Ficha · confiança medium
Tipo: empresa
Founders: não encontrado no recorte
Site: www.aikido.dev
Acha gaps proativamente: sim
Angulo audit: concorrente
Atende enterprise: sim
Autonomia: age-com-aprovacao
Categoria declarada: agentic AI-powered penetration testing
Categoria real: plataforma AppSec com pentest agentic e testes contínuos
Comprador: ciso, cto, vp-eng, appsec
Concorrentes nomeados: não encontrado no recorte
Entrega remediacao: parcial
Entregavel: plataforma-saas, agente-autonomo, relatorio, reteste, remediacao
Expansao: Rightsized, black-box ou gray-box, contínuo por release e plataforma AppSec
Faixa preco: Standard de 4.000 créditos; Rightsized de USD 50 a USD 30.000+; contínuo por agente
Fundacao: não encontrado no recorte
Funding total: não encontrado no recorte
Geografia: não encontrado no recorte
Hq: não encontrado no recorte
Icp: equipes de engenharia, AppSec e compliance com aplicações e APIs em mudança frequente
Investidores lead: não encontrado no recorte
Motion gtm: plg, sales-led
Nao e cliente: organização sem autorização dos targets ou sem repositórios e contas de teste para o fluxo escolhido
Nicho: ofensiva
Origem: pesquisa
Pricing publico: sim
Roda onde: SaaS, com broker para aplicações internas
Tem entrada gratis: parcial
Ultima rodada: não encontrado no recorte
Unidade cobranca: créditos por assessment ou por agente lançado
Vertical: horizontal
Wedge: assessment de uma aplicação com preço público e resultado integrado à plataforma AppSec
Síntese
Aikido encaixa pentest agentic dentro de uma plataforma ampla de AppSec. O cliente delimita aplicação, APIs, repositórios, ambientes e contas; agentes fazem descoberta, exploração e validação; o produto entrega findings, evidências, orientação de remediação, relatório e reteste. (https://help.aikido.dev/pentests/aikido-pentest)
A unidade percebida é uma aplicação. A capacidade consumida aparece em créditos e, no contínuo, em agentes efetivamente lançados. A separação permite vender um assessment com preço previsível e ajustar o consumo ao delta de cada release. (https://help.aikido.dev/pentests/pentest-pricing.md)
O corpus encontrou drift comercial em nove dias: o contínuo passou de 10 para 16 créditos por agente, e o saldo mínimo passou de 1.000 para 10.000 créditos. Esse fato torna data de corte parte obrigatória de qualquer comparação. (https://help.aikido.dev/pentests/continuous-pentesting)
Posicionamento
Frase-âncora
AI Pentests That Simulate Real Attacks
Título da página oficial de produto observada no corpus. (https://www.aikido.dev/attack/aipentest)
Categoria declarada e categoria real
A documentação define o produto como penetration testing agentic com centenas de agentes autônomos. O enquadramento real é mais amplo: pentest pontual, rightsized e contínuo operam dentro de uma plataforma de segurança de software. (https://help.aikido.dev/pentests/aikido-pentest)
| Camada | Declaração observada | Leitura de mercado |
|---|---|---|
| entrada | AI Pentest | assessment acelerado |
| expansão | Rightsized Pentest | escopo variável por código e superfície |
| recorrência | Continuous Pentesting | teste incremental por release |
| plataforma | wallet, findings e reports | consolidação de AppSec |
O diferencial narrado é combinar código e runtime. White-box usa código e OpenAPI; black-box sonda a aplicação em execução e tende a exigir mais agentes. (https://www.aikido.dev/pricing)
Entregável
No início, o cliente informa repositórios, aplicação, APIs, domínios, subdomínios, ambientes, contas e permissões. Somente os targets autorizados entram no assessment. (https://help.aikido.dev/pentests/configure-a-pentest/scope-of-assessment.md)
Durante o teste, o fluxo publicado passa por discovery, exploitation, validation e report. Agentes adicionais validam findings antes da saída final. (https://help.aikido.dev/pentests/aikido-pentest)
| Momento | Saída observável | Limite da evidência |
|---|---|---|
| configuração | escopo e estimativa | fórmula privada |
| execução | requests, exploração e findings | runtime não auditado |
| validação | confirmação e severidade | taxa de falso positivo não medida |
