Se você já começou a integrar agentes de IA (como Claude Code ou Cursor) em seus engajamentos de segurança, sabe o ganho absurdo de velocidade que eles proporcionam. Mapear aplicações, identificar bugs e gerar relatórios se tornou um processo muito mais ágil. Mas, no meu dia a dia conduzindo operações de Red Team e AppSec, esbarrei rapidamente no maior problema dessa nova era: a observabilidade.
Quando o agente de IA lida com o tráfego HTTP por conta própria (seja via scripts customizados ou chamadas cURL no terminal), o trabalho dele nunca chega a um lugar onde a equipe possa revisar. O tráfego morre no chat ou no terminal. Se um colega de equipe (ou eu mesmo, liderando a operação no Sucuri Hacker Club) perguntar o que foi testado, a única evidência é uma transcrição de texto.
A solução para isso atende pelo nome de Servidor MCP apoiado por proxy. Em vez do agente enviar requisições de forma avulsa, ele opera o proxy de segurança por trás da interface gráfica que você já utiliza. O tráfego não fica preso ao chat; ele cai diretamente no seu histórico ou nas abas de Replay.
Mas qual proxy escolher para essa missão?
Soluções MCP Existentes: Caido vs. Burp Suite
No mercado atual de proxies web, duas opções de MCP são as mais discutidas: Burp Suite e Caido. Ambos conectam um agente a um proxy, mas a diferença na liberdade de operação e na superfície de contato é brutal.
Abaixo, trago um comparativo direto de como cada suíte lida com o protocolo MCP:
Como evangelista do Caido, os números na imagem falam por si. Enquanto a extensão oficial do Burp limita o agente a 11 ferramentas de leitura e 11 de escrita, o servidor da comunidade do Caido vai muito além: são 64 ferramentas integradas (29 de contexto e 35 de ação). O agente pode explorar praticamente todo o projeto, e tudo o que ele faz fica retido para revisão.
A Peça que Faltava: A Stack CaidoAIDriven
Apesar de o Caido oferecer uma liberdade massiva, a tabela também mostra seu calcanhar de Aquiles: os guarda-corpos (guardrails). O Burp possui um sistema nativo para bloquear ações destrutivas, enquanto o Caido delega essa responsabilidade para o Host MCP (a própria IA).
Para resolver isso e criar um fluxo de trabalho profissional e seguro, construí a arquitetura CaidoAIDriven. Ela transforma o Caido no coração absoluto da operação, garantindo que ele seja a fonte única de verdade sobre tráfego, sitemap e findings.
Como eu não poderia deixar uma IA solta com 66 tools do proxy (incluindo as adicionais do caido-mcp-server) sem controle, implementei um modelo de execução em 2 fases e um Gate de Validação:
- A Orquestração Isolada: O Claude Code atua como o grande orquestrador do engajamento e é o único ator com acesso direto à bridge MCP do Caido.
- Delegação Especializada: Em vez de tentar hackear tudo sozinho, o orquestrador delega as ações táticas para cerca de 50 agentes especializados (como
web-hunterouapi-security). Nenhum desses agentes toca diretamente no Caido. - O Gate (Quem descobre não confirma): Baseado na metodologia OWASP WSTG, o fluxo exige que toda vulnerabilidade encontrada passe por um agente validador independente (
poc-validator). Apenas se este segundo agente conseguir reproduzir a falha com sucesso, o orquestrador registra o finding oficial no Caido.
Tripla Redundância: Nada Existe Apenas na Conversa
No CaidoAIDriven, nada existe apenas na conversa da IA. Todo teste possui uma tripla redundância: o tracker de status da metodologia WSTG (que cobre os cerca de 105 códigos oficiais), os arquivos cronológicos de tentativas, e, claro, o registro imutável no Caido (através de Replay Collections e Findings).
O Agentic Pentesting não se sustenta apenas com modelos de linguagem inteligentes; ele precisa de trilhos operacionais e de um proxy moderno que aguente o tranco. E hoje, o Caido provou ser a ferramenta definitiva para esse ecossistema.