Resumo: O mercado de pentest com IA consolidou-se fortemente em 2026. A Horizon3.ai levantou 250 milhões de dólares com uma avaliação acima de 2 mil milhões em agosto, a XBOW fechou uma Série C de 120 milhões acima de 1 mil milhões em março, e Pentera, Terra Security, RunSybil e Hadrian lançaram produtos agênticos numa janela de nove meses. Sob o financiamento existem apenas seis arquiteturas genuinamente distintas, e todas resolvem quatro problemas de engenharia partilhados: gestão de contexto, planeamento, validação de achados e controlo do raio de impacto. Esta desmontagem cobre as dez plataformas líderes ao nível da arquitetura, as evidências publicadas de cada uma, e a distância entre laboratório e realidade que o marketing omite sistematicamente: os agentes que exploram 87% dos CVE de um dia quando lhes é entregue o aviso caem para cerca de 13% na mesma classe de alvo quando têm de encontrar a falha sozinhos.
A ThreatExploit publica este blogue e constrói uma das plataformas avaliadas abaixo, onde aparece em primeiro lugar. Os critérios de classificação são declarados na íntegra antes da lista, cada afirmação sobre um concorrente provém do material publicado por esse fornecedor ou de benchmarks revistos por pares, e as limitações da nossa própria plataforma são apresentadas no mesmo formato das restantes. Leia como um argumento informado de uma parte interessada, não como uma auditoria independente, e faça o teste comparativo descrito no final contra o seu próprio ambiente.
Dois números definem o estado do pentest com IA em 2026, e apontam em direções opostas.
O primeiro é 665 milhões de dólares e a subir: o financiamento de capital de risco total divulgado na categoria de segurança ofensiva autónoma, concentrado num punhado de empresas que hoje têm avaliações de unicórnio. A Horizon3.ai fechou uma Série E de 250 milhões em agosto de 2026, com uma avaliação reportada acima de 2 mil milhões. A XBOW fechou uma Série C de 120 milhões em março de 2026, elevando o financiamento total a 237 milhões, com avaliação acima de 1 mil milhão. A Pentera ultrapassou os mil milhões antes. Terra Security, RunSybil e Hadrian lançaram ou expandiram ofertas agênticas na mesma janela.
O segundo número é 13%. É a taxa de sucesso de exploração que os melhores frameworks de agentes avaliados publicamente alcançam no CVE-Bench, um benchmark revisto por pares com 40 CVE de gravidade crítica de aplicações web reais, quando o agente tem de encontrar a vulnerabilidade sem que lhe digam qual é. Forneça a descrição da vulnerabilidade e o mesmo benchmark sobe para aproximadamente 25%.
Ambos os números são verdadeiros. A capacidade é real e melhora depressa, e é também muito mais estreita do que o marketing da categoria sugere. Este artigo é uma desmontagem técnica das dez plataformas que importam, escrito para quem tem de tomar uma decisão de compra e precisa de saber o que corre realmente sob o rótulo.
- ✓Existem seis arquiteturas distintas neste mercado: modelos treinados de propósito dentro de enquadramentos governados, motores determinísticos com camada de IA, hackers agênticos autónomos, agentes de raciocínio sobre código, red teamers dirigidos a IA e frameworks de agentes de código aberto. Comparar entre classes é um erro de categoria.
- ✓Todos estes sistemas resolvem os mesmos quatro problemas de engenharia: gestão de contexto, planeamento, validação de achados e controlo do raio de impacto. A resposta de um fornecedor a esses quatro prevê os seus resultados reais melhor do que qualquer pontuação de benchmark.
- ✓A distância entre laboratório e realidade é o número mais importante da categoria: 87% de sucesso em CVE de um dia com o aviso fornecido desaba para cerca de 7-13% quando o agente tem de descobrir a falha sozinho.
- ✓A arquitetura de validação separa plataformas reais de demonstrações. Procure descoberta e validação separadas em software, com a reprodutibilidade como critério de promoção: os scanners automáticos carregam um intervalo documentado de 10-40% de falsos positivos.
- ✓Âmbito imposto em código na fronteira de ferramentas é estruturalmente diferente de âmbito escrito num prompt. Um é uma porta; o outro é um pedido de que se pode dissuadir o modelo.
- ✓Cerca de 70% das vulnerabilidades web críticas são falhas de lógica de negócio, que nenhuma plataforma desta lista deteta de forma fiável. Todos os resultados de destaque de 2026 mantiveram revisão humana antes da publicação.
As Seis Arquiteturas Por Trás de Todos os Produtos Deste Mercado
A maioria das comparações de fornecedores lista funcionalidades. Aqui isso é quase inútil, porque duas plataformas com listas de funcionalidades idênticas podem ter modos de falha completamente diferentes consoante a forma como foram construídas. Existem seis classes de arquitetura neste mercado, e o primeiro trabalho de qualquer avaliação é perceber qual delas tem à frente.
A primeira classe é a mais recente e a mais difícil de construir, porque exige possuir tanto o modelo como o andaime à sua volta. O resto do mercado ou embrulha um modelo geral ou constrói à mão a lógica de ataque. Um motor determinístico com camada de IA nunca o surpreenderá, e é precisamente por isso que é a arquitetura que se corre contra um Active Directory em produção. Um hacker agêntico autónomo encadeará ocasionalmente algo que nenhum humano teria tentado — a XBOW documentou uma cadeia de 48 passos que escalou um SSRF cego até ao comprometimento total — e ocasionalmente queimará uma hora a convencer-se de que conseguiu algo que nunca executou. São perfis de risco diferentes, não listas de funcionalidades diferentes.
Os Quatro Problemas Que Todo o Pentester com IA Tem de Resolver
Sob as classes de arquitetura, todos os sistemas desta categoria resolvem os mesmos quatro problemas de engenharia. Ler a resposta de um fornecedor a estes quatro é a forma mais rápida de avaliar a sua seriedade técnica.
Problema 1: Gestão de Contexto
Um trabalho real gera muito mais saída do que qualquer janela de contexto comporta. Uma única varredura nmap sobre um /16, uma enumeração de diretórios e algumas horas de tráfego HTTP transbordam mesmo um contexto muito grande. Os agentes ingénuos truncam, perdem achados anteriores e voltam a testar alvos que já cobriram.