| fechamento | relatório e remediação | aceitação regulatória depende do cliente |
| pós-teste | reteste ou contínuo | elegibilidade contratual pode variar |
O relatório publicado combina visão executiva e detalhes para engenharia, incluindo request e response, CWE ou CVE quando aplicável e passos de correção. (https://help.aikido.dev/pentests/aikido-pentest)
Oferta e pricing
| Oferta | Objeto | Preço ou unidade pública | Cadência |
|---|---|---|---|
| Standard | uma aplicação e APIs primárias | 4.000 créditos, equivalentes a USD 4.000 | pontual |
| Rightsized | aplicação com escopo calculado | USD 50 a USD 30.000 ou mais | pontual |
| black-box de referência | Large, Complex ou Enterprise | 8.000, 16.000 ou 32.000 créditos | pontual |
| Continuous | delta após baseline completo | 16 créditos por agente em 2026-10-05 | deploy ou agenda |
Um crédito equivale publicamente a USD 1. Créditos não expiram, a compra mínima publicada é 500 e administradores podem limitar gasto por recurso. (https://help.aikido.dev/miscellaneous-info/wallet-and-credits)
O Rightsized analisa repositórios, endpoints, papéis e profundidade; apresenta breakdown e confirma o total antes do início. O algoritmo econômico não é publicado. (https://help.aikido.dev/pentests/pentest-pricing.md)
O contínuo exige baseline anterior, repositórios conectados e saldo mínimo. Em 2026-10-05, a regra observada era agentes lançados multiplicados por 16 créditos. (https://help.aikido.dev/pentests/continuous-pentesting)
Mercado e ICP
O ICP primário é a equipe que possui código acessível, aplicações e APIs em mudança frequente, contas de teste e necessidade de evidência para engenharia ou auditoria. (https://www.aikido.dev/attack/aipentest)
Compradores prováveis incluem CISO, liderança de AppSec, CTO e VP de Engenharia. O fluxo de relatório atende também compliance e clientes que pedem evidência. (https://help.aikido.dev/pentests/aikido-pentest)
| Sinal de fit | Consequência |
|---|---|
| múltiplos repositórios | favorece Rightsized |
| releases frequentes | favorece contínuo |
| aplicação interna | pode exigir broker |
| vários papéis | aumenta contexto e profundidade |
| ausência de autorização | bloqueia o teste |
GTM e distribuição
Preço público e créditos reduzem fricção na entrada. O Standard oferece uma âncora simples; o Rightsized adiciona conversa de scoping; o contínuo expande a conta após um assessment completo. (https://www.aikido.dev/pricing)
A página de produto convida para uma conversa de 30 minutos sobre preço e escopo, evidência de motion assistido por vendas nas modalidades complexas. (https://www.aikido.dev/attack/aipentest)
Wallet compartilhada, pagamento por cartão ou invoice e limites por recurso transformam o crédito em mecanismo de expansão dentro da conta. (https://help.aikido.dev/miscellaneous-info/wallet-and-credits)
Como o produto funciona
definir aplicação, targets, contas e exclusões
-> escolher white-box, gray-box ou black-box
-> estimar créditos e confirmar escopo
-> mapear endpoints, código e superfícies
-> explorar caminhos autorizados
-> validar findings com agentes adicionais
-> entregar relatório e remediação
-> retestar ou acompanhar deltas futurosO escopo pode reunir domínio principal, subdomínios, ambientes e sistemas conectados da mesma aplicação. Cada domínio exige verificação de propriedade. (https://help.aikido.dev/pentests/configure-a-pentest/scope-of-assessment.md)
No contínuo, commits são comparados com o baseline. O sistema aplica frequência, Start Delay, saldo mínimo e exclusão mútua antes de lançar agentes. (https://help.aikido.dev/pentests/continuous-pentesting)
Time fundador
O recorte coletado priorizou produto, preço, escopo e provisionamento. Ele não capturou fonte corporativa suficiente para afirmar fundadores, headcount ou distribuição da equipe.
Essa ausência é uma lacuna do corpus, não evidência de ausência de liderança ou operação humana. A página de produto declara validação e scoping humanos, sem publicar horas, proporção ou estrutura. (https://www.aikido.dev/attack/aipentest)
Funding
Funding, investidores e valuation não foram capturados nesta absorção. Nenhum número foi inferido de bases secundárias.
