Vercel lança deepsec, scanner com IA para encontrar vulnerabilidades ocultas no código

A Vercel lançou o deepsec, ferramenta open source e AI harness para encontrar vulnerabilidades em grandes bases de código. É o primeiro scanner de segurança que roda na sua infraestrutura, com as suas chaves de API, sem enviar o código-fonte para a nuvem. A ideia é simples: em vez de mandar código sensível para servidores de terceiros, agentes Claude e GPT o analisam localmente.

Por que o deepsec é necessário

Os scanners de segurança atuais (como as ferramentas SAST) costumam gerar tantos falsos positivos que seus resultados se tornam inutilizáveis. A outra opção é contratar uma empresa de auditoria de segurança, mas isso é caro e demorado. O deepsec tenta preencher essa lacuna: agentes de IA que trabalham como um engenheiro de segurança experiente, mas de forma barata, rápida e local.

Arquitetura e recursos

O deepsec usa o Claude Opus 4.7 em modo de esforço máximo e o GPT-5.5 com raciocínio de alto nível. A ferramenta pode rodar localmente no seu notebook, sem precisar configurar serviços em nuvem. Para escalar para grandes monorepos, o deepsec oferece execução paralela via Vercel Sandboxes: durante o desenvolvimento, a Vercel executou varreduras em mais de 1000 instâncias simultâneas. Varrer um repositório grande em uma única máquina pode levar vários dias, por isso o paralelismo é crítico.

Como funciona a varredura

O processo tem cinco etapas:

• Scan — expressões regulares localizam arquivos e funções sensíveis do ponto de vista de segurança
• Investigate — agentes de programação analisam cada candidato em profundidade, rastreiam fluxos de dados e verificam as medidas de mitigação
• Revalidate — uma segunda passada dos agentes elimina falsos positivos e reclassifica a severidade de cada achado
• Enrich — um agente usa metadados do git para identificar os desenvolvedores que devem corrigir o problema
• Export — os resultados são convertidos em instruções acionáveis para criar tickets em um sistema de acompanhamento

Resultados em projetos reais

A Vercel testou o deepsec nos próprios monorepos e em projetos abertos de clientes. Os resultados impressionaram até engenheiros de segurança e fundadores experientes. No código aberto do dub.co (plataforma de encurtamento de links com sistemas complexos de atribuição para programas de afiliados), o deepsec encontrou erros ocultos na lógica de autenticação: edge cases sutis nas condições de autenticação. Os erros eram realmente enigmáticos: as ferramentas SAST padrão não os detectavam, mas eles podiam levar a acesso não autorizado. Os resultados levaram a Vercel a desenvolver um plugin de scanner personalizado para verificar todos os caminhos de autenticação em seus próprios monorepos.

"Recebemos muitos relatórios de segurança automáticos, mas a maioria é inutilizável.

O deepsec é a primeira ferramenta que encontrou justamente os problemas que um engenheiro de segurança apontaria, e ainda roda na nossa infraestrutura." — Steven Tey, fundador do dub.co

O que isso significa

A automação da varredura de segurança está saindo do território dos serviços em nuvem e entrando no das ferramentas que priorizam a privacidade. Para desenvolvedores e equipes de segurança, isso significa que é possível buscar vulnerabilidades sem enviar o código para a nuvem, com total privacidade, usando as chaves de API do Claude e da OpenAI que já se tem. Ferramentas como o deepsec começam a ocupar o nicho entre as caras auditorias de segurança profissionais (que levam semanas e custam centenas de milhares) e os scanners automáticos ineficientes (que geram 95% de falsos positivos). Isso pode, potencialmente, virar padrão no pipeline de segurança de grandes empresas.