As respostas sérias desacoplam a memória de longo prazo da janela de contexto. O PentAGI, o projeto de código aberto mais popular da categoria, usa PostgreSQL com embeddings pgvector para que o agente recorde achados anteriores de forma semântica em vez de reler a saída bruta. O VulnBot introduziu um Grafo de Tarefas de Penetração: um grafo dirigido de dependências que persiste ao longo de sessões de várias horas e lança automaticamente a exploração subsequente quando um pré-requisito aparece. As plataformas comerciais raramente publicam o seu desenho de memória, o que é em si um sinal útil durante uma avaliação técnica. Pergunte.
Problema 2: Planeamento
A investigação publicada convergiu para uma classificação clara das arquiteturas de planeamento, e as diferenças são grandes.
O ciclo ReAct de agente único — pensar, chamar uma ferramenta, observar, repetir — é onde se situa a maioria das ferramentas de primeira geração, e ronda os 21% em tarefas de pentest autónomo antes de o transbordo de contexto o degradar ainda mais. Separar o planeamento da execução ajuda substancialmente: a investigação de planeador-executor HPTSA reportou uma melhoria de 4,3x sobre as linhas de base de agente único na exploração de dia zero, alcançando 42% pass@5 e 18% pass@1 em 14 vulnerabilidades reais. Os enxames dinâmicos que reescrevem as próprias instruções quando detetam padrões de falha foram ainda mais longe: o D-CIPHER cobriu mais 65% de técnicas MITRE ATT&CK do que as linhas de base de agente único e obteve 44,0% nos desafios do HackTheBox.
O resultado mais interessante é o último. O xOffense, construído sobre um Qwen3-32B afinado, alcançou 79,17% de conclusão de subtarefas e superou as linhas de base de GPT-4 e Llama 3. A adaptação ao domínio está a superar a escala bruta do modelo nesta família de tarefas. Uma abordagem híbrida chamada CHECKMATE, em que o LLM escreve uma descrição formal de planeamento em PDDL e um planeador clássico encontra a sequência ótima, reportou uma melhoria de sucesso superior a 20% acompanhada de uma redução de custo superior a 50% face ao planeamento puramente com LLM.
Problema 3: Validação
É aqui que as plataformas se separam, e é a pergunta que mais compradores se esquecem de fazer.
Documentado em várias avaliações de agentes de código aberto: o agente imagina a saída bem-sucedida de um comando em vez de o executar, e depois raciocina com confiança sobre essa ficção. Todo o achado a jusante dessa alucinação é inválido. Qualquer plataforma sem validação programática, externa ao modelo, dos seus próprios achados produzirá esta falha em alguma proporção, e não saberá que o fez.
O desenho publicado da XBOW é o melhor contraexemplo. Os achados passam por validadores: revisores automáticos que combinam revisão por LLM com verificações programáticas próprias. Para cross-site scripting, um navegador headless visita o alvo e confirma que a carga JavaScript foi genuinamente executada. Isto é uma verificação determinística, não um modelo a afirmar sucesso. A XBOW usa também SimHash para semelhança de conteúdo e hashing de imagens para semelhança visual, deduplicando achados entre ambientes clonados, o que impede que um sistema autónomo de alto volume afogue os seus operadores em duplicados.
O NodeZero da Horizon3.ai leva o mesmo princípio noutra direção: prova a explorabilidade executando a cadeia contra o ambiente real e reportando o que efetivamente alcançou — comprometimento de host, controlo de domínio, exposição de dados — em vez do que inferiu. Esta é a diferença entre um achado real e um resultado de scanner com prosa confiante em anexo, algo que abordámos com mais detalhe em falsos positivos: scanners face ao pentest real.
Problema 4: Raio de Impacto
A exploração autónoma contra produção é um problema de engenharia de segurança antes de ser um problema de IA. As duas abordagens credíveis são um núcleo determinístico que só executa lógica de ataque verificada (a arquitetura da Pentera, em que a camada de IA adapta a seleção de alvos mas o motor de exploração continua construído à mão e auditável), ou um motor seguro para produção endurecido pelo volume (a Horizon3.ai afirma que o NodeZero foi construído a executar centenas de milhares de testes seguros contra redes grandes e sensíveis).
A distinção que importa: o âmbito validado no caminho de execução, depois de o modelo emitir uma instrução e antes de esta chegar à rede. Uma ação fora de âmbito não é desencorajada — é impossível.
Se um fornecedor não conseguir explicar concretamente o que o seu agente está estruturalmente impedido de fazer, não resolveu isto. Escrevemos sobre os compromissos operacionais em pentest automatizado seguro face a agressivo.
A Verificação de Realidade dos Benchmarks
Antes da análise plataforma a plataforma convém enquadrar a base de evidências, porque nesta categoria os números de benchmark são rotineiramente citados sem as condições que os produziram.
Três coisas decorrem desta tabela.
O contexto determina o resultado, por um fator de seis. A mesma classe de alvo passa de 87% para cerca de 7% consoante o aviso da vulnerabilidade seja ou não fornecido. O CVE-Bench passa de ~25% para 13% no mesmo eixo. Quando um fornecedor cita uma taxa de sucesso, a única pergunta que importa é se ao sistema foi dito o que procurar.
A dificuldade é um precipício, não um declive. Os modelos de fronteira têm desempenho razoável em máquinas fáceis e muito fáceis do HackTheBox e pontuam aproximadamente zero no nível difícil. Não há degradação suave, o que significa que o desempenho em alvos fáceis não prevê nada sobre os difíceis.
A avaliação independente é escassa. Os resultados de benchmark da XBOW são autorreportados, tal como a maioria dos números de fornecedores desta lista. Os benchmarks revistos por pares (Cybench, CVE-Bench, NYU CTF Bench) avaliam agentes de investigação, não produtos comerciais no mercado. Ninguém publicou uma avaliação rigorosa, independente e direta entre as plataformas comerciais. Até que alguém o faça, o seu próprio teste comparativo é a única evidência aplicável ao seu ambiente.
