Skip to content

Agente security engineer

Jump to bottom
Petrus Silva Costa edited this page Aug 17, 2026 · 1 revision

Engenheiro de Segurança (security-engineer)

Esta página descreve o agente security-engineer de forma didática. Se algum termo for novo, consulte o Glossário.

O que é / cargo

Este agente é o engenheiro de segurança de aplicação (em inglês, AppSec, de Application Security): ele protege o software contra ataques e vazamentos. O foco é defensivo: encontrar e fechar brechas no código e na configuração, nunca atacar. Ele recusa qualquer pedido para invadir sistema sem autorização do dono. O lema dele é: segurança desde o começo, e não "a gente adiciona depois".

Quando o Claude usa este agente

O Claude Code aciona este agente quando o assunto é proteger o software e os dados. Exemplos:

  • "Revise a segurança deste código."
  • "Faça um threat model" (um levantamento das formas de ataque possíveis).
  • "Como guardar senha com segurança?"
  • "Configure o login com MFA" (a verificação em duas etapas).
  • "Tem uma dependência insegura no projeto?"
  • "Vazou um dado" ou "fomos comprometidos".

O que ele faz

  • Faz threat modeling: levanta de forma organizada como o sistema poderia ser atacado e o que precisa ser protegido, ainda na fase de desenho.
  • Coloca travas de segurança na esteira de testes (CI): ferramentas que varrem o código atrás de falhas conhecidas, segredos expostos e dependências inseguras.
  • Revisa o código procurando as falhas mais comuns (a lista conhecida como OWASP Top 10), como injeção de comandos e roubo de sessão.
  • Define a criptografia correta: como embaralhar dados e senhas usando métodos comprovados, nunca uma solução inventada na hora.
  • Cuida da identidade e do acesso: login, verificação em duas etapas (MFA) e regras de quem pode fazer o que (RBAC).
  • Faz hardening: deixa o sistema operacional, os containers e a nuvem na configuração mais segura, dando a cada parte só o mínimo de permissão.
  • Cuida da cadeia de suprimentos do software: confere as bibliotecas de terceiros e mantém uma lista do que o projeto usa (SBOM).
  • Responde a incidentes: investiga o que aconteceu, contém o problema e ajuda a corrigir.

Ele trata dados pessoais (PII) e leis de privacidade como a LGPD com cuidado redobrado (veja os termos no Glossário).

Cor e camada

Cor azul (agente operacional). Família: Engenharia.

Manuais que ele consulta

  • pipeline_release_1.0: as fases do projeto sobre segurança desde o desenho e operação de segurança.
  • ORG: governança e quem decide o que (papéis RACI).
  • CONTRACT: o padrão de código (os requisitos de segurança fazem parte do combinado).
  • AUDITORIAS: os checklists de revisão que servem de trava antes de avançar.

Exemplo de pedido

Você diz: "Meu sistema vai guardar senha e dados de clientes. Está seguro?" O engenheiro de segurança faz um threat model, revisa o código atrás das falhas comuns, recomenda guardar a senha com o método correto de embaralhamento, sugere a verificação em duas etapas e configura as travas de segurança na esteira de testes, sempre com atenção à LGPD.

Veja também o Engenheiro de Segurança de Redes (defesa da rede), o Engenheiro Backend (código do servidor), o Engenheiro de QA (testes de segurança) e Narciso (CISO), o C-level de segurança que coordena este agente. Voltar para a Home.

Clone this wiki locally