Ficha · confiança medium
Tipo: empresa
Founders: não encontrado no recorte
Site: www.hacktron.ai
Acha gaps proativamente: parcial
Angulo audit: concorrente
Atende enterprise: parcial
Autonomia: assistido
Categoria declarada: AI white-box penetration testing as a service
Categoria real: pentest white-box agentic com contexto de código, runtime e revisão humana
Comprador: ciso, cto, vp-eng, appsec
Concorrentes nomeados: não encontrado no recorte
Entrega remediacao: parcial
Entregavel: plataforma-saas, agente-autonomo, relatorio, validacao-humana
Expansao: mais repositórios, aplicações, scans recorrentes, Code Review e Automations
Faixa preco: conversão monetária e fórmula não publicadas
Fundacao: não encontrado no recorte
Funding total: não encontrado no recorte
Geografia: não encontrado no recorte
Hq: não encontrado no recorte
Icp: equipes de engenharia e AppSec com código acessível, múltiplos serviços e necessidade de pentest recorrente
Investidores lead: não encontrado no recorte
Motion gtm: sales-led, product-led
Nao e cliente: organização sem acesso autorizado ao código e runtime ou sem créditos para iniciar o scan
Nicho: ofensiva
Origem: pesquisa
Pricing publico: parcial
Roda onde: SaaS conectado a repositórios e targets autorizados
Ultima rodada: não encontrado no recorte
Unidade cobranca: Whitebox Scan credits calculados por escopo
Vertical: horizontal
Wedge: estimativa antes do início para pentest white-box com relatório em até cinco dias na maioria dos casos declarados
Síntese
HackTron combina repositórios, branches, URLs, autenticação e contexto de negócio em um Whitebox Scan. O sistema estima créditos antes do início, detecta aplicações no código, executa agentes e passa achados por revisão humana. (https://docs.hacktron.ai/white-box-pentest/quickstart.md)
O produto expõe um contrato operacional mais claro do que sua economia: estimate e scan usam os mesmos repositórios e branches; o saldo é deduzido ao iniciar; falha de lançamento pode gerar reembolso. Preço do crédito e fórmula permanecem privados. (https://docs.hacktron.ai/white-box-pentest/billing.md)
A aplicação funciona como fronteira de contexto, podendo reunir frontend, APIs, workers e infraestrutura. Ela organiza threat model e exploração, mas a fonte não a declara unidade direta de faturamento. (https://docs.hacktron.ai/platform/context/applications.md)
Posicionamento
Frase-âncora
AI White-box Penetration Testing as a Service
Título da página oficial de produto no snapshot absorvido. (https://www.hacktron.ai/pentests)
Categoria declarada e categoria real
A categoria declarada é pentest white-box como serviço. A leitura real é uma plataforma agentic que usa código e runtime, oferece estimativa assíncrona e acrescenta validação humana ao output. (https://www.hacktron.ai/pentests)
| Camada | Objeto | Papel no posicionamento |
|---|---|---|
| Code Review | contribuições de developers | cobertura contínua de mudança |
| Whitebox Pentest | aplicação ou codebase | assessment ofensivo delimitado |
| Automations | ações de segurança | expansão de workflow |
| plataforma | aplicações e contexto | fronteira compartilhada |
A separação dos três saldos reduz ambiguidade de packaging. Assento, scan e automação são contratos distintos. (https://docs.hacktron.ai/platform/billing.md)
Entregável
O cliente fornece repositório principal, repositórios relacionados, branch ou commit, URLs, instruções de login, credenciais de teste, prioridades, exclusões, rate limits e documentos. (https://docs.hacktron.ai/white-box-pentest/quickstart.md)
Agentes mapeiam arquitetura, fluxos de dados, ameaças e caminhos exploráveis. Pesquisadores validam, deduplicam e confirmam severidade antes do relatório. (https://www.hacktron.ai/pentests)
| Momento | Estado ou saída | Limite |
|---|---|---|
| preparação | Draft | escopo ainda mutável |
| previsão | Estimating | fórmula privada |
| gate | Ready to Start | depende de saldo |
| execução | Running | runtime não auditado |
| fechamento | Completed ou Failed | SLA completo não publicado |
O relatório contém evidência técnica, impacto e orientação de correção. A cobertura declarada inclui web, mobile, backend, API, CLI e código nativo. (https://www.hacktron.ai/pentests)
Oferta e pricing
| Produto | Unidade comercial | Momento de cobrança | Preço público |
|---|---|---|---|
| Code Review | assentos e limites de PR ou MR | assinatura | não capturado |
| Whitebox Scan | créditos de scan | início do scan | conversão ausente |
| Automations | créditos de automação | por ação | não capturado |
Calcular custo não deduz créditos. Iniciar o scan deduz do saldo compartilhado da organização. Saldo insuficiente retorna 402 e exige reduzir escopo ou comprar créditos. (https://docs.hacktron.ai/white-box-pentest/billing.md)
A API retorna total, breakdown por repositório e aplicações detectadas. Uma aplicação grande pode exigir triagem humana paga como porcentagem dos créditos-base. Limiar e porcentagem são privados. (https://docs.hacktron.ai/api-reference/cost-estimations/create-cost-estimation.md)
Números em exemplos do schema são payload ilustrativo. Não constituem tabela de preço e não foram promovidos a faixa comercial.
