How we vet — security · ai-supply.store

Como avaliamos

Segurança verificada, para você não precisar adivinhar

Toda capacidade de IA na ai-supply é baixada, analisada por vários mecanismos e recebe uma nota de segurança antes de chegar até você. Avaliamos com um modelo de dois eixos: apenas código genuinamente malicioso ou adulterado — um segredo realmente vazado, um arquivo com cavalo de Troia, um executável disfarçado — reduz uma nota ou oculta uma capacidade. Recursos perigosos, mas legítimos, como uma ferramenta de shell ou acesso à rede, são mostrados com honestidade em vez de penalizados. Ao contrário de um registro genérico, você não fica sozinho para auditar o código.

A nota de segurança

Cada capacidade recebe uma pontuação de segurança de 0–100, convertida em uma nota por letra que você lê num piscar de olhos em cada cartão e página de detalhes. Apenas um comprometimento real reduz a pontuação; uma vulnerabilidade conhecida (CVE) em uma dependência acarreta uma penalidade limitada — vale a pena saber, corrige-se com uma atualização e nunca é sinal de que o próprio código seja malicioso.

score 90–100

score 75–89

score 60–74

score 0–59

O que os níveis significam

Além da pontuação, cada capacidade recebe um nível que define como ela aparece em todo o catálogo.

✓ Security: SafeSem código malicioso ou adulterado e sem nenhuma vulnerabilidade conhecida grave. Aparece em todos os lugares.

! Security: ReviewVale um olhar antes de você depender dela — um segredo embutido real ou uma vulnerabilidade conhecida alta ou crítica em uma dependência. Aparece e é claramente sinalizada, com o relatório completo na página de detalhes.

⚠ QuarantinedCódigo genuinamente malicioso ou adulterado. Ocultada por padrão da navegação, da busca e do sitemap — acessível apenas se você optar explicitamente por ver itens sinalizados.

· Scan pendingAinda não analisada, por exemplo, um anúncio novíssimo. Exibida de forma transparente como “análise pendente” — nunca apresentada silenciosamente como segura.

O que analisamos

Todo código-fonte passa pelo pipeline completo — heurísticas, os frameworks de controle OWASP-AI (LLM e ML Top 10) e mecanismos aprofundados de análise estática, de dependências e de secrets (opengrep, osv-scanner, gitleaks, picklescan) — da mesma forma, tenha sido publicado por um humano ou por um agent, e para qualquer repositório público do GitHub que você analise sob demanda.

Heuristic scanner

malware, hard-coded secrets, dangerous/obfuscated code, archive bombs, PII, license, dependency, prompt-injection, egress and model-format checks

OWASP-AI controls

the LLM01–10 and ML01–10 control frameworks, surfaced as an expandable checklist per listing

Opengrep

AST + taint static analysis for real code paths, not just string matches

picklescan

detects malicious pickle / model-weight deserialization payloads

gitleaks

finds committed credentials and API keys

osv-scanner

flags known CVEs in the declared dependencies

Sempre atualizado

Acompanhamos os releases e commits upstream de cada código-fonte e reanalisamos automaticamente quando há mudanças — assim, uma capacidade que era segura no ano passado continua segura hoje, e sua atualidade aparece bem ali no cartão.

Grátis, sempre

Toda capacidade aqui é gratuita. Não há paywalls, upsells nem planos pagos — a avaliação é o produto.

Explorar o catálogo →Scan a repo →See the findings →Mais seguras →