Por que a Krisp escolheu o Hacktron para revisões de código de segurança

“O Hacktron foca em problemas de segurança reais e exploráveis, com impacto claro e orientação de correção.

“Ele encontra com consistência achados de alto valor nos PRs antes de serem publicados, e assim gastamos menos tempo com triagem e mais tempo corrigindo o risco real.”

Davit Karapetyan
Engenheiro de segurança de produto

Sobre a Krisp

A Krisp é uma plataforma de IA de voz em tempo real que ajuda pessoas e empresas com cancelamento de ruído, conversão de sotaque, transcrição ao vivo e resumos de reuniões com IA. Seus produtos são usados em centrais de atendimento, ferramentas de reunião e plataformas para desenvolvedores de IA de voz no mundo todo.

Com implantações em mais de 200 milhões de dispositivos e mais de 80 bilhões de minutos de conversas de voz processados por mês, a Krisp opera em escala global. Por isso, a segurança é uma prioridade crítica para a Krisp e seus clientes.

O desafio: segurança na velocidade do desenvolvimento em um mundo com IA

Como muitas equipes de segurança, a Krisp dependia de ferramentas SAST tradicionais que geravam alertas em grande volume. A maioria não era explorável. Os riscos reais ficavam enterrados no ruído, e a triagem virou um trabalho demorado por si só.

Quando as equipes de engenharia passaram a usar IA para acelerar o desenvolvimento de software, a Krisp precisou de uma forma de identificar vulnerabilidades relevantes cedo no processo de desenvolvimento, sem atrasar as equipes de engenharia nem obrigá-las a mudar a forma como entregavam código.

A solução: um fluxo de segurança nativo de IA no SDLC

A Krisp integrou o Hacktron Review diretamente ao seu fluxo no GitHub, levando a segurança para o processo de revisão de pull requests sem mudar a forma como os engenheiros já trabalham.

Em vez de analisar mudanças de código isoladamente, o Hacktron revisa cada pull request com modelos de ameaças específicos da aplicação e o contexto completo da base de código. Ao entender como uma mudança se encaixa no restante da aplicação, o Hacktron consegue avaliar se ela é de fato explorável e revelar falhas de lógica de negócio, premissas de segurança quebradas e vulnerabilidades de várias etapas que scanners tradicionais baseados em padrões não foram feitos para encontrar.

Os achados são publicados em linha, junto ao código afetado, e incluem os passos para reproduzir o problema, rastros de alcançabilidade e orientações de correção. Os engenheiros da Krisp conseguem verificar a explorabilidade em minutos, em vez de discutir se um alerta é real.

Os resultados: mais segurança, menos ruído

Nas primeiras 4 semanas de implantação, o Hacktron ajudou a Krisp a identificar e resolver diversas vulnerabilidades antes que chegassem à produção, em média 8 dias após a detecção do problema.

A equipe de segurança da Krisp usou comentários de triagem no GitHub, o MCP do Hacktron e a API do Hacktron para triar mais de 300 achados em uma única semana. Cada falso positivo ou risco aceito foi marcado com um motivo, que alimenta diretamente o modelo de ameaças do Hacktron para a base de código da Krisp. Com o tempo, esse feedback ajuda o Hacktron a entender melhor a arquitetura, os controles de segurança e a tolerância a risco da Krisp, o que reduz os falsos positivos e melhora a qualidade dos achados.

Em sistemas complexos como o da Krisp, os gates e as primitivas de segurança costumam se estender por vários repositórios e aplicações. Ao combinar sua própria análise com o feedback direto da equipe da Krisp, o Hacktron Review ajudou a Krisp a alcançar uma alta relação sinal-ruído, enquanto melhora continuamente seu entendimento dos controles da Krisp.