Mercado e ICP
O fit mais claro é uma organização com código acessível, múltiplos repositórios, targets de runtime e necessidade de combinar arquitetura com exploração. (https://docs.hacktron.ai/white-box-pentest/overview.md)
Cadências publicadas incluem assessment inicial, mensal, trimestral e antes de auditorias. Isso aponta para AppSec, engenharia e compliance como usuários e compradores. (https://docs.hacktron.ai/white-box-pentest/overview.md)
| Sinal de fit | Efeito no escopo |
|---|---|
| vários repositórios | estimate por repo e total |
| várias aplicações | detecção e decomposição |
| runtime autenticado | credenciais e fluxos entram no contexto |
| áreas sensíveis | orientam agentes e revisão |
| saldo limitado | reduz escopo antes do início |
GTM e distribuição
A página comercial vende prazo e validação humana; a documentação permite orquestração por dashboard e API. Isso combina motion assistido com superfície product-led para equipes técnicas. (https://www.hacktron.ai/pentests)
A estimativa antes da cobrança reduz risco de surpresa no início. A ausência de conversão monetária preserva negociação e impede benchmark de preço externo. (https://docs.hacktron.ai/api-reference/cost-estimations/create-cost-estimation.md)
Code Review pode servir de relacionamento contínuo, enquanto Whitebox vira assessment periódico e Automations amplia consumo dentro da organização. (https://docs.hacktron.ai/platform/billing.md)
Como o produto funciona
selecionar repos e branches
-> informar URLs, acesso, prioridades e exclusões
-> resolver commits e detectar aplicações
-> estimar créditos por repo e no total
-> acrescentar triagem humana quando exigida
-> verificar saldo e iniciar com o mesmo snapshot
-> executar agentes e validar achados
-> entregar relatório e orientaçãoA estimativa é assíncrona e se torna imutável ao terminar. Scan e estimate devem referenciar os mesmos repositórios e branches. (https://docs.hacktron.ai/api-reference/cost-estimations/create-cost-estimation.md)
A aplicação agrupa componentes que compartilham autenticação, autorização, tenant ou dados sensíveis. Um repositório pertence a uma aplicação por vez. (https://docs.hacktron.ai/platform/context/applications.md)
Time fundador
O corpus deste ciclo não capturou página corporativa, fundadores ou headcount. Nenhum nome foi inferido.
A existência de pesquisadores humanos vem da página de produto. Ela comprova o papel publicado na entrega, sem revelar tamanho, senioridade, horas ou cobertura de revisão. (https://www.hacktron.ai/pentests)
Funding
Funding, investidores, rodada e valuation não foram encontrados no recorte absorvido.
Essa lacuna impede inferências sobre runway ou capacidade financeira. A documentação de billing sustenta packaging, não receita ou margem. (https://docs.hacktron.ai/platform/billing.md)
Tração
A empresa declara que a maioria dos clientes recebe o relatório em até cinco dias. O corpus não contém denominador, distribuição, SLA ou medição independente. (https://www.hacktron.ai/pentests)
Cadências recorrentes, API de estimate e créditos organizacionais demonstram produto operacional publicado. Não comprovam volume de scans ou retenção.