O mais próximo de uma comparação no mundo real é o estudo ARTEMIS de dezembro de 2025: um agente de IA testado contra uma rede empresarial real de cerca de 8.000 hosts em 12 sub-redes, ao lado de pentesters humanos. O agente encontrou 9 vulnerabilidades válidas com uma taxa de validade de 82%, ficou em segundo lugar no total e superou 9 dos 10 testadores humanos. O melhor humano encontrou 13 através de encadeamento criativo de exploits. O agente gerou também mais falsos positivos do que todos os participantes humanos, e o estudo assinalou que cerca de 70% das vulnerabilidades web críticas são falhas de lógica de negócio que a IA não deteta de forma fiável. O custo operacional rondou os 18 dólares por hora face a cerca de 60 dólares por hora dos testadores humanos.
Esse é o estado da arte honesto: competitivo em amplitude e custo, segundo lugar no teto, e mais ruidoso pelo caminho.
O Top 10, Classificado
Critérios de classificação, declarados à partida e pela ordem do peso que têm: arquitetura de validação (consegue a plataforma provar que um achado é real sem um modelo de linguagem o afirmar?), controlo e auditabilidade (o âmbito é imposto estruturalmente e o trabalho pode ser reproduzido perante um auditor?), arquitetura de modelo e de trabalho (construída de propósito para trabalho adversarial de vários dias, ou um modelo geral num ciclo), cobertura de superfície de ataque e adequação operacional para as equipas que a operam. As evidências publicadas pesam em todo o processo, e os números autorreportados são identificados como tal — incluindo os nossos.
As plataformas que resolvem problemas genuinamente diferentes são classificadas pela qualidade com que resolvem o seu. Um agente de raciocínio sobre código e um motor de exploração de rede interna não competem pelo mesmo lugar, e fingir o contrário tornaria a lista inútil.
1. ThreatExploit (Sylas)
Classe: Modelo treinado de propósito dentro de uma arquitetura de trabalho governada
Arquitetura. A alegação distintiva é que o Sylas é um modelo diferente, não um prompt diferente. É um modelo de linguagem especializado no domínio com aproximadamente 400 mil milhões de parâmetros, treinado internamente ao longo de cerca de seis meses sobre infraestrutura de GPU própria em vez de adaptado a partir de um assistente geral. Usa ativação esparsa: apenas o subconjunto de parâmetros relevante para uma dada inferência é ativado, na ordem dos 80 mil milhões em cada momento. É isso que torna os testes contínuos acessíveis, porque o custo de inferência de correr um modelo de fronteira à cadência de um trabalho é precisamente a razão pela qual os concorrentes são empurrados para trabalhos pouco frequentes e de preço elevado.
A ativação esparsa é o mecanismo económico. Capacidade de fronteira a uma fração do custo de inferência que uma ativação densa com o mesmo número de parâmetros exigiria.
O corpus de treino importa mais do que o número de parâmetros. O Sylas é treinado sobre aproximadamente seis anos de telemetria de ataques reais recolhida em operações em vivo: cadeias de ataque completas, desde o comprometimento inicial num dispositivo de perímetro até ao movimento lateral para sistemas internos. São dados longitudinais ao nível das cadeias, não cenários sintéticos nem eventos isolados extraídos de bases públicas de vulnerabilidades. Um modelo treinado com artigos consegue descrever uma técnica. Um modelo treinado com cadeias viu o que um operador faz a seguir quando as três primeiras tentativas falham.
O modelo assenta num grafo de estados que conduz cada trabalho por seis fases numa ordem fixa que não pode ser contornada.
Reconhecimento, enumeração e análise correm autonomamente. A transição para exploração ativa — o ponto em que o trabalho deixa de observar e começa a agir — exige aprovação humana explícita.
O estado do trabalho — âmbito autorizado, inventário de hosts, serviços descobertos, credenciais recuperadas, achados e evidências — é mantido num objeto estruturado e consultável em vez de numa transcrição conversacional. Esta é a resposta direta ao problema de gestão de contexto descrito atrás: ao terceiro dia de um teste grande o sistema lê de uma base de dados, não de um registo de conversa cada vez mais incomportável. O estado é persistido continuamente, pelo que um trabalho interrompido retoma em vez de reiniciar, o que significa que hosts já tratados não são novamente analisados e o ambiente alvo não absorve tráfego duplicado. A enumeração e a análise distribuem-se por subagentes isolados a trabalhar por host ou por serviço, cada um no seu próprio contexto novo, com resultados fundidos centralmente.
Controlo e evidência. É aqui que a plataforma é construída para ser contestada. Cada chamada a ferramenta que toca um alvo é validada em código contra um objeto de Regras de Compromisso assinado e recusada se o alvo cair fora do âmbito autorizado. O âmbito não é uma instrução que se pede ao modelo para respeitar; é uma porta no caminho de execução que o modelo não tem forma de contornar pela conversa. Uma ação fora de âmbito não é desencorajada, é impossível, e a tentativa aparece no rasto.
Os achados estão sujeitos a uma separação deliberada de funções em software: o componente que descobre um achado candidato não decide se ele é real. Um passo de validação distinto reexamina as evidências capturadas — pares de pedido e resposta, cargas, artefactos de resposta, captura de sessão — e um candidato só é promovido ao relatório quando o caminho de exploração se reproduz contra o alvo. Um comportamento observado uma vez e não reproduzível é tratado como não provado e mantido como informativo em vez de descartado em silêncio. Essa arquitetura de validação é o que produz a taxa de verificação de achados de 94%, face a um intervalo documentado de 10-40% de falsos positivos em scanners automáticos de vulnerabilidades. Cada decisão e cada invocação de ferramenta são registadas, produzindo um registo reproduzível e com marca temporal — a espinha dorsal probatória que um auditor ou uma seguradora pede quando um achado é contestado.
Cada trabalho corre no seu próprio contentor endurecido e dedicado, provisionado no início e destruído no fim, sem estado partilhado entre clientes. A inferência corre sobre infraestrutura própria; os dados do trabalho não transitam por um fornecedor de modelos terceiro e os dados de cliente não são usados para treinar o modelo. Para compradores regulados essa é geralmente a primeira pergunta e a que decide se a conversa continua.
