Ficha · confiança medium
Tipo: empresa
Site: bugbunny.ai
Acha gaps proativamente: sim
Angulo audit: concorrente
Atende enterprise: parcial
Autonomia: age-com-aprovacao
Categoria declarada: AI cybersecurity hire with agency
Categoria real: pentest autônomo, AppSec e remediação assistida
Comprador: ciso, cto, vp-eng
Concorrentes nomeados: XBOW, Aikido, Novee, Penligent, Strix
Entrega remediacao: sim
Entregavel: plataforma-saas, agente-autonomo, relatorio
Expansao: piloto para PAYG ou um target contínuo; mais targets e jobs exigem delimitação comercial
Faixa preco: piloto US$ 0; PAYG US$ 100/mês mais wallet; Continuous Bunny US$ 2.990/mês
Geografia: global
Icp: equipes de software que precisam delegar pentest, investigação e remediação com gates humanos
Motion gtm: sales-led, bottom-up
Nicho: ofensiva
Origem: pesquisa
Pricing publico: sim
Roda onde: plataforma SaaS conectada ao target, repositório, CI e canais Slack ou Teams
Tem entrada gratis: sim
Unidade cobranca: scan e consumo no PAYG; software target no Continuous Bunny
Vertical: horizontal
Wedge: piloto gratuito de quatro semanas para equipes selecionadas
Síntese
BugBunny apresenta uma força de trabalho de segurança por IA que recebe jobs, acessa ferramentas autorizadas e escala decisões para um gerente humano. (https://bugbunny.ai/)
A oferta combina um piloto gratuito de quatro semanas, consumo PAYG e um plano contínuo de US$ 2.990 por mês para um software target. (https://bugbunny.ai/continuous-bunny-bug-scan)
Funding, sede, fundação, founders e clientes comerciais verificáveis não foram encontrados nas fontes consultadas.
A empresa importa para o mapa porque junta execução ofensiva, correção e aprovação humana em unidades comerciais diferentes.
Posicionamento
Frase-âncora
Your AI cybersecurity hire. With agency.
Hero observado na home em 26/09/2026. (https://bugbunny.ai/)
AI cybersecurity hire with agency é uma tentativa de ampliar a categoria de pentest autônomo para trabalho delegado de segurança.
A categoria real combina pentest autônomo, AppSec, investigação de cloud e identidade e remediação assistida.
A home descreve seis jobs: patching proativo, governança de acesso, segurança de pull request, resposta a incidente em cloud, pentest e remediação. (https://bugbunny.ai/)
O JTBD é tirar trabalho de segurança da fila e executá-lo com contexto, evidência e pontos de aprovação.
O why-now declarado é a insuficiência de equipes humanas para acompanhar código, cloud e identidades em mudança contínua.
A tese de precision over volume contrapõe findings validados a alertas numerosos sem prova. (https://bugbunny.ai/blog/precision-over-volume)
As páginas de comparação nomeiam XBOW, Aikido, Novee, Penligent e Strix, mas não foram usadas como prova independente de superioridade. (https://bugbunny.ai/xbow-alternative)
Entregável
No piloto, o cliente escolhe um gerente humano, define jobs, acessos e ações que exigem aprovação.
No audit PAYG, a execução passa por Recon, Enumerate, Exploit, Verify e Report. (https://bugbunny.ai/blog/how-to-use-bugbunny)
No Continuous Bunny, a promessa inclui quatro scans por dia, integração com GitHub, patch PR verificado e scan de verificação. (https://bugbunny.ai/continuous-bunny-bug-scan)
| O que o produto faz sozinho | O que exige aprovação humana | O que sobra pro cliente |
|---|---|---|
| Reconhece, enumera, tenta explorar, verifica e reporta dentro do target autorizado | Definição do target, papel, rate limit, exclusões e credenciais | Confirmar titularidade, autorização e tolerância operacional |
| Executa scans e produz evidência reproduzível | Ações consequenciais e mudanças em produção sobem para o gerente | Adjudicar impacto e ordenar a correção |
| Pode gerar patch PR e novo scan no plano contínuo | Revisão humana pode ocorrer antes da criação do PR; não há auto-merge | Revisar, testar e aprovar merge e deploy |
O dia 90 pode envolver um target conectado continuamente, mas a fonte não publica quantidade de repositórios, ambientes ou aplicações incluídas.