Não foram capturados clientes nomeados, receita, NPS, ARR ou benchmarks de cobertura nesta absorção.
Concorrência e consolidação
As fontes não nomeiam concorrentes. O mapa competitivo inclui consultorias de pentest, agentes autônomos, plataformas AppSec e ferramentas de code review.
| Arquétipo | Vantagem relativa de HackTron | Pressão sobre HackTron |
|---|---|---|
| consultoria | estimate e automação por código | confiança e flexibilidade humana |
| agente black-box | contexto arquitetural | necessidade de acesso ao código |
| AppSec suíte | profundidade de engagement | consolidação de budget |
| code review | combinação com runtime | custo maior por assessment |
A fronteira por aplicação é útil para competir em ambientes de microserviços, porque evita contar hostnames como produtos independentes. (https://docs.hacktron.ai/platform/context/applications.md)
Enterprise, descoberta proativa e remediação
O produto aceita múltiplos repositórios, autenticação, rate limits e documentos, sinais de adequação a escopo enterprise. A captura não contém SSO, RBAC, audit log ou residência de dados. (https://docs.hacktron.ai/white-box-pentest/quickstart.md)
A descoberta é proativa dentro do engagement, quando agentes mapeiam código, arquitetura e caminhos. A cadência pode ser recorrente, mas não foi demonstrado gatilho automático por cada deploy. (https://docs.hacktron.ai/white-box-pentest/overview.md)
Remediação aparece como orientação no relatório. Não há prova no corpus de patch automático, PR de correção ou reteste incluído. (https://www.hacktron.ai/pentests)
Defensibilidade e riscos
Ativos potenciais são o estimador, a detecção de aplicações, o contexto cross-repo, a orquestração de agentes e o loop de pesquisadores. A documentação não mede precisão ou exclusividade desses ativos.
Riscos principais:
- conversão monetária e fórmula de créditos são opacas;
- estimate pode divergir do esforço real sem métrica pública;
- triagem humana obrigatória usa limiar e percentual privados;
- acesso a código, credenciais e runtime amplia blast radius;
- prazo de cinco dias é claim sem denominador;
- produtos e saldos separados podem aumentar complexidade de compra.
Falha de lançamento pode gerar reembolso automático, mas a política para falha parcial não foi encontrada. (https://docs.hacktron.ai/white-box-pentest/billing.md)
Leitura de mercado
HackTron torna o estimate um objeto de governança. Ele congela repositórios e branches, revela aplicações e cria um gate econômico antes da execução.
A unidade aplicação é técnica; a unidade crédito é comercial; o repositório é uma unidade de decomposição. Essa separação é mais informativa do que cobrar por hostname ou por uma contagem bruta de linhas.
O modelo preserva margem ao esconder pesos e conversão, enquanto oferece ao cliente previsibilidade suficiente para aprovar ou reduzir o escopo.
Ângulo de audit
Como concorrente, HackTron oferece um padrão útil para scoping: vincular estimate e execução ao mesmo snapshot de código e registrar breakdown por repositório.
Um benchmark deve capturar repos, branches, aplicações detectadas, targets, papéis, áreas sensíveis, créditos-base, taxa humana, duração, findings, revisão e reembolso.
Claims técnicos exigem tenant autorizado. Deve-se testar isolamento, proteção de secrets, contenção, repetibilidade, qualidade da validação e desvio entre estimativa e consumo final.
O que NÃO se sabe
- preço de compra e validade do Whitebox Scan credit;
- fórmula de custo por repositório ou aplicação;
- limiar e porcentagem da triagem humana;
- custo interno e margem por engagement;
- política de falha parcial, cancelamento e overage;
- taxa de falso positivo e cobertura independente;
- quantidade e senioridade dos pesquisadores;
- clientes, receita, retenção e volume de scans;
- fundadores, funding e investidores no recorte;
- controles enterprise de identidade, log e residência;
- disponibilidade de reteste ou patch automático.
Essas lacunas permanecem no texto para separar mecanismo publicado de eficácia, adoção e economia não verificadas.