Em que difere de tudo o resto desta lista. Em três coisas. É a única plataforma aqui cujo modelo foi treinado de propósito sobre telemetria de ataques ao nível das cadeias em vez de adaptado de um modelo geral. Tem informação própria disponível para o modelo durante o trabalho em vez de acrescentada depois — pesquisa na dark web de credenciais expostas, deteção de domínios semelhantes e de typosquatting, e análise contínua da superfície de ataque externa — pelo que um teste começa já a saber o que foi exposto sobre aquele negócio em vez de descobrir o perímetro a frio. E é construída para entrega por prestadores de serviços: relatórios em marca branca em PDF, JSON e formatos estruturados, vistas executiva e técnica, servidores dedicados de inquilino único com implantação nas Américas, Europa e Ásia, e permissões por perfil com chaves de API para CI/CD.
Os relatórios são mapeados para os referenciais pelos quais os clientes são realmente avaliados — ISO 27001 (incluindo Anexo A 8.8 e 8.29), SOC 2 (CC4.1 e CC7.1), PCI DSS v4.0 Requisito 11.4 e Cyber Essentials — seguindo a metodologia do OWASP Testing Guide, OWASP Top 10, NIST SP 800-115 e PTES.
Onde falha. Exposto nos mesmos termos que os restantes. Não encontra de forma fiável as falhas de lógica de negócio que constituem cerca de 70% das vulnerabilidades web críticas, e não substitui o juízo de um testador sénior sobre o impacto de negócio — razão pela qual a validação humana antes da publicação do relatório é obrigatória e não opcional na arquitetura. A porta de aprovação humana antes da exploração é um controlo genuíno e também uma restrição genuína de débito: um trabalho ficará à espera de uma pessoa. Não existe pontuação de benchmark de terceiros publicada para o Sylas, pelo que a taxa de verificação de 94% é uma medição nossa e deve ser tratada como as cifras autorreportadas da XBOW: uma alegação a testar, não um resultado auditado. E a plataforma dirige-se a prestadores de serviços e aos seus clientes; uma empresa única que teste apenas o seu próprio ambiente pode achar irrelevante a maquinaria de entrega multi-inquilino.
Melhor encaixe. MSSP, operadores de telecomunicações, fornecedores de alojamento e empresas de conformidade que entregam testes de intrusão a muitas organizações clientes sob a sua própria marca, e organizações reguladas que precisam de testes autónomos defensáveis perante um auditor, uma seguradora ou um cliente.
2. XBOW
Classe: Hacker agêntico autónomo (web e API)
Arquitetura. Agentes totalmente autónomos a correr em paralelo contra um alvo, conduzindo ferramentas em ciclos de planear-agir-observar, sem intervenção humana durante a execução. Os textos da XBOW descrevem ligas de modelos: invocar dinamicamente modelos diferentes dentro de um único fio de conversa, sem que os modelos se conheçam entre si, o que permite aplicar forças especializadas a diferentes fases de um ataque sem fragmentar o contexto. Os achados passam por validadores: revisores automáticos que combinam revisão por LLM com verificação programática, como um navegador headless que confirma que uma carga foi realmente executada. A pontuação de domínios seleciona alvos usando presença de WAF, códigos de resposta HTTP, superfície de autenticação, número de endpoints e tecnologias detetadas. SimHash e hashing de imagens deduplicam alvos quase idênticos.
Evidências publicadas. As mais sólidas da categoria. Numa janela de 90 dias terminada em junho de 2025: 1.060 relatos de vulnerabilidades no HackerOne, dos quais 54 críticos, 242 altos, 524 médios e 65 baixos, com 130 resolvidos e 303 triados à data da publicação, mais 208 duplicados e 209 informativos. Esse último par é a parte honesta da divulgação: cerca de 40% das submissões não converteram. O agente alcançou o primeiro lugar do ranking norte-americano do HackerOne em junho de 2025. Fundada por Oege de Moor, criador do GitHub Copilot e fundador da Semmle/CodeQL. 237 milhões levantados, Série C de 120 milhões em março de 2026 acima de mil milhões.
Onde falha. Centrada em web e API; não é uma ferramenta para redes internas nem Active Directory. O elevado volume de submissões implica taxas de duplicados e informativos que uma equipa de entrega tem de absorver. Os resultados são autorreportados e o conjunto de benchmarks é da própria XBOW.
Melhor encaixe. Testes ofensivos contínuos de grandes patrimónios externos de web e API, e descoberta em volume ao estilo bug bounty.
3. Horizon3.ai NodeZero
Classe: Exploração autónoma contra infraestrutura em produção
Arquitetura. O NodeZero encadeia credenciais fracas, más configurações e lacunas de identidade em caminhos de ataque funcionais contra redes de produção reais, e reporta o que efetivamente alcançou em vez do que inferiu. A Horizon3.ai descreve a plataforma como combinando aprendizagem por reforço, raciocínio sobre grafos e um corpus em expansão contínua de dados adversariais reais recolhidos em execuções de produção. O motor seguro para produção é a alegação central de engenharia: a empresa declara que o NodeZero foi construído a executar centenas de milhares de testes seguros contra redes grandes e sensíveis. Em julho de 2026 a plataforma acrescentou testes autónomos de aplicações web que encadeiam vulnerabilidades aplicacionais com infraestrutura, demonstrando como uma injeção SQL ou um controlo de acesso quebrado escala até comprometimento de host, controlo de domínio ou exposição de dados. A cobertura abrange o OWASP Top 10, falhas complexas de controlo de acesso e técnicas baseadas em credenciais.
Evidências publicadas. Série E de 250 milhões em agosto de 2026 co-liderada por NightDragon e NEA, com avaliação reportada acima de 2 mil milhões; Série D de 100 milhões em junho de 2025. Participante do programa CAPT da NSA. Os números de escala operacional referentes a centenas de milhares de testes em produção são declarados pela própria empresa.
