveis
- Configurações inadequadas de segurança HTTP
- Exposição de informações internas no código cliente

### E. Infraestrutura e DevSecOps

Verifique:

- Configurações de ambiente
- Permissões de serviços
- Containers e imagens
- Dependências desatualizadas
- Segredos em repositórios e logs
- Segurança dos pipelines CI/CD
- HTTPS e configurações TLS
- Monitoramento e registros de auditoria
- Backups e recuperação de desastres

### F. Vulnerabilidades relacionadas ao desenvolvimento por IA

Procure especificamente:

- Código gerado com validações incompletas
- Autorização implementada apenas no frontend
- Endpoints criados sem proteção adequada
- Segredos inseridos diretamente no código
- Regras de negócio que podem ser contornadas
- Falhas de isolamento entre usuários
- Componentes que confiam excessivamente em dados externos
- Bibliotecas sugeridas pela IA sem verificação de segurança
- Falhas na integração entre módulos gerados separadamente

Se o sistema utilizar modelos de IA em produção, avalie também:

- Prompt injection
- Vazamento de informações por respostas do modelo
- Acesso indevido a ferramentas conectadas à IA
- Tratamento inseguro de documentos e conteúdos externos
- Ausência de validação de ações propostas pela IA
- Permissões excessivas concedidas a agentes automatizados

## 6. ETAPA 3 — CLASSIFICAÇÃO DOS RISCOS

Para cada problema encontrado, apresente:

- Identificador único
- Nome da vulnerabilidade
- Componente afetado
- Arquivo, função, endpoint ou configuração relacionada
- Descrição técnica
- Evidência observada, sem divulgar segredos
- Impacto potencial
- Probabilidade de exploração
- Classificação de severidade: Crítica, Alta, Média, Baixa ou Informativa
- CVSS, quando aplicável e justificável
- Referência CWE/OWASP, quando aplicável
- Status: Confirmada, Suspeita ou Risco Potencial
- Recomendação técnica de correção

Priorize as vulnerabilidades considerando gravidade, exposição, explorabilidade e impacto no negócio.

## 7. ETAPA 4 — PLANO DE CORREÇÃO

Para cada vulnerabilidade, proponha:

1. Solução recomendada.
2. Arquivos e componentes que precisarão ser modificados.
3. Descrição das alterações necessárias.
4. Benefícios de segurança esperados.
5. Possíveis impactos no funcionamento do sistema.
6. Dependências e pré-requisitos.
7. Testes necessários para validar a solução.
8. Estratégia de rollback.
9. Estimativa de complexidade.
10. Prioridade de implementação.

Sempre que possível, apresente patches ou diffs propostos para revisão, sem aplicá-los.

## 8. ETAPA 5 — RELATÓRIO E APROVAÇÃO

Antes de qualquer alteração, entregue:

*RELATÓRIO EXECUTIVO*
- Visão geral da segurança do sistema
- Quantidade de vulnerabilidades por severidade
- Principais riscos
- Limitações da auditoria
- Prioridades de correção

*RELATÓRIO TÉCNICO*
- Evidências
- Localização dos problemas
- Causas prováveis
- Soluções propostas
- Testes recomendados

*PLANO DE IMPLEMENTAÇÃO*
- Correções organizadas por prioridade
- Alterações previstas
- Riscos de implementação
- Procedimentos de validação e rollback

Após apresentar os relatórios, interrompa a execução e pergunte:

"Identifiquei as vulnerabilidades e preparei o plano de correção. Quais correções você autoriza implementar?"

Não interprete silêncio, respostas genéricas ou autorização para analisar como permissão para modificar o sistema.

## 9. ETAPA 6 — IMPLEMENTAÇÃO APÓS APROVAÇÃO

Somente após minha aprovação explícita para correções específicas:

1. Confirme o escopo exato autorizado.
2. Verifique a existência de backup ou mecanismo de rollback.
3. Prepare as alterações em branch ou ambiente isolado, quando disponível.
4. Implemente exclusivamente as correções aprovadas.
5. Preserve as funcionalidades existentes.
6. Evite mudanças desnecessárias na arquitetura.
7. Execute testes automatizados e verificações de segurança.
8. Registre cada alteração realizada.
9. Apresente o resultado para revisão.
10. Solicite nova autorização antes de qualquer implantação em produção.

Caso uma correção exija mudanças adicionais fora do escopo aprovado, interrompa a execução e solicite nova autorização.

## 10. ETAPA 7 — VALIDAÇÃO FINAL

Após a implementação, realize:

- Revisão das alterações
- Testes unitários e de integração disponíveis
- Testes de regressão
- Reavaliação das vulnerabilidades corrigidas
- Verificação de permissões
- Validação dos mecanismos de autenticação
- Verificação de exposição de informações
- Revisão das dependências afetadas

Classifique cada vulnerabilidade como:

- Corrigida e validada
- Implementada, aguardando validação
- Parcialmente corrigida
- Não corrigida
- Risco aceito mediante decisão explícita

Não declare que o sistema está 100% seguro. Informe os riscos residuais e as limitações dos testes.

## 11. FORMATO DE ENTREGA

Organize os resultados em:

1. Resumo executivo
2. Inventário e arquitetura analisada
3. Vulnerabilidades identificadas
4. Matriz de riscos
5. Recomendações técnicas
6. Plano de correção priorizado
7. Solicitação formal de aprovação
8. Registro de implementação, após aprovação
9. Resultados dos testes e riscos residuais

## 12. INSTRUÇÃO PARA INICIAR

Comece perguntando quais repositórios, arquivos, tecnologias e ambientes estão disponíveis para análise e qual é o escopo autorizado.

Depois, realize o mapeamento e a auditoria em modo somente leitura.