EVERSEC RAGE (ONEVERSEC) vs XBOW: pentest autônomo com IA
XBOW e EVERSEC RAGE são agentes ofensivos com IA, mas divergem no que decide se um achado é real. Veja a diferença do firewall de validação determinístico da ONEVERSEC, a severidade CVSS 4.0 e o PoC em vídeo.
Comparar ofensiva de segurança com IA exige separar duas perguntas: a ferramenta encontra e explora vulnerabilidades de forma autônoma, e o que decide se aquilo que ela encontrou é real o suficiente para virar um report? O XBOW e o EVERSEC RAGE, da ONEVERSEC, respondem à primeira pergunta de um jeito parecido: os dois são agentes ofensivos com IA. É na segunda que vale olhar com mais cuidado.
O que o XBOW faz
O XBOW é um agente de pentest autônomo com inteligência artificial: encontra e explora vulnerabilidades web sem um operador humano guiando cada passo manualmente. Ficou conhecido por liderar um leaderboard americano do HackerOne, um resultado que só é possível automatizando bem a cadeia inteira de reconhecimento, descoberta e exploração. O XBOW se posiciona como uma ofensiva de IA totalmente autônoma, e vale reconhecer: automatizar essa cadeia do zero até uma exploração funcional é um problema difícil, que poucos times resolveram em produção.
Onde a ONEVERSEC soma valor: um firewall entre a proposta da IA e o report
A capacidade de encontrar bug é só metade do desenho do EVERSEC RAGE. A outra metade é o que a ONEVERSEC chama de firewall de validação determinístico: a IA só propõe um achado, nunca decide sozinha se ele é real. Quem decide é código determinístico, fora do modelo, organizado em 10 gates mais um AutoReject, com veredito padrão de descarte sempre que houver dúvida. Sobre o que sobrevive, a severidade também não é um rótulo que a IA escreve: ela é derivada da evidência coletada, seguindo CVSS 4.0. E nenhum report sai sozinho: todo envio passa por aprovação humana (zero auto-submissão), e cada achado confirmado sai com um vídeo de PoC reproduzível, pensado para que o triador do programa reproduza o bug assistindo só ao vídeo. Isso não substitui a capacidade de achar; soma uma camada determinística entre "a IA acha que achou" e "isso vira um report".
Economia: BYO-key e preço para hunter individual
O EVERSEC RAGE roda com BYO-key (sua própria chave de IA, cobrada a você sem markup) ou com um roteador multi-provider gratuito e sem chave própria. O plano self-service parte de R$ 319 por mês, pensado para quem caça bounty por conta própria, não só para operação com orçamento empresarial.
Quando usar cada um
Use o XBOW quando o critério principal é a capacidade bruta de um agente autônomo encontrar e explorar, com um resultado público de destaque para mostrar.
Use o EVERSEC RAGE quando o que trava o seu fluxo é a distância entre "a IA acha que achou algo" e "isso é um report que um triador aceita sem reabrir": o firewall de 10 gates, a severidade CVSS 4.0 derivada de evidência e o PoC em vídeo existem para fechar essa distância.
Vale conhecer o EVERSEC RAGE?
Se você já caça em programas reais de bug bounty e o gargalo hoje é volume de falso positivo, ou a dificuldade de provar impacto de um jeito que o triador aceite de primeira, vale conhecer o EVERSEC RAGE: BYO-key, firewall determinístico por padrão, e um plano self-service que começa em R$ 319 por mês.