Conecte análise de repositórios, revisão contextual de código com IA, correções automáticas e pentests autorizados às ferramentas já usadas pela equipe de desenvolvimento.
Já usou esta ferramenta? Avalie-a
Já usou esta ferramenta? Avalie-a
Aikido é uma plataforma de segurança de aplicações que reúne proteção de código, nuvem e execução em um sistema central.
A revisão de código com IA, a análise de fontes e o pentest com IA cobrem etapas diferentes do desenvolvimento, com condições próprias de acesso e cobrança.
AutoFix propõe alterações revisáveis para dependências, código de aplicativos, infraestrutura como código, contêineres e descobertas de pentests, por meio de diffs em linha na IDE, sugestões CI/PR e solicitações de integração geradas manualmente ou diariamente.
Nas dependências, AutoFix prefere a menor versão corrigida, normalmente uma atualização de correção ou secundária; uma atualização principal significa que nenhuma versão inferior resolve o problema.
Cloud Discovery busca recursos, riscos e configurações incorretas entre contas; Cloud Inventory mapeia ativos e regras CSPM personalizadas sinalizam configurações de risco.
Zen Firewall é incorporado diretamente ao código e roda no mesmo servidor do aplicativo. Seus controles listados abrangem entradas perigosas, ataques de injeção e travessia de diretórios, limites de requisições por rota e usuário, tráfego malicioso como bots ou invasores conhecidos, acesso por país e monitoramento do tráfego de saída.
Aikido exemplifica Deep Review com uma PR que expõe os pedidos de um usuário a outro: o aplicativo ainda funciona e SAST pode não encontrar nenhum padrão perigoso conhecido.
AI Code Analysis examina fontes existentes quando uma equipe não tem certeza de que um aplicativo estabelecido isola seus clientes uns dos outros.
Attack Surface Monitoring descobre ativos acessíveis, como uma página antiga de login ou uma API administrativa exposta por mudança no proxy. Quick Scan faz verificações contínuas da exposição de domínios já conhecidos.
Aikido conecta-se por GitHub, GitLab, Bitbucket, Azure DevOps e instalações locais de controle de código-fonte. As opções de IDE incluem Visual Studio, VS Code, JetBrains IDEs, Cursor, Windsurf, Kiro, Google Antigravity e Eclipse.
A documentação do scanner local inclui configuração CI/CD para Azure DevOps Server, Bitbucket Pipelines, Bamboo, CircleCI, GitHub Actions, GitLab Self-Managed, Jenkins e TeamCity, além de guias para Linux, Mac e Windows.
Há configurações MCP publicadas para Claude Code, Cursor, Codex CLI, Gemini CLI, JetBrains AI, GitHub Copilot, Mistral Vibe, OpenCode e Devin. A documentação API Authorization and Rate Limiting também está disponível.
SAST distingue rastreamento de contaminação entre arquivos e dentro de um arquivo. Para análise entre arquivos são listados JavaScript, TypeScript, PHP, .NET/C#, Java, Rust, Go, Ruby, Python, Scala, C/C++ e Visual Basic. Para análise dentro de um arquivo são listados Swift, Android, Kotlin, Dart, Elixir, Apex e Clojure.
Zen oferece suporte aos ambientes Node.js, Python, PHP, Java, .NET Core and Framework, Ruby e Golang; Golang está marcado como beta.
Os preços em USD registrados em 28 de outubro de 2026 consideram 10 usuários por plano pago; os valores anuais são totais do ano. Excluem retenções na fonte, impostos de importação, sobre vendas, IVA e demais impostos locais.
| Plano | Cobrança mensal | Cobrança anual | Usuários incluídos |
|---|---|---|---|
| Developer | $0 | $0 | 2 |
| Basic | $350/mês | $3780/ano | 10 |
| Pro | $700/mês | $7560/ano | 10 |
| Advanced | $1050/mês | $11340/ano | 10 |
Developer não exige cartão e informa novas análises a cada três dias. As cotas dos cartões dos planos estão sujeitas ao uso justo. Um traço indica que o cartão não lista cota de grupos de escalonamento de VM.
| Plano | Repositórios / imagens | Domínios / contas de nuvem | Grupos de escalonamento de VM | AI AutoFix por mês | Requisições protegidas por mês |
|---|---|---|---|---|---|
| Developer | 10 / 2 | 1 / 1 | — | 10 | 250k |
| Basic | 100 / 50 | 3 / 3 | — | Ilimitado | 10M |
| Pro | 200 / 100 | 10 / 10 | 30 | Ilimitado | 20M |
| Advanced | 500 / 200 | 20 / 20 | 100 | Ilimitado | 50M |
Aikido Max é oferecido como adicional sob consulta, com créditos mensais ilimitados para todos os recursos de IA, incluindo Deep Review, sujeito ao uso justo.
