Como o Hacktron leva o contexto de segurança de toda a base de código a cada pull request da hackajob

“O desafio nunca foi esforço ou conhecimento técnico.

“Era contexto. Ninguém consegue guardar tanto contexto na cabeça em cada revisão, mesmo com dois pares de olhos.”

Dragos Dimitriu
Responsável por compliance

Sobre a hackajob

Fundada em 2014, a hackajob desenvolve tecnologia de contratação com IA usada por mais de 200 empresas de mais de 50 setores, entre elas American Express, Tesco, Barclays, HSBC e Sainsbury’s.

Seu principal produto, o Archer, encontra, engaja e qualifica candidatos para equipes de recrutamento corporativas. Ele parte de 1,5 milhão de candidatos avaliados e mais de 800 milhões de perfis indexados, e qualifica 250.000 candidatos por dia com base em vagas abertas.

Nessa escala, os controles de autorização sobre dados restritos a cada cliente são críticos.

O desafio: o revisor vê um diff, não o grafo de chamadas

A hackajob já tinha um processo de revisão sólido. Cada pull request era revisado por pelo menos dois engenheiros, e nenhum deles era o autor. A limitação não era o esforço de revisão, mas a quantidade de contexto do sistema disponível para cada revisor.

“Um revisor vê um diff, não o grafo de chamadas completo. Por isso, as falhas que passavam costumavam ser as que só ficam visíveis quando você rastreia como uma mudança interage com código em outra parte do sistema.”

Dragos Dimitriu
Responsável por compliance

Onde o Hacktron entra: revisão contínua em cada PR

A hackajob agora passa cada pull request pelo Hacktron Review. O Hacktron rastreia cada mudança pela base de código, mostra os achados no fluxo de revisão e faz uma nova varredura depois das correções. A hackajob também definiu um limite de severidade que bloqueia o merge quando o Hacktron encontra um problema acima dele.

“O Hacktron revela mais do que uma revisão manual realisticamente consegue, e roda em cada PR, não só nos que alguém marca como relevantes para segurança.

“Hoje estamos entre 200 e 250 varreduras por semana, em um número crescente de projetos. Isso inclui as novas varreduras depois das correções, mas ainda é um volume que não conseguiríamos revisar manualmente com essa profundidade.”

Dragos Dimitriu
Responsável por compliance

Análise dos achados

Desde a primeira revisão do Hacktron na hackajob, em junho de 2026:

Dos 143 achados triados, 81,1% eram reais, não ruído.

Falha de autorização em nível de objeto que expõe dados de outros clientes (Alta)

O Hacktron encontrou uma falha de autorização em nível de objeto de severidade alta em um pull request que adicionava o chat de assistente do Archer.

O endpoint verificava a propriedade em requisições com escopo de carteira, mas não nas com escopo de conta ou de coorte. Um usuário comum podia informar o identificador de outro cliente e obter as comunicações e os dados de sentimento desse cliente, fora do escopo autorizado para ele.

1
// A book scope may only be the caller's own book unless they're an admin.
2
if (
3
    parsed.data.scope.kind === "book" &&
4
    parsed.data.scope.ownerEmail !== user.email &&
5
    !user.isAdmin
6
) {
7
    return new Response("Forbidden", { status: 403 });
8
}
9
// <- no equivalent check existed for "account" or "cohort" scopes

O arquivo alterado parecia consistente por si só. O problema só ficou visível quando o Hacktron comparou o comportamento de autorização entre os diferentes tipos de escopo.

“Nada no diff parecia errado, e é exatamente por isso que esse tipo de coisa passa na revisão manual, seja qual for a experiência do revisor.”

Dragos Dimitriu
Responsável por compliance

O Hacktron detectou o problema antes que ele chegasse à branch principal. A hackajob o corrigiu no mesmo pull request em menos de uma hora, com uma função de autorização compartilhada e testes de regressão para os caminhos afetados.

Os resultados: contexto de segurança de toda a base de código

Agora cada pull request recebe a mesma revisão de segurança com o contexto de toda a base de código. Os engenheiros continuam donos das decisões de triagem e de merge, e o Hacktron dá a eles o contexto do sistema para tomar essas decisões antes que o código chegue à main.

“O Hacktron pegou isso no PR, então nunca chegou à nossa branch principal.

“É isso que importa para nós.”

Dragos Dimitriu
Responsável por compliance