Snyk lança Evo Agentic AppSec e redefine a AppSec tradicional com uma equipe de agentes de segurança

O desenvolvimento agentivo está superando todos os modelos de segurança criados para contê-lo. O que antes era um conjunto de ferramentas operadas por uma pessoa agora é uma equipe de agentes de IA que identifica o que pode ser explorado e corrige o problema na velocidade das máquinas.

BOSTON, 15 de outubro de 2026 — A Snyk, empresa de segurança de IA, anunciou hoje o Evo Agentic AppSec, uma equipe de agentes de segurança de IA que identifica, corrige e bloqueia vulnerabilidades na velocidade com que os agentes escrevem código, com cada resultado verificado de forma independente do agente que o produziu. O desenvolvimento agentivo superou o modelo de AppSec criado para código escrito por pessoas. O Evo Agentic AppSec foi desenvolvido para proteger desde o início o código escrito por agentes e oferecer cobertura contínua do código existente, escrito por pessoas. Ele funciona com os mecanismos determinísticos nos quais mais de 4.800 clientes já confiam.

Assim, pela primeira vez, zerar o backlog está ao alcance das empresas.

“A Snyk começou com uma tese simples: quanto mais perto do momento da criação, mais barato é corrigir cada defeito. Agora, os agentes escrevem o código, então a segurança precisa entrar no fluxo, no ciclo em que o código é criado. E o teste não é saber se uma correção foi gerada. O teste é saber se ela chega à produção. Um modelo que corrige a própria prova não é um programa de segurança. É um conflito de interesses com um painel”, afirmou Manoj Nair, CTO e diretor de inovação da Snyk.

Apontar LLMs de uso geral para o problema não vai eliminar essa lacuna. O relatório mais recente do VulnBench da Snyk mostra que, em 49,7% dos casos, as análises de segurança feitas por LLMs apontam um problema que desaparece na execução seguinte. Isso significa que eles não podem ser os mecanismos determinísticos que servem de base para a descoberta de problemas. Hoje, com ataques impulsionados por IA, corrigir problemas é o gargalo. Em uma pesquisa separada, o VulnBump, a Snyk demonstra que os LLMs, sozinhos, produzem uma correção que pode ser mesclada em apenas 59,6% dos casos, uma taxa que nenhuma equipe de engenharia aceitaria nem mesmo de seu desenvolvedor mais júnior. No mesmo benchmark, usando o mesmo padrão de correção mesclável, o Evo Remediation Agent, desenvolvido para lidar com backlogs de segurança de forma autônoma, elevou essa taxa para 90%.

Por que agora

O número de novos problemas de segurança críticos e de alta gravidade detectados entre os clientes da Snyk cresceu 10 vezes no último ano. A análise dos dados de produtos da Snyk mostrou que, para cada problema corrigido, cerca de 8 novas vulnerabilidades são introduzidas. Essa lacuna continua aumentando à medida que o desenvolvimento agentivo se dissemina.

Os atacantes avançaram no mesmo ritmo. Em 2026, pesquisadores da Snyk já responderam a 18 ataques de grande repercussão com foco em malware e projetam um aumento anual superior a 500% na publicação de pacotes maliciosos em registros de código aberto. Em cinco semanas, um agente de ameaça invadiu mais de 600 firewalls FortiGate em 55 países usando modelos de IA disponíveis comercialmente. A análise da Snyk de quase 10.000 ambientes de desenvolvimento constatou que um em cada 12 desenvolvedores que executavam servidores MCP tinha um problema de segurança grave ou crítico. Já a auditoria de quase 4.000 habilidades de agentes identificou pelo menos uma falha de segurança em 36% delas.

“A análise de pull requests foi criada para a velocidade e o volume de trabalho das pessoas”, disse Nair. “Ela continua sendo importante. Mas nunca seria suficiente por si só quando o código passasse a ser gerado continuamente e os ataques fossem automatizados contra ele.”

“O backlog que você vem gerenciando há anos não é mais um projeto de limpeza. É uma superfície de ataque”, afirmou Ken MacAskill, CEO da Snyk. “Zerar o backlog já foi uma fantasia, mas, na era do desenvolvimento agentivo e dos ataques, isso precisa ser o padrão.”

O que a Snyk está lançando

Evo Agentic AppSec executa o ciclo de segurança de aplicações na velocidade das máquinas, com pessoas supervisionando o processo: entende a aplicação, modela as ameaças, encontra as vulnerabilidades que importam, decide o que vale a pena corrigir e entrega correções validadas e prontas para mesclagem, tanto no código novo quanto no backlog que já está em produção. Os agentes não substituem os mecanismos determinísticos da Snyk. Eles os operam, usando Snyk Code, Snyk Open Source e outros mecanismos da Snyk como ferramentas. O Evo Agentic AppSec é lançado como uma equipe de agentes especializados:

Evo Code Scanning Agent combina raciocínio de IA de ponta com a análise estática existente da Snyk para identificar o que a correspondência de padrões não consegue detectar de forma estrutural: falhas de controle de acesso e de lógica de autenticação, concentradas justamente nos pontos mais vulneráveis do código gerado por IA.

