Revisão de código por prova
Cada suspeita entra como acusação, e nada vira parecer sem artefato reproduzível. O veredito é um exit code, não opinião de modelo.
Achado real, rodada de 14/08 — 4 com parecer, 1 descartado com motivo, 1 inconclusivo com causa. Carol não é dona nem destinatária do documento 4, e mesmo assim leu.
O curl encerrou seu programa de bug bounty no fim de janeiro de 2026. A taxa de confirmação ficou acima de 15% por anos e caiu abaixo de 5% em 2025, soterrada pela enxurrada de relatórios gerados por IA. Foram US$ 100 mil pagos por 87 vulnerabilidades reais antes de desligarem.
Encontrar deixou de ser o gargalo. Provar é. Uma ferramenta que afirma sem evidência não economiza trabalho de revisão — ela transfere o trabalho para quem vai conferir, e multiplica.
Seis lentes em paralelo leem o diff e o código em volta. Acusar é barato e essa lista ninguém vê — o trabalho delas é cobertura, não seletividade. Pedir que se contenham faz o modelo engolir achado real.
A única peça que é agente de verdade: pensa, chama ferramenta, lê o resultado, decide. Vê uma acusação por vez, isolada, com o repositório montado numa cópia descartável. Não argumenta — testa.
Regras determinísticas, cada uma com teste. O artefato ganha do modelo: disse provado e o exit code discordou, vale o exit code. A severidade acompanha a força da prova, não a gravidade teórica.
Só é provado se passa antes e falha depois. O falso alarme se elimina sozinho, sem ninguém precisar julgá-lo: se o teste já falhava no código de ontem, o problema não é do pull request.
E a evidência deixa de ser uma opinião sobre o seu código. Vira uma frase que você pode conferir em trinta segundos: este teste passa no seu código de hoje e quebra com a sua mudança.
Artefato reproduzível anexado ao achado. É o que sustenta severidade alta — e é conferível sem confiar em nós.
A perícia refutou. Sai no parecer com o motivo, porque saber o que foi olhado e absolvido vale tanto quanto saber o que foi condenado.
A ferramenta falhou, o parse quebrou, o modelo recusou. Sai rotulado, com a causa, e nunca vira absolvição.
Num veredito binário, “não consegui provar” vira absolvição limpa: a categoria mais importante se esvazia sozinha e o relatório parece rigoroso. Por isso o terceiro estado é obrigatório aqui, e as duas listas — descartados e inconclusivos — saem no parecer em voz alta.