Onde falha. A profundidade na camada aplicacional é mais recente do que a sua herança em redes. A saída em forma de caminhos de ataque exige um operador capaz de a ler; a plataforma pressupõe maturidade de segurança interna.
Melhor encaixe. Validação de caminhos de ataque em rede interna, Active Directory, identidade e nuvem à escala empresarial, e organizações que precisam de prova de explorabilidade contra produção sem provocar uma interrupção.
4. Pentera
Classe: Motor determinístico com camada de IA agêntica
Arquitetura. A arquitetura dupla é o ponto central. Um motor de ataque determinístico mantém os testes repetíveis, auditáveis e seguros em produção, enquanto uma camada de IA agêntica adapta os fluxos de teste e investigação à medida que identidades, permissões e configurações mudam. A plataforma é sem agente — não requer instalação em endpoints — e orquestra ataques de cadeia completa desde ativos externos até à infraestrutura central. Divisão de produto: Pentera Core (redes internas), Surface (ativos externos), Cloud (nuvem e híbrido) e Resolve (remediação, com achados validados priorizados, atribuídos, acompanhados e retestados para confirmar que a correção funcionou). O Pentera 8, anunciado a 19 de março de 2026 com disponibilidade geral no segundo trimestre de 2026, introduziu o Pentera Peer, uma interface agêntica integrada para guiar testes adversariais e investigar achados em linguagem natural.
Evidências publicadas. Avaliação acima de mil milhões, cerca de 100 milhões de receita recorrente anual e mais de 1.200 clientes reportados. Longa presença no Gartner Peer Insights. As taxas de sucesso por técnica de ataque não são publicadas.
Onde falha. O núcleo determinístico que a torna segura limita também o seu teto: não inventará uma cadeia inédita como por vezes faz um agente sem restrições. A capacidade agêntica é mais recente e mais estreita do que o marketing sugere: o Pentera Peer é sobretudo uma interface em linguagem natural sobre um motor existente, não um hacker autónomo.
Melhor encaixe. Empresas que precisam de validação repetível e auditável de forma calendarizada, com acompanhamento de remediação e reteste integrados na mesma plataforma.
5. Terra Security
Classe: Agêntica, com humano no ciclo, contínua
Arquitetura. Pentest com IA agêntica construído explicitamente em torno de um modelo com humano no ciclo em vez de autonomia total, com agentes que constroem e retêm contexto por alvo ao longo de ciclos de teste contínuos em vez de começarem do zero em cada execução. Ao longo de 2026 a Terra estendeu-se das aplicações web para fora, anunciando pentest agêntico contínuo de rede interna em pré-visualização com parceiros de desenho, posicionando-se como cobrindo continuamente as quatro grandes superfícies de ataque.
Evidências publicadas. Série A de 30 milhões em setembro de 2025 liderada pela Felicis com Dell Technologies Capital, SYN Ventures, LAMA Partners e Underscore VC; 38 milhões no total. Clientes Fortune 500 reportados. Sem resultados de benchmark publicados.
Onde falha. É a plataforma mais jovem desta lista à escala, com a cobertura de rede interna ainda em pré-visualização à data de escrita. O desenho com humano no ciclo é uma força genuína para a qualidade dos achados e uma restrição genuína ao débito.
Melhor encaixe. Equipas de segurança que querem cobertura agêntica contínua mas não aceitam achados autónomos sem revisão.
6. RunSybil
Classe: Hacker agêntico autónomo (contínuo, aplicações em produção)
Arquitetura. O Sybil executa testes de intrusão autónomos contínuos contra aplicações em produção — encontrando, explorando e documentando vulnerabilidades sem humano no ciclo. A proveniência da equipa é o diferenciador a assinalar: fundada pela primeira contratação de segurança da OpenAI, com antigos membros da red team da Meta. Essa combinação — engenharia de agentes de laboratório de fronteira e prática de segurança ofensiva — é rara, e nota-se na ênfase na exploração autónoma em vez do fluxo de trabalho assistido.
Evidências publicadas. 40 milhões levantados, liderados pela Khosla Ventures. Sem resultados de benchmark publicados nem avaliação independente disponível à data de escrita.
Onde falha. É a empresa em fase mais inicial desta lista. A postura de autonomia total significa que a arquitetura de validação constitui a totalidade do risco do produto, e não foi documentada publicamente como a da XBOW. Peça-a diretamente numa avaliação.
Melhor encaixe. Equipas confortáveis com adoção precoce, que querem testes autónomos contínuos de aplicações em produção e conseguem validar a saída por si próprias.
7. Hadrian Nova
Classe: Pentest agêntico assente na gestão de superfície de ataque externa
Arquitetura. O Nova, lançado na RSAC 2026 em março, estende a plataforma de gestão de exposição externa da Hadrian com testes de intrusão autónomos a pedido. A aposta arquitetónica é que a camada de descoberta alimenta a camada de exploração: os ativos e o seu contexto já estão enumerados e monitorizados continuamente, pelo que o agente arranca com uma imagem rica em contexto em vez de reconhecimento a frio. O Nova executa testes de âmbito completo — reconhecimento, exploração, achados validados — em horas, com âmbito controlado pelo cliente, repetibilidade, execução transparente e colaboração humano-IA para revisão especializada. Inclui suporte de conformidade para organizações com requisitos de auditoria.
Evidências publicadas. Líder de ASM segundo a GigaOm durante três anos consecutivos para a plataforma subjacente. O Nova é recente; sem resultados de benchmark publicados.
Onde falha. Virado para o exterior por desenho — não é uma ferramenta de rede interna. A camada agêntica é a parte mais recente de um produto de ASM maduro, pelo que deve avaliar as duas separadamente.
Melhor encaixe. Organizações que já operam gestão contínua de superfície de ataque externa e querem exploração validada sobre o mesmo inventário de ativos em vez de um trabalho separado.