Oferta e pricing
| Oferta | Preço publicado | Unidade | Frequência | Limite principal |
|---|---|---|---|---|
| Piloto | US$ 0 | equipe selecionada | quatro semanas | franquia e capacidade não publicadas |
| PAYG | US$ 100/mês mais wallet | scan concluído | sob demanda | consumo varia por trabalho |
| Continuous Bunny | US$ 2.990/mês | um software target | quatro scans por dia | regra de target não publicada |
O piloto é uma porta de aquisição assistida, sujeita a seleção. (https://bugbunny.ai/)
O PAYG concede US$ 100 de crédito inicial a novas contas e debita agentes, modelos, browsers, validação e reporting da wallet. (https://bugbunny.ai/blog/pay-as-you-go-security-scanning)
O Continuous Bunny publica preço e cadência, mas não define quando subdomínios, APIs, ambientes e repositórios pertencem ao mesmo target. (https://bugbunny.ai/continuous-bunny-bug-scan)
O guia técnico começa por URL ou IP. Essa entrada não deve ser convertida automaticamente na unidade contratual do contínuo. (https://bugbunny.ai/blog/how-to-use-bugbunny)
Prazo máximo, concorrência, teto da wallet, expiração, overage e SLA não foram encontrados.
Mercado e ICP
O ICP público são equipes de software com jobs de segurança acumulados e capacidade humana limitada.
CTO, VP Engineering e CISO são compradores plausíveis pela natureza dos jobs, mas a pessoa que assina o contrato não foi nomeada nas fontes.
As superfícies cobrem código, cloud, identidade, incidente e pentest, indicando atuação horizontal. (https://bugbunny.ai/)
Nenhum cliente comercial foi nomeado de forma verificável.
Logos de Google, Meta, Microsoft, React, ClickHouse e Qlib aparecem como reconhecimento de pesquisa e não são classificados como clientes.
Quem a empresa explicitamente não atende: não encontrado.
Localização da sede e geografia contratual: não encontrado.
GTM e distribuição
O piloto gratuito cria um movimento sales-led com descoberta conjunta de jobs, acessos e gates. (https://bugbunny.ai/)
O PAYG permite uma entrada menor por taxa de plataforma e wallet, aproximando o motion de bottom-up. (https://bugbunny.ai/blog/pay-as-you-go-security-scanning)
O contínuo expande a conta por target conectado e integração de repositório. (https://bugbunny.ai/continuous-bunny-bug-scan)
Slack e Teams funcionam como interface de colaboração e escalada para o gerente humano.
Marketplace, canal MSP, revenda, presença em eventos e programa formal de parceiros não foram encontrados nas fontes consultadas.
O referral program aparece no sitemap, mas sua economia não foi adjudicada neste corte. (https://bugbunny.ai/referral-program)
Como o produto funciona
O cliente começa por um target autorizado, descrito no guia como URL ou IP. (https://bugbunny.ai/blog/how-to-use-bugbunny)
Pode fornecer HAR não sanitizado, OpenAPI, Postman, Burp, logs e configurações.
Também define papel, rate limit, credenciais, instruções e exclusões.
O workflow documentado segue Recon, Enumerate, Exploit, Verify e Report.
No PAYG, o consumo depende de profundidade, follow-ups, agentes, modelos, browsers, validação e relatório. (https://bugbunny.ai/blog/pay-as-you-go-security-scanning)
No contínuo, o target fica conectado ao GitHub e recebe quatro scans diários. (https://bugbunny.ai/continuous-bunny-bug-scan)
O produto pode propor patch em pull request, aguardar revisão e executar verification scan.
A implementação interna, os modelos usados, o isolamento por cliente e a arquitetura de dados não foram publicados.
Time fundador
Founders nomeados: não encontrado.
Sede: não encontrado.
Ano de fundação: não encontrado.
Headcount: não encontrado.
Vagas nomeadas: não encontrado na home, no sitemap e no índice de descoberta consultado.
A ausência é limitada às fontes, pois o índice cyber-jobs não representa um censo completo. (https://github.com/koronkowy/cyber-jobs/blob/main/jobs.json)
Os sinais de GitHub, CI, AWS, CloudTrail, IAM, Slack, Teams, browsers e agentes vêm do produto, não de descrições de vaga.
Funding
| Data | Estágio | Valor | Valuation | Lead | Participantes | Fonte |
|---|---|---|---|---|---|---|
| não encontrado | não encontrado | não encontrado | não encontrado | não encontrado | não encontrado | home e sitemap consultados em 26/09/2026 (https://bugbunny.ai/) |
Funding total, última rodada, investidores e valuation permanecem desconhecidos.
A falta de funding público não informa receita, caixa ou independência financeira.
Tração
-
110 CVEs rastreados, observado em 25/09/2026: autodeclarado pela empresa. (https://bugbunny.ai/hall-of-fame)
-
CVSS máximo 10,0 na mesma página: autodeclarado.
-
100% de aprovação humana declarado no Hall of Fame: autodeclarado, sem detalhar o universo de ações. (https://bugbunny.ai/hall-of-fame)
-
Percentil 25 de US$ 7,22 por scan PAYG em junho de 2026: autodeclarado.