Um crédito Aikido equivale a $1 USD. Espaços Pro e Advanced ativos e elegíveis podem receber, respectivamente, 100 e 200 créditos gratuitos por mês civil; Developer e Basic não incluem essas recargas. Créditos comprados e gratuitos compartilham saldo sem expiração. Sem uso da carteira, pode não haver recarga gratuita naquele mês; o saldo existente permanece.
A compra mínima é de 500 créditos por transação. O pagamento pode ser por cartão ou fatura, mas a opção de fatura está disponível apenas para clientes pagantes; os créditos são adicionados após o pagamento bem-sucedido.
Administradores do espaço podem definir limites de gastos por recurso, com períodos de redefinição conforme o recurso. Ao atingir o limite, Aikido ignora ações que cobrariam créditos até a redefinição.
Deep Review custa um crédito por solicitação de integração, sem cobrança extra por revisões adicionais da mesma PR. Revisões são ignoradas ao acabar os créditos. O limite mensal ignora revisões cobráveis até o próximo mês civil.
Um Standard Pentest custa 4000 créditos para avaliar, em tempo limitado, um aplicativo e suas APIs principais. Rightsized Pentests usa repositórios conectados para mapear vetores de ataque e determinar o escopo relevante à segurança, com o total confirmado antes do início. Rightsized mostra $50–$30000+, com escopo definido por repositórios, endpoints e papéis.
Continuous Pentesting cobra 10 créditos por agente iniciado. A estimativa anualizada usa os últimos 30 dias de atividade Git. Aikido verifica implantações configuradas ou execuções agendadas, mas só inicia agentes para mudanças relevantes à segurança. Assim, a cobrança real depende dos agentes iniciados, não apenas da estimativa. Descobertas do pentest inicial podem ser retestadas por até seis meses, incluindo a verificação de formas de contornar as correções.
A primeira avaliação completa pode começar com créditos pendentes sem compra antecipada. As descobertas High e Critical ficam desfocadas até o pagamento; avaliações maiores revelam pelo menos uma delas como prévia. O relatório e os retestes ficam disponíveis após pagar ou dispensar o saldo pendente. Qualquer saldo em aberto deve ser pago antes de usar a oferta novamente.
A elegibilidade exige nenhum crédito não pago, um pentest de no máximo 8000 créditos, ao menos um repositório ativo que não seja demonstrativo, ao menos duas contas de teste válidas e email profissional do usuário ou de um administrador do espaço. Emails pessoais não se qualificam.
A dispensa exige todas estas condições: primeira avaliação completa do espaço, uso de Run now, pay later, Rightsized Pentest com cobertura recomendada ou maior, configuração correta que permita testes minuciosos e conclusão sem descobertas High ou Critical. A condição de não pagar exclui cobertura abaixo da recomendada, segundas execuções e retestes, Continuous Pentesting, testes restritos a funções ou endpoints e configuração incompleta, como usuários ausentes ou contexto insuficiente do aplicativo. Também pode ser negada para uma descoberta Medium ou Low se Exploit Further estava disponível, mas não foi usado, e a descoberta poderia razoavelmente atingir gravidade High ou Critical. A condição trata de gravidade, indo além de elevação de privilégios.
O MSA público prevê renovação automática por período igual ao atual e aviso escrito com pelo menos 30 dias corridos de antecedência para encerrar ao fim do período. Se a rescisão não for por violação material não sanada de Aikido, o cliente continua responsável pelas taxas do restante do período. A rescisão por tal violação dá reembolso proporcional dos valores pré-pagos não usados.
O cartão gratuito diz “grátis para sempre”, mas o MSA não concede prazo mínimo ou garantido à versão gratuita e permite que Aikido a encerre a qualquer momento e por qualquer motivo.
Snyk lista produtos para código, dependências de código aberto, contêineres, infraestrutura como código, DAST de API/web e segredos: uma comparação pelo escopo de scanners para desenvolvedores.