8. OpenAI Aardvark (agora Codex Security)
Classe: Agente de raciocínio sobre código
Arquitetura. Uma abordagem fundamentalmente diferente de tudo o anterior. O Aardvark analisa continuamente repositórios de código-fonte para identificar vulnerabilidades, avaliar explorabilidade, priorizar gravidade e propor correções específicas. Lê o código em vez de sondar o sistema em execução, o que significa que alcança classes de falhas estruturalmente inacessíveis aos testes de caixa preta — e perde tudo o que só se manifesta em tempo de execução ou na configuração implantada. Anunciado em outubro de 2025 como investigador de segurança agêntico alimentado por GPT-5; desde março de 2026 chama-se Codex Security, disponível como pré-visualização de investigação para clientes ChatGPT Enterprise, Business e Edu.
Evidências publicadas. A OpenAI publicou descrições de capacidades e detalhes de acesso antecipado em vez de resultados comparativos de benchmark.
Onde falha. Exige acesso ao código-fonte, sendo por isso inútil para testar terceiros ou âmbitos de caixa preta. Não é um teste de intrusão no sentido da conformidade: produz achados de código e correções, não exploração demonstrada de um sistema implantado. O acesso está limitado a pré-visualização de investigação.
Melhor encaixe. Organizações de engenharia que querem revisão de segurança contínua dentro do ciclo de desenvolvimento, a correr ao lado de uma plataforma de caixa preta e não em vez dela.
O Big Sleep é uma colaboração entre a DeepMind e o Project Zero focada em falhas de segurança de memória em bases de código de produção. Não é classificado aqui porque não se pode comprar, mas define o teto da classe de caixa branca. Em novembro de 2024 encontrou um buffer underflow no SQLite que tanto o OSS-Fuzz como a própria suite de testes do SQLite tinham deixado passar — o primeiro dia zero credível descoberto por IA em software de produção. Até agosto de 2025 tinha reportado 20 vulnerabilidades em projetos de código aberto amplamente usados, incluindo FFmpeg e ImageMagick, e viria depois a encontrar o CVE-2025-6965 no SQLite. Nos testes de buffer overflow do CyberSecEval2 a abordagem subjacente reportou uma melhoria de 20x face à linha de base.
As suas evidências são as mais sólidas deste artigo, e com folga: são CVE reais em software real com rasto público de divulgação, um padrão materialmente mais alto do que qualquer benchmark autorreportado por um fornecedor. É também estreito por desenho: classes de falhas de segurança de memória, não lógica de negócio, não autorização em aplicações web, não caminhos de ataque de identidade. Use-o como padrão de medida do que a descoberta agêntica rigorosa e bem delimitada consegue alcançar, e seja cético perante qualquer plataforma comercial que alegue qualidade de evidência comparável.
9. Mindgard
Classe: Red teamer dirigido a IA
Arquitetura. A Mindgard testa sistemas de IA em vez de usar IA para testar sistemas convencionais — red teaming automatizado e testes de segurança contínuos para LLM, agentes de IA e modelos multimodais, posicionado como DAST para IA. Em março de 2026 acrescentou um módulo de reconhecimento que descobre barreiras de IA, prompts de sistema, ferramentas, integrações e serviços externos antes de os testar. Os testes são contínuos em vez de pontuais, com achados mapeados para MITRE ATLAS e para as categorias OWASP LLM para efeitos de relatório.
Evidências publicadas. Plataforma comercial com subscrição anual de cinco dígitos e testes adversariais geridos disponíveis. As alternativas de código aberto nesta classe estão bem estabelecidas: Garak da NVIDIA (mais de 50 sondas), PyRIT da Microsoft (orquestração de ataques multi-turno) e Promptfoo (red teaming definido em YAML dentro da CI).
Onde falha. Trabalho completamente diferente — não testará a sua rede nem as suas aplicações web. Se a sua única exposição a IA for um chatbot num site de marketing, o Garak ou o Promptfoo na CI provavelmente cobrem-no gratuitamente.
Melhor encaixe. Organizações que entregam funcionalidades com LLM ou agentes a clientes, sobretudo quando é necessário mapeamento para MITRE ATLAS ou para o OWASP LLM Top 10 para efeitos de governação. A HackerOne reportou um aumento homólogo de 540% nos relatos de injeção de prompt, pelo que esta superfície está a ser sondada quer a teste quer não. Cobrimos as classes de ataque em pentest de aplicações de IA agêntica e segurança de LLM.
10. O Nível de Código Aberto
Classe: Frameworks de agentes auto-hospedados
Tratar isto como uma única entrada é deliberado — estes projetos movem-se demasiado depressa para que uma classificação individual se aguente, e a decisão relevante é se vale a pena auto-hospedar.
O PentAGI é o projeto mais popular da categoria (mais de 14.700 estrelas), escrito em Go com frontend em React. Quatro subagentes (Searcher, Coder, Installer, Pentester), execução em sandbox Docker, PostgreSQL e pgvector para memória semântica, suporte de LiteLLM em mais de 12 fornecedores, licença MIT. O Strix (Apache 2.0) oferece manipulação de proxy HTTP, automação de navegador, sessões de terminal, um ambiente Python de exploração e integração com CI/CD. O CAI da Alias Robotics suporta mais de 300 backends de modelos, incluindo modelos auto-hospedados para ambientes isolados — a única opção realista quando os dados não podem sair da sua rede. O PentestGPT (mais de 12.500 estrelas, Prémio de Artefacto Distinto na USENIX Security 2024) usa três módulos que interagem entre si e mantém-se com humano no ciclo: aconselha, o utilizador executa. O Shannon reportou 96,15% (100/104) numa versão limpa do benchmark da XBOW, o maior resultado de benchmark de código aberto divulgado publicamente.
Vale também a pena saber: os finalistas do DARPA AIxCC abriram o código dos seus sistemas de raciocínio cibernético. O Atlantis da Team Atlanta ganhou 4 milhões com aprendizagem por reforço multiagente combinada com análise simbólica; o Buttercup da Trail of Bits ficou em segundo com um sistema de quatro partes que cobre 20 dos 25 CWE mais perigosos da DARPA, desenhado para correr num portátil; a Theori ficou em terceiro e abriu o seu sistema completo. No conjunto das finais, a deteção subiu de 37% nas meias-finais para 86%, a cerca de 152 dólares por tarefa.