Evo Dependency Firewall bloqueia pacotes maliciosos e que violam políticas no momento da instalação, antes que cheguem à máquina do desenvolvedor, muito menos à base de código. Isso inclui o slopsquatting, em que atacantes registram nomes de pacotes alucinados por agentes de IA e esperam que o próximo agente instale a carga maliciosa.

Evo Agentic Security Review delega a um agente uma análise de segurança completa de um repositório, cria um modelo da aplicação e das ameaças com base no código e no contexto, avalia se os controles estão presentes e são suficientes diante de cenários de ameaça plausíveis e produz descobertas fundamentadas em evidências, com orientações concretas para correção, independentemente da cobertura do scanner.

Evo Remediation Agent executa de forma autônoma e em escala todo o ciclo de correção, tanto no código recém-escrito quanto no backlog, começando pelos problemas do Snyk Open Source no lançamento. Se uma correção puder comprometer a compilação, ela será enviada para aprovação, não mesclada. Por isso, o Remediation Agent foi desenvolvido para entregar correções prontas para mesclagem.

Evo Secrets Detection detecta credenciais expostas tanto no desenvolvimento tradicional quanto no desenvolvimento agentivo, do IDE ao CI.

Cada um desses agentes usa o contexto de uma camada de inteligência com mais de uma década de dados sobre resultados de correções e executa análises de alcançabilidade, explorabilidade e possibilidade de quebra, disponibilizadas como um recurso que qualquer agente pode acionar.

A Snyk trata a prevenção e a correção de forma diferente. A prevenção dentro do agente de programação não exige aprovação humana: um agente já autorizado a escrever código não deveria precisar pedir permissão para corrigir uma vulnerabilidade que acabou de introduzir. Já a correção afeta código que pode estar em execução e pelo qual outra pessoa é responsável. Por isso, precisa conquistar a confiança dessa pessoa antes de ser implementada.

Um ciclo completo, de ponta a ponta

Evo Agentic AppSec completa a Snyk AI Security Platform com um ciclo integrado. A plataforma cobre detecção, correção e cadeia de suprimentos. O Snyk Studio, adotado por mais de 1.600 clientes, oferece orientação de IA em tempo real e correção inteligente e conversacional na linha de comando. O Evo Agentic Development Security (ADS), lançado anteriormente, previne vulnerabilidades dentro do agente de programação antes que o código seja gerado. O Evo Continuous Offensive Security, disponível para todos desde agosto, atua como avaliador independente e ataca a aplicação em execução como um adversário faria, para comprovar que as correções funcionam.

Nenhum dos agentes avalia o próprio trabalho. “Os agentes fazem o trabalho. Algo independente comprova que ele funciona. As pessoas definem o padrão”, disse Nair. “Quem gera não pode ser quem valida.”

Os papéis mudam, não o tamanho da equipe

O Evo Agentic AppSec foi desenvolvido para operar sem um aumento proporcional na equipe de AppSec à medida que o desenvolvimento com IA escala. Os desenvolvedores deixam de ser autores e passam a aprovar as correções propostas pelos agentes. Os líderes de AppSec deixam de fazer a triagem de chamados e passam a trabalhar no ciclo como AI Security Engineers: definem os padrões que orientam os agentes, governam seu uso e auditam suas decisões. Equipes sem uma função dedicada de AppSec passam a contar com um programa funcional pela primeira vez.

Disponibilidade

Evo Code Scanning Agent, Evo Dependency Firewall e Evo Agentic Security Review já estão disponíveis em prévia experimental para alguns clientes da Snyk. Evo Remediation Agent já está disponível em prévia aberta. Secrets Detection, Evo ADS e Evo Continuous Offensive Security estão disponíveis para todos. Para obter acesso, as organizações podem entrar em contato com seu representante de conta da Snyk ou visitar snyk.io para saber mais.

Sobre a Snyk

A Snyk, empresa de segurança de IA, capacita empresas que usam IA a desenvolver e proteger seu futuro, garantindo que possam confiar na IA para inovar sem limites. A Snyk AI Security Platform protege o software na velocidade do desenvolvimento e integra a proteção diretamente ao fluxo de criação para proteger código de IA generativa, aplicações nativas de IA e sistemas agentivos. Ao oferecer visibilidade, controle, correção e defesa autônoma com segurança desde o início, a Snyk permite que mais de 4.800 clientes no mundo todo desenvolvam com confiança na era da IA.