SonarQube cobre verificação de código, qualidade e segurança; SonarQube for IDE oferece análise em tempo real e orientação de programação. SonarQube Cloud é SaaS totalmente gerenciado; SonarQube Server é autogerenciado dentro do perímetro do cliente.
Os alvos devem ser designados explicitamente e pertencer ao cliente ou ter autorização legal para teste. Alvos de terceiros exigem permissão explícita dessa parte. Testes de aplicativos usam por padrão ambientes de não produção, homologação ou teste, sem dados reais de usuários nem risco à operação real, salvo acordo expresso por escrito das duas partes. Network Pentests pode incluir alvos de produção expressamente selecionados no escopo, com reconhecimento do risco maior ao serviço.
Credential-Based Testing é opcional e exige seleção explícita na configuração do escopo ou autorização escrita. Pode abranger credenciais padrão ou fracas e credenciais já vazadas aparentemente relacionadas ao cliente, domínios ou usuários. A autorização pode ser limitada por alvo, portal ou categoria de credenciais e retirada; promete-se a interrupção em prazo comercialmente razoável. O cliente precisa dos direitos pertinentes e da base de tratamento de dados pessoais. O aditivo também reconhece possíveis bloqueios de contas, alertas, redefinições de senhas e efeitos semelhantes.
AutoFix GitHub App solicita leitura/escrita de Code, PRs e Workflows, além de leitura de Checks e Actions. Esse caminho de correção com escrita difere do escopo mínimo somente de leitura da integração padrão de análise.
Aikido diz que a análise de repositórios usa um contêiner novo e apaga os dados de análise quando ele é encerrado. Documenta exceções: AutoFix retém diffs originais e corrigidos dos arquivos afetados, e descobertas AutoTriaged SAST retêm árvores de chamadas por até duas semanas.
A documentação de dados de repositórios identifica instâncias de aplicativo EU, US, US Gov, ME e AU e descreve armazenamento nas regiões correspondentes.
Aikido descreve operações de IA como apenas inferência, com processamento temporário em memória sem retenção ou reutilização, e diz que pequenos fragmentos anonimizados de código podem ajudar na triagem e correção precisas. Para AutoFix de SAST, IaC e contêineres, afirma enviar apenas trechos mínimos necessários por canais criptografados ao AWS Bedrock, sem que Aikido ou AWS Bedrock treinem ou façam ajuste fino com esse código. Essas declarações do fornecedor dizem respeito aos escopos de processamento especificados.
A política de privacidade situa os dados pessoais na Europa e nos Estados Unidos e retém dados do serviço durante a relação com o cliente e depois para operações, histórico e arquivo. Dados pessoais sob controle de Aikido podem ser excluídos após solicitação verificada.
Atividades e descobertas de pentests são registradas. Dados de teste podem apoiar a entrega de resultados e a melhoria do serviço; credenciais dos testes de credenciais e outros dados pessoais ficam limitados à entrega de resultados sob o DPA. Dados brutos de teste são retidos por período limitado para responder a perguntas posteriores ou defender-se de reclamações e depois excluídos; a cláusula citada não fixa duração. Aikido pode reter uma cópia de arquivo do relatório final.
O MSA preserva a propriedade do cliente sobre conteúdo, repositórios, bases de código, contêineres e infraestrutura de nuvem, permitindo o processamento necessário para cumprir obrigações, exercer direitos contratuais ou atender a exigências legais ou autorização. Após rescisão, permite 30 dias para recuperar conteúdo no formato nativo e análises de uso e exige eliminar o conteúdo em até 200 dias. A retenção nesse período se limita à disponibilidade de backups.
Não. Segundo Aikido, fornecer acesso aos repositórios melhora significativamente o contexto da lógica do aplicativo, papéis e fluxos de dados, levando a cobertura mais profunda e descobertas mais precisas.
É preciso concluir uma avaliação inicial e conectar os repositórios usados para identificar mudanças relevantes à segurança. Após a configuração, Aikido pode executar pentests direcionados conforme o aplicativo muda.
A configuração de tokens de API usa OAuth Client Credentials para comunicação entre servidores. Um administrador do espaço primeiro cria as credenciais de cliente usadas para obter um token de acesso.
As permissões MCP são geridas pelos administradores do espaço e valem para todos os usuários em todas as ferramentas MCP. A lista de problemas se limita aos que o usuário já pode acessar, e ignorar descobertas continua sujeito às suas permissões de papel existentes.