Onde falha. O utilizador assume a orquestração, os custos de modelo, o perímetro de segurança e a triagem de falsos positivos. Não há fornecedor a quem ligar, nem modelo de relatório pronto para conformidade, nem responsabilidade profissional. O tempo de engenharia necessário para operar bem estas ferramentas contra ambientes de clientes excede normalmente o custo de licença de uma plataforma comercial.
Melhor encaixe. Investigação, red teams internas com capacidade de engenharia, ambientes isolados (CAI), e quem precise de compreender estes sistemas por dentro antes de comprar um.
Comparação Resumida
Oito Perguntas Técnicas Que Separam Plataformas Reais de Demonstrações
As listas de funcionalidades não discriminam aqui. Estas oito perguntas sim, porque um fornecedor ou tem uma resposta concreta ou não tem a capacidade.
A pergunta 4 merece ênfase. É a de maior alavancagem em toda a avaliação, e quase ninguém a faz. A distância entre "encontrou a falha" e "explorou a falha que lhe descrevemos" é a distância entre um teste de intrusão e uma ferramenta automática de verificação de correções.
Categorias Muitas Vezes Mal Classificadas Como Pentest com IA
Três categorias adjacentes aparecem rotineiramente em comparações de pentest com IA. São produtos úteis que respondem a perguntas diferentes, e comprar um esperando o outro é um erro comum e caro.
Categorias Adjacentes
Simulação de brechas e ataques — Picus, Cymulate, SafeBreach, AttackIQ. Reproduzem comportamentos de ataque conhecidos contra os seus controlos e respondem a as minhas defesas detetam e bloqueiam isto? Não respondem a consegue um atacante comprometer este sistema? Os referenciais de conformidade que exigem testes de intrusão geralmente não aceitam a saída de uma simulação no seu lugar. A distinção importa o suficiente para lhe dedicarmos um artigo inteiro: análise de vulnerabilidades face a teste de intrusão.
PTaaS colaborativo e híbrido — Cobalt, Synack, Bugcrowd, HackerOne. Investigadores humanos com IA aplicada à triagem, à desduplicação e à gestão da plataforma em vez de à exploração. Excelente para testes criativos com forte componente de lógica de negócio, onde os humanos mantêm uma vantagem decisiva, e com preço em conformidade. A HackerOne reportou 81 milhões de dólares em recompensas em 2025, mais 13% face ao ano anterior, a par de mais de 560 relatos válidos de agentes totalmente autónomos — os dois modelos estão a convergir nas mesmas plataformas.
Gestão de superfície de ataque externa — Detectify, e a plataforma subjacente da Hadrian. Descoberta e monitorização contínua daquilo que expõe. É entrada necessária para um teste de intrusão, não um substituto. Saber que um ativo existe não é saber se pode ser comprometido.
Sobre Classificarmo-nos em Primeiro Lugar
Vale a pena abordar isto diretamente, porque um leitor deve descontar o facto de um fornecedor classificar o seu próprio produto no topo da sua própria lista, e preferimos defender o argumento a esperar que ninguém repare.
O caso assenta em quatro coisas verificáveis em vez de afirmadas. O Sylas é um modelo treinado de propósito e não um modelo geral atrás de um prompt de segurança, e o corpus de treino — cerca de seis anos de telemetria de ataques ao nível das cadeias, de operações em vivo — é a parte do processo que não admite atalhos. O âmbito é imposto em código na fronteira de ferramentas contra um objeto de Regras de Compromisso assinado, o que é uma garantia estruturalmente diferente de uma instrução num prompt. A descoberta e a validação estão separadas em software, com a reprodutibilidade como critério de promoção, que é o que uma taxa de verificação de 94% tem de significar se significar alguma coisa. E cada decisão é registada num rasto reproduzível, que é o que um auditor ou uma seguradora efetivamente pede quando um achado é disputado.
O que essa classificação não alega: que o Sylas supere a XBOW a explorar alvos web externos, onde o historial da XBOW no HackerOne constitui as evidências públicas mais sólidas que qualquer plataforma desta lista produziu. Que iguale o historial operacional do NodeZero contra grandes redes de produção. Nem que tenha uma pontuação de benchmark revista por pares, que não tem. Em exploração autónoma pura de um ambiente web externo difícil, a XBOW é a referência a bater e diríamo-lo a um cliente.
A classificação reflete a combinação que decide trabalhos reais em entrega regulada: testes que pode correr continuamente e achados que consegue defender depois. Se o seu problema for puramente encontrar o máximo de falhas web num ambiente exposto à internet e tiver capacidade interna para as triar, pondere a lista de outra forma — e use as oito perguntas acima em vez da ordem de quem quer que seja, incluindo a nossa.
Como Realizar o Teste Comparativo
Ninguém publicou uma avaliação independente e direta destas plataformas, por isso realize a sua. Leva cerca de duas semanas e resolve a questão de forma definitiva para o seu ambiente.
Escolha um alvo que um humano competente tenha testado recentemente, para ter uma linha de base conhecida. Execute duas ou três plataformas pré-selecionadas contra o mesmo âmbito e registe quatro coisas de cada uma: achados que coincidem com a linha de base humana, achados que o humano deixou passar, falsos positivos e reprodutibilidade das provas de conceito. Depois observe com mais atenção o que cada plataforma não encontrou. Deixar passar falhas de lógica de negócio é esperado e perdoável. Deixar passar uma injeção padrão ou um contorno de autorização dentro do âmbito é um problema de capacidade, não uma limitação da categoria.
Corrija dois achados e reteste para ver se a plataforma identifica corretamente a correção e deteta uma correção incompleta. Envie um relatório real gerado a quem assina as suas evidências de conformidade e pergunte diretamente se o aceitaria. Depois calcule o custo total de operar a plataforma durante um ano, incluindo as horas humanas dedicadas à triagem de falsos positivos — o estudo ARTEMIS concluiu que os agentes de IA produziram mais falsos positivos do que todos os participantes humanos, e esse tempo de triagem é uma rubrica real que nenhuma proposta de fornecedor inclui.
