A Replit adiciona pen tests black-box que atacam apps como um hacker externo

Registro de arquivo: cobre um fato de 17 de agosto de 2026, e o publicamos em 8 de novembro de 2026. As informações vêm de fontes daquela data e podem ter mudado desde então.

A Replit adicionou em 17 de agosto de 2026 testes de intrusão (pen tests) black-box, que testam um app como faria um invasor externo: pela rede, por um navegador e sem acesso ao código-fonte. As varreduras conduzidas por um agente rodaram contra uma cópia do app em um sandbox, junto com as varreduras de código white-box que a Replit já oferecia, como descrito em Black-box pen tests on Replit.

Como as varreduras funcionavam

• Varredura de nível 3: iniciada pelo Security Center do projeto, executava em paralelo uma varredura white-box e uma black-box, e o scanner black-box recebia apenas o link do app.
• Sandbox: cada varredura rodava contra uma cópia completa do app em um sandbox privado, de modo que nada do que ela tentasse poderia escapar nem chegar aos usuários do app.
• Sequência de testes: o agente testava primeiro como visitante anônimo e depois como usuário comum logado, verificando se conseguia abrir registros de outros usuários ou acessar áreas exclusivas de administradores.
• Resultados: o agente devolvia uma lista de problemas confirmados para corrigir com o Replit Agent.

O que isso significa para quem constrói com IA

Os pen tests antes do lançamento passaram a ser uma etapa integrada para apps criados com IA na Replit. A Replit disse que os achados dos dois tipos de varredura raramente coincidiam, e que em um caso apenas a varredura black-box encontrou um painel de administração em um endereço fácil de adivinhar e sem login.

Níveis de varredura

O nível 1 executava verificações de dependências e análise estática e era gratuito. O nível 2 executava a varredura white-box com agente, e o nível 3 executava os dois scanners.

Fontes

• Black-box pen tests on Replit (Replit, 17 de agosto de 2026, oficial)

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.