Pular para o conteúdo
LeavoryLeavory Docs

Governança na era da IA

Os assistentes de IA mudaram o jeito de escrever software. Um desenvolvedor gera em minutos o que antes levava um dia: um serviço novo, um Dockerfile, uma pipeline, um conjunto de dependências. O código compila, os testes passam, e ele entra.

O que não mudou é tudo em volta do código. Alguém ainda precisa saber o que existe, de que depende, quem pode mexer, em que roda em produção e se carrega uma falha conhecida. Quando o código é produzido mais rápido do que é revisado, esse conhecimento é a primeira coisa que se perde.

O Leavory não freia a IA. Ele é a camada de governança que mantém visível e sob controle o que a IA produz, do repositório à produção, seja quem for (ou o que for) o autor.

O que o código gerado por IA traz junto

Seção intitulada “O que o código gerado por IA traz junto”
O que acontece Por que importa O que o Leavory faz
Dependências adicionadas sem revisão. O assistente sugere pacotes e versões a partir do que viu no treinamento: às vezes desatualizados, às vezes vulneráveis, às vezes pacotes que ninguém do time conhece Cada dependência nova é superfície de ataque nova, e versão antiga traz de volta CVEs conhecidas O Workspace lista os pacotes de cada repositório, e os scans mostram quais têm vulnerabilidades conhecidas, com as de exploração ativa primeiro
Imagens base antigas copiadas para o Dockerfile. Os exemplos que o modelo aprendeu apontam para versões de anos atrás A imagem vai para produção com todas as falhas publicadas desde então A aba Dockerfile escaneia a imagem base de cada pipeline; Container Registry e Kubernetes mostram o que roda de fato
Segredos no código. Exemplos gerados costumam vir com chaves e senhas escritas direto Um segredo commitado uma vez fica no histórico O scan do Trivy aponta segredos expostos no código e na imagem, e o card do build mostra a contagem a cada execução
Mais repositórios e pipelines, mais rápido. Criar um serviço novo agora é um prompt Ninguém mantém a lista em dia: dono, finalidade, se ainda está vivo A descoberta automática do Azure DevOps e do GitHub mantém o inventário de projetos, repositórios, branches e pipelines atualizado, sem cadastro manual
Mudanças feitas às pressas, com acesso amplo. Para destravar um agente ou uma automação, alguém dá mais permissão do que precisa O acesso se acumula e ninguém sabe quantos administradores existem O Workspace mostra os grupos e membros de cada projeto, e administradores demais aparecem
“Passou nos testes” vira a única régua. Teste verifica comportamento, não a idade nem a gravidade das falhas que estão dentro O Security Gate transforma a política de correção da empresa em regra em todo build: falha crítica fora do prazo não chega ao registry, não importa quem escreveu o código

Guard rails que não dependem de quem escreveu o código

Seção intitulada “Guard rails que não dependem de quem escreveu o código”

O Leavory não tenta separar código de IA de código humano. Nem precisa: os controles valem para o que chega à pipeline e à produção, que é onde o risco de fato aparece.

  • Visibilidade: inventário, dependências, imagens e acessos da organização inteira num lugar só.
  • Política como regra: prazos de correção aplicados pela pipeline, não por um documento que ninguém lê.
  • Evidência: cada achado datado e rastreável, pronto para a auditoria.
  • Só leitura por design: o Leavory lê o Azure DevOps e o GitHub com permissões mínimas (Azure DevOps, GitHub) e nunca altera código, pipelines ou permissões.

A IA do lado certo

Seção intitulada “A IA do lado certo”

O Leavory também usa IA, com guard rails. O Ask Leavory explica cada achado e o que mudar primeiro, em cima dos dados que o Workspace já coletou e priorizou. A IA ajuda a corrigir; a decisão e a política continuam com o seu time.

Para onde ir agora

Seção intitulada “Para onde ir agora”