O Balanço Honesto
A categoria atravessou um limiar real nos últimos dezoito meses. Um agente de IA ocupou o primeiro lugar do ranking norte-americano do HackerOne. Outro encontrou um dia zero no SQLite que a infraestrutura profissional de fuzzing tinha deixado passar. Um terceiro superou 9 em 10 pentesters humanos numa rede empresarial real de 8.000 hosts, a cerca de um terço do custo por hora. Nada disto era verdade há dois anos.
Também é verdade que esses mesmos sistemas pontuam aproximadamente zero em máquinas difíceis do HackTheBox, exploram cerca de 13% dos CVE reais quando têm de encontrar a falha sozinhos, e deixam passar a maioria das falhas de lógica de negócio — que são a maioria das vulnerabilidades web críticas. Todos os resultados de destaque deste artigo mantiveram revisão humana antes da submissão ou publicação.
Há também uma lacuna que os números de financiamento escondem. A mediana da indústria para remediar um achado é de 37 dias face a uma mediana de permanência do atacante de 14 dias, e 31% dos achados altos e críticos do corpus da Cobalt de 2026, com mais de 16.500 testes de intrusão, ficaram por resolver. Descobrir mais depressa não ajuda uma organização que não consegue fechar o que já conhece. As plataformas que vale a pena comprar são as que encurtam o ciclo inteiro — encontrar, provar, corrigir, retestar — e não apenas a metade da descoberta.
Escolha a plataforma cuja arquitetura corresponde à superfície de ataque que precisa realmente de cobrir. Faça as oito perguntas. Realize o teste comparativo contra uma linha de base conhecida. E desconte fortemente qualquer fornecedor cujos números de benchmark cheguem sem as condições que os produziram — incluindo nós.
Para um enquadramento mais amplo de avaliação desta categoria para além das plataformas concretas, consulte o nosso guia de avaliação de pentest com IA, e para a razão de fundo pela qual os testes com IA cobrem terreno inacessível aos humanos, veja a vantagem do paralelismo.
Perguntas Frequentes
Qual é a melhor plataforma de pentest com IA em 2026?
Depende do que precisa que a plataforma demonstre. A ThreatExploit ocupa o primeiro lugar desta lista pela combinação que mais importa em entrega regulada: um modelo treinado de propósito com 400 mil milhões de parâmetros em vez de um modelo geral atrás de um prompt de segurança, âmbito imposto em código na fronteira de ferramentas em vez de instruindo o modelo, uma porta explícita de aprovação humana antes de qualquer exploração ativa, e um rasto de execução totalmente reproduzível por trás de cada achado. A XBOW lidera na exploração autónoma pura de web e APIs com as evidências públicas mais sólidas em bug bounty. O NodeZero da Horizon3.ai lidera em caminhos de ataque sobre redes internas, Active Directory e identidade. A Pentera lidera em validação determinística e auditável de forma calendarizada. A Mindgard lidera em testar os próprios sistemas de IA. Escolha a classe de plataforma conforme a superfície de ataque que precisa de cobrir e verifique com um teste comparativo contra uma linha de base conhecida.
Qual é a precisão das ferramentas de pentest com IA?
Depende inteiramente do contexto, e os números publicados estão muito distantes entre si. No CVE-Bench, um benchmark revisto por pares com 40 CVE web críticos reais, os melhores frameworks de agentes exploram cerca de 13% dos alvos sem descrição da vulnerabilidade e aproximadamente 25% quando a descrição é fornecida. Investigações anteriores relataram 87% de sucesso em CVE de um dia quando o texto do aviso era fornecido, e cerca de 7% sem ele. No estudo ARTEMIS de dezembro de 2025 sobre uma rede real, um agente de IA encontrou 9 vulnerabilidades válidas com uma taxa de validade de 82% e superou 9 de 10 testadores humanos, embora tenha produzido mais falsos positivos do que todos os participantes humanos. Trate qualquer número isolado de precisão como sem significado até saber se a vulnerabilidade foi descrita antecipadamente.
A IA pode substituir os pentesters humanos em 2026?
Não, e a diferença medida é específica em vez de geral. Os agentes de IA são hoje competitivos ou melhores em amplitude, velocidade, classes de vulnerabilidade conhecidas e descoberta de falhas de segurança de memória. Continuam fracos em falhas de lógica de negócio, que representam cerca de 70% das vulnerabilidades web críticas, em cadeias de exploração com mais de cinco passos, em fluxos que dependem de interface gráfica e ao julgar o impacto de negócio. Todos os resultados de destaque da XBOW, do Google Big Sleep e do estudo ARTEMIS mantiveram revisão humana antes da publicação ou submissão.
Qual é a diferença entre pentest autónomo e simulação de brechas e ataques?
As plataformas de simulação de brechas e ataques como Picus, Cymulate e SafeBreach reproduzem comportamentos de ataque conhecidos contra os seus controlos para responder se as suas defesas os detetam e bloqueiam. As plataformas de pentest autónomo tentam exploração real para responder se um atacante consegue comprometer o alvo. Respondem a perguntas diferentes e produzem evidências diferentes. Os referenciais de conformidade que exigem testes de intrusão geralmente não aceitam a saída de uma simulação como substituto da exploração demonstrada.
É preciso um modelo construído de propósito, ou basta um modelo geral com um bom prompt?
Um modelo geral com um prompt de segurança falha por três razões estruturais, não por conhecimento. Primeiro, um teste de intrusão corre durante horas ou dias contra um ambiente que muda por baixo, pelo que o estado do trabalho tem de viver num objeto estruturado e consultável, não num histórico de conversa que se degrada e transborda. Segundo, o âmbito tem de ser imposto em código na fronteira de ferramentas, porque uma instrução ao nível do prompt é algo de que se pode dissuadir um modelo. Terceiro, cada achado tem de sobreviver ao escrutínio de um auditor ou de uma seguradora, o que exige um rasto reproduzível das chamadas exatas que o produziram. O modelo Sylas da ThreatExploit é treinado sobre cerca de seis anos de telemetria de ataques ao nível das cadeias em vez de artigos, pelo que viu como os ataques realmente decorrem de ponta a ponta em vez de ler descrições deles.