Saiam do meu gramado e corrijam suas vulnerabilidades!

Hoje, estou absolutamente empolgado para anunciar nossa mais nova inovação na área de segurança: a CLI Greybeard. Depois de anos dando conselhos de segurança educados e profissionais, percebemos que o que os desenvolvedores realmente precisam é de um especialista virtual em segurança rabugento, que fala na lata.

O problema das ferramentas de segurança atuais

Vamos falar a verdade: os resultados das análises de segurança tradicionais são tão empolgantes quanto ver tinta secar. Você recebe uma lista insossa de CVEs, classificações de gravidade e etapas para corrigir os problemas. Que tédio.

Depois de passar incontáveis horas analisando achados de segurança com desenvolvedores, percebi um padrão: quanto mais personalidade tem a forma de apresentar a mensagem, maior a chance de ela ficar na memória.

Pense bem. Do que você se lembraria mais?

1. "Vulnerabilidade detectada: CVE-2023-1234 (Alta)"

2. "MAS QUE DIABOS?! Você tem um vazamento de memória do tamanho do Texas! Já vi desenvolvedores iniciantes escreverem código melhor de olhos fechados!"

Conheça Greybeard: a ferramenta de segurança mal-humorada

Greybeard é uma revolucionária ferramenta de CLI que combina os poderosos recursos de análise de segurança da Snyk com a personalidade daquele engenheiro de segurança experiente e rabugento, que já viu de tudo e não está nem um pouco impressionado com seu código.

Veja o que torna Greybeard especial:

• Feedback sem rodeios: Greybeard não ameniza as vulnerabilidades — mostra a verdade nua e crua sobre seus problemas de segurança.

• Sabedoria contextual: Com décadas de experiência simulada em segurança, Greybeard não se limita a identificar problemas — também comenta, com bom humor, por que qualquer profissional de segurança que se preze choraria diante da sua vulnerabilidade.

• Insultos motivadores: Nada motiva mais a corrigir problemas de segurança do que levar uma bronca virtual de um especialista decepcionado.

Como Greybeard funciona: IA básica

Afinal, como Greybeard funciona? Como tudo nos dias de hoje, Greybeard é alimentado por IA. Para usar a ferramenta, você precisa definir uma chave de API da OpenAI em uma variável de ambiente chamada OPENAI_API_KEY.

Greybeard funciona exatamente como a Snyk CLI e, quando executada, repassa todos os argumentos da CLI à ferramenta Snyk CLI subjacente. Ela captura a saída original da Snyk e a “aprimora” com a personalidade rabugenta de Greybeard.

A ferramenta foi desenvolvida em Go, é totalmente open source, funciona em Mac, *nix e Windows e é fácil de instalar. Você pode acessar o repositório no GitHub aqui.

Exemplos do mundo real

Nos testes internos de Greybeard, descobrimos que os desenvolvedores tinham 412.025% mais chance de lembrar das vulnerabilidades e corrigi-las quando eram apresentadas desta forma:

====================
LISTEN HERE, YOUNGSTER!
====================

I just found a critical prototype pollution vulnerability in your lodash dependency.
Back in MY day, we vetted our dependencies manually before adding them to our projects!

What are they teaching in coding bootcamps these days?! 
I've seen more secure code written on napkins at the 1999 DefCon!

FIX THIS: npm update lodash to version 4.17.21 or later.

And while you're at it, consider a career in basket weaving instead.
*grumbles incoherently about modern development practices*

A ciência por trás de uma mensagem de segurança memorável

Não se trata apenas de diversão (embora eu estaria mentindo se dissesse que não gostei de criar a personalidade de Greybeard). Essa abordagem tem fundamentos reais na psicologia:

• Informações transmitidas com emoção são processadas de outra forma e ficam na memória por mais tempo.

• O humor cria associações positivas com tarefas de segurança que, de outro modo, seriam entediantes.

• Um feedback marcante, com uma personalidade própria, se destaca em meio ao ruído dos alertas do dia a dia.

Como começar a usar Greybeard

Começar a usar Greybeard é mais fácil do que me convencer a usar um framework de JavaScript:

/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/snyk-labs/snyk-cli-greybeard/refs/heads/main/install.sh)"

Depois, basta executar:

greybeard

E se prepare para receber conselhos de segurança brutalmente honestos.

O futuro da segurança tem... personalidade?

Embora Greybeard tenha começado como um projeto divertido para o Dia da Mentira, a ideia por trás dele é séria: tornar o feedback de segurança mais envolvente, memorável e eficaz.

Estamos mesmo curiosos para ver como os desenvolvedores vão reagir a essa abordagem. Será que dar personalidade às ferramentas de segurança pode aproximar os achados de segurança das ações dos desenvolvedores? Será que isso pode tornar a segurança mais acessível e menos intimidante?

Ou será que Greybeard vai ser lembrado apenas como aquele momento em que a Snyk deixou seu Head of Developer Relations passar dos limites com uma piada de Dia da Mentira?

Só o tempo dirá. Enquanto isso, saiam do meu gramado e vão corrigir suas vulnerabilidades!

Snyk CLI Greybeard é um projeto experimental da Snyk Labs, onde exploramos novas maneiras de tornar a segurança mais acessível e eficaz.