-
Mediana de US$ 17,39, média de US$ 32,11 e percentil 75 de US$ 45,80 no recorte: autodeclarado. (https://bugbunny.ai/blog/pay-as-you-go-security-scanning)
-
8.958 scans concluídos no benchmark histórico: autodeclarado com reconfirmação pendente, pois o denominador não aparece no texto da captura material atual.
-
85 URLs no sitemap de 25/09/2026: observado tecnicamente, sem relação automática com tração comercial. (https://bugbunny.ai/sitemap.xml)
Clientes, ARR, retenção, conversão do piloto e número de targets pagos não foram encontrados.
Concorrência e consolidação
A empresa publica páginas de alternativa para XBOW, Aikido, Novee, Penligent e Strix. (https://bugbunny.ai/novee-alternative)
Essas páginas mostram o conjunto competitivo escolhido pela BugBunny e permanecem fonte interessada.
A tese competitiva combina autonomia, gerente humano, preço de entrada e remediação.
Pentest manual, scanners e filas internas também funcionam como alternativas de processo.
Aquisições e valores de consolidação no nicho não foram encontrados nas fontes deste dossiê.
O plano contínuo pode competir com plataformas de pentest autônomo e com capacidade de AppSec interna.
Enterprise, descoberta proativa e remediação
Atende enterprise: parcial. A oferta aceita contextos, papéis, GitHub, cloud e gates compatíveis com software corporativo, mas não há cliente enterprise nomeado nem contrato de seis ou sete dígitos. (https://bugbunny.ai/)
Acha gaps proativamente: sim. O Continuous Bunny promete quatro scans por dia contra um target conectado, sem depender de um novo pedido manual para cada execução. (https://bugbunny.ai/continuous-bunny-bug-scan)
Entrega remediação: sim. O plano contínuo publica patch PR, revisão opcional e verification scan. A aplicação e aprovação da mudança continuam com o cliente.
A classificação vale para a capacidade publicada, não garante que todos os três elementos estejam incluídos no piloto ou PAYG.
Defensibilidade e riscos
Os ativos observáveis são o workflow de agentes, integração com ferramentas, dados de execução e histórico de pesquisa.
O gerente humano pode criar confiança operacional e também introduz custo de entrega que o preço público não explica.
A wallet reduz barreira de entrada, mas transfere incerteza de consumo para o cliente.
Software target sem regra contratual cria risco de disputa de escopo.
O risco de plataforma é a absorção de pentest, patch e verification por AppSec, code security ou fornecedores maiores.
O risco de métrica aparece nos percentis próprios, no denominador de 8.958 pendente e na ausência de clientes verificáveis.
Leitura de mercado
BugBunny mostra que uma mesma tese de produto pode ser empacotada como piloto, consumo e assinatura por target.
A evidência sustenta que o card comercial pode ser simples quando cada card tem uma unidade explícita.
A fonte também mostra que a clareza do nome não resolve a composição: URL, IP, scan e software target continuam diferentes.
Para a BlackArrow, a lição é publicar um resultado e uma unidade de compra, mantendo aplicações, ambientes, papéis, integrações e capacidade no anexo.
A tese seria contrariada se o mercado exigisse somente horas humanas ou se a unidade de target se mostrasse impraticável em aplicações modernas.
Ângulo de audit
BugBunny é concorrente na execução autônoma de pentest e remediação para equipes de software.
Pode funcionar como referência de packaging, mas não deve ser usada como benchmark de preço sem normalizar target, frequência, assistência e profundidade.
O que NÃO se sabe
- regra contratual de software target;
- agrupamento de domínios, subdomínios, APIs, ambientes e repositórios;
- SLA, duração, concorrência e reagendamento;
- limite, expiração e overage da wallet;
- quantidade e papel dos especialistas humanos;
- escopo e janela do verification scan;
- funding, founders, sede e headcount;
- clientes, ARR, churn e retenção;
- conversão entre piloto, PAYG e contínuo;
- validação independente da eficácia e dos números agregados.
Fontes nucleares: home (https://bugbunny.ai/), oferta contínua (https://bugbunny.ai/continuous-bunny-bug-scan), PAYG (https://bugbunny.ai/blog/pay-as-you-go-security-scanning), guia (https://bugbunny.ai/blog/how-to-use-bugbunny), Hall of Fame (https://bugbunny.ai/hall-of-fame), disclosure (https://bugbunny.ai/responsible-disclosure), precisão (https://bugbunny.ai/blog/precision-over-volume), sitemap (https://bugbunny.ai/sitemap.xml) e robots (https://bugbunny.ai/robots.txt).