O preço público sustenta análise comercial do produto, mas não permite estimar receita, margem, runway ou capitalização. (https://www.aikido.dev/pricing)
Tração
O corpus não contém receita, número de clientes ou benchmark independente de eficácia. Claims de resultado no mesmo dia e reteste por até seis meses vêm da página comercial. (https://www.aikido.dev/pricing)
A existência de Standard, Rightsized e Continuous demonstra maturidade de packaging. Ela não comprova adoção, renovação ou uso real em escala.
A documentação operacional inclui wallet, estimativa, saldo, gatilhos e estados de execução, o que sustenta disponibilidade de fluxo, sem provar SLA entregue. (https://help.aikido.dev/pentests/continuous-pentesting)
Concorrência e consolidação
Concorrentes não foram nomeados nas fontes absorvidas. A comparação útil é por arquétipo: pentest consultivo, plataforma AppSec, scanner automatizado e agente de pentest contínuo.
| Arquétipo | Vantagem relativa de Aikido | Pressão sobre Aikido |
|---|---|---|
| consultoria | velocidade e repetibilidade | julgamento e confiança humana |
| scanner | exploração e validação publicadas | custo e previsibilidade |
| agente puro | integração com AppSec e wallet | foco e profundidade ofensiva |
| suíte AppSec | expansão na base instalada | breadth pode diluir diferenciação |
O Standard cria comparação direta de preço. O Rightsized e o contínuo deslocam a disputa para qualidade de escopo, cobertura e custo por mudança relevante. (https://help.aikido.dev/pentests/pentest-pricing.md)
Enterprise, descoberta proativa e remediação
Aikido declara suporte a aplicações internas, onboarding, SLA enterprise e success manager na modalidade contínua. (https://www.aikido.dev/pricing)
A descoberta é proativa no contínuo porque mudanças podem iniciar testes. O sistema pode ignorar deltas sem relevância de segurança, segundo documentação. (https://help.aikido.dev/pentests/continuous-pentesting)
Remediação aparece como orientação developer-ready e reteste. A captura não prova criação automática de patches nem taxa de aceitação das correções. (https://help.aikido.dev/pentests/aikido-pentest)
Defensibilidade e riscos
Possíveis ativos defensáveis são contexto acumulado de código e runtime, telemetria de agentes, integração com a plataforma AppSec e histórico de findings. A evidência local descreve o produto, sem medir o moat.
Riscos principais:
- claims de precisão e velocidade são autodeclarados;
- algoritmo de agentes e créditos é privado;
- preços e guardrails mudaram dentro de nove dias;
- black-box pode elevar consumo sem fórmula reproduzível;
- execução ofensiva exige autorização, contenção e trilha de auditoria;
- integração ampla aumenta o blast radius de credenciais.
A própria documentação reconhece que pentest não garante encontrar todas as vulnerabilidades. (https://help.aikido.dev/pentests/aikido-pentest)
Leitura de mercado
Aikido torna legível uma mudança de categoria: o engagement deixa de ser apenas um projeto anual e passa a combinar baseline, consumo variável e execução por release.
O crédito converte capacidade heterogênea em saldo comercial. O agente lançado é uma proxy pública de consumo, mas ainda não revela compute, revisão humana ou margem. (https://help.aikido.dev/miscellaneous-info/wallet-and-credits)
O drift de 10 para 16 créditos por agente mostra que a unidade ajuda o fornecedor a reajustar economia sem alterar a narrativa do produto.
Ângulo de audit
Esta empresa é um concorrente e uma referência de packaging. A lição mais útil é separar objeto vendido, aplicação e assessment, de capacidade consumida, agentes e créditos.
Um benchmark rigoroso deve registrar data de corte, modalidade de acesso, repositórios, papéis, endpoints, profundidade, agentes lançados, revisão humana, reteste e exceções de escopo.
O teste de claims deve medir cobertura, reprodutibilidade, falso positivo, isolamento, aprovação de exploração e qualidade do relatório. A documentação publicada não substitui um tenant real autorizado.
O que NÃO se sabe
- algoritmo que transforma escopo em agentes ou créditos;
- motivo comercial do drift observado no contínuo;
- custo de compute, validação humana e margem por assessment;
- taxa de falso positivo e cobertura independente;
- horas e composição da revisão humana;
- SLA contratual completo e política de overage;
- receita, clientes, retenção e uso do contínuo;
- fundadores, funding e valuation no recorte coletado;
- controles efetivos do runtime e do broker interno;
- condições fiscais, descontos e negociação enterprise.
Essas lacunas permanecem explícitas para impedir que documentação de produto seja promovida a prova de eficácia, adoção ou segurança operacional.