1. O momento: quando a IA escreve mais rápido do que você consegue revisar
O momento chega sempre igual. Você pede pra sua IA "faz o login do meu app", e em trinta segundos você já tem código funcionando. Você testa, entra, funciona. Passa pro próximo feature. E pro próximo. A IA produz numa velocidade que você, como humano, não consegue auditar linha por linha. Esse é o momento exato em que aparece o risco silencioso.
Porque a IA não escreve como um auditor desconfiado. Ela escreve no que a gente chama de "modo construtor": otimista, imaginando um único caminho feliz, focada em "fazer funcionar". E nesse modo ela é fisicamente incapaz de enxergar os próprios bugs — do mesmo jeito que você não consegue fazer cócegas em si mesmo. O código roda, sim. Mas "roda" e "é seguro" são duas coisas diferentes.
2. A dor: os bugs que a IA não vê são os mais caros
A dor é real e honesta — não é um apocalipse, é um acidente que sai caro. Estes são os erros clássicos que a IA deixa passar sem querer, uma vez e outra:
- Um segredo (uma chave de API, uma senha) escrito direto no código e enviado pro git — onde fica pra sempre, mesmo que você apague depois.
- Uma consulta ao banco de dados que esquece de filtrar por usuário → um cliente consegue ver os dados de outro. O erro mais caro em qualquer app com vários usuários.
- Um endpoint sem proteção de acesso: qualquer um com a URL entra.
- Um botão que funciona com o mouse mas é invisível pra quem navega com teclado ou leitor de tela (falha de acessibilidade, e às vezes de lei).
- Dados pessoais (e-mails, telefones) escritos nos logs sem querer.
O que dói não é o bug em si: é quando você fica sabendo. Você fica sabendo quando um usuário reclama, quando alguém vaza os dados, quando chega uma multa. A essa altura já está em produção. O custo de um bug cresce com o tempo que ele demora pra ser descoberto — e os que a IA não vê são justamente os que mais demoram pra vir à tona.
3. O hábito: revisar NÃO é uma vez, é toda vez que a IA mexe no código
Aqui está a chave que muda o comportamento, não só o conhecimento: o Sentinel não é algo que você usa uma vez e pronto. É um hábito. Toda vez que sua IA escreve ou muda código importante, você pede pro Sentinel revisar antes de dar como bom. Como colocar o cinto: você não faz "quando lembra", você faz sempre, no automático.
Os momentos em que você SEMPRE deveria passar o Sentinel:
- Antes de subir seu app pra produção (deixar o mundo ver) → "isso está seguro?".
- Quando a IA mexeu em algo sensível: login, pagamentos, banco de dados, dados de usuários.
- Ao revisar uma mudança antes de aceitar (um PR, uma branch nova).
- De tempos em tempos, uma revisão geral — porque o que era seguro ontem pode ter quebrado com uma mudança de hoje.
4. O que ele revisa exatamente: 18 frentes
O Sentinel escaneia em 18 dimensões, divididas em dois grandes grupos. Você não precisa entender todas — mas vê-las te dá a dimensão do que ele faz por você:
8 de segurança clássica: segredos no código, endpoints sem proteção, consultas que pulam o filtro por usuário, configurações de banco de dados que ficam lentíssimas em escala, cabeçalhos de segurança mal configurados, dados pessoais nos logs, entradas sem validação, e dependências com vulnerabilidades conhecidas.
10 "pontos cegos do modo construtor": os bugs recorrentes que a IA comete uma vez e outra ao construir interfaces e lógica — atalhos de teclado que roubam o Enter do chat, botões invisíveis pro teclado, vazamentos de memória sutis, identificadores duplicados, erros que são engolidos em silêncio. Esse segundo grupo é o ingrediente secreto: ele nasce de um protocolo de qualidade lapidado em muitas rodadas de auditoria real, não de uma lista genérica da internet.
5. Como se instala: um comando
O Sentinel é uma skill pro Claude Code (o assistente de IA que trabalha no seu terminal ou editor). Ele se instala em um comando, e fica disponível em todos os seus projetos. Se você usa Claude Code, é só isso que você digita:
/plugin marketplace add MentexDev/neuralos-sentinel /plugin install neuralos-sentinel@neuralos-sentinel
Usa outro assistente (Cursor, Codex, Gemini CLI)? O Sentinel segue o padrão aberto de skills, então ele também funciona lá com npx skills add MentexDev/neuralos-sentinel. Depois de instalado, você não o chama com um comando estranho: você fala normal com a sua IA.
6. O prompt pronto pra copiar
Pra você não ter que pensar no que dizer, aqui está o prompt completo, de ponta a ponta. Cola no seu agente (com o Sentinel já instalado), preenche os [colchetes], e deixa o guardião fazer o trabalho dele:
Quero que você escaneie meu código com a skill neuralos-sentinel, em modo read-only (não mude nada sem o meu OK). Alvo a revisar: [o projeto todo / esta pasta / este arquivo / a última mudança que você fez] Stack / tecnologia: [ex. Next.js + banco de dados PostgreSQL, ou "não tenho certeza, olha o código"] Contexto: [ex. "é um app com vários usuários/clientes, então os dados NÃO podem se misturar" · "tem login e pagamentos" · o que você souber] Siga o procedimento do Sentinel: escaneie as 18 dimensões, VERIFIQUE cada achado (descarte os falsos positivos), e me entregue um relatório ordenado por gravidade. Pra cada problema real: me diga em bom português o que é, em que arquivo está, por que importa, o conserto proposto e o teste que blinda ele. No final, uma seção de "o que revisei e descartei" pra eu confiar que você não inventou alarmes. NÃO aplique nenhuma mudança ainda: primeiro me mostre o relatório e eu decido o que consertar.
7. O caminho fácil: quem faz o quê
Como o Sentinel mora dentro do seu agente de código, vale deixar claro o que acontece pelo chat e o que você faz você mesmo. É mais simples do que parece:
- Ler todo o seu código e escaneá-lo nas 18 frentes.
- Verificar cada achado pra não te dar alarmes falsos.
- Escrever o relatório claro pra você, com o fix e o teste de cada problema real.
- Aprovar quais consertos você quer que ele aplique (o Sentinel é read-only: não mexe em nada sem a sua permissão).
- Rotacionar de verdade um segredo que ficou exposto (isso se faz no painel do provedor, pela web).
- Decidir se um achado se aplica ao seu caso ou não (você é quem conhece o seu negócio).
8. O repositório (grátis, MIT, dá uma estrelinha)
O Sentinel é de código aberto e grátis pra sempre. Ele mora aqui — entra, dá uma olhada, instala, e se ele caçar um bug pra você, deixa uma estrela pra mais gente encontrar:
O guardião de segurança do seu código com IA. Caça o bug em 18 dimensões (segurança + builder-mode) e te traz o fix com o teste de regressão dele. Read-only por padrão.