Alerta de Spoiler de Vulnerabilidade

Saiba sobre patches de segurança antes do CVE ser divulgado.

Ver Site Ao Vivo | Inscrever-se via RSS

Um hub de monitoramento que observa repositórios populares de código aberto e usa IA para detectar quando commits estão corrigindo vulnerabilidades de segurança - muitas vezes antes mesmo de um CVE ser atribuído. As descobertas são publicadas em um site com tema retrô e feed RSS.

Origem e Inspiração

Este projeto é um exemplo de uso de spaceraccoon/vulnerability-spoiler-alert-action por Eugene Lim (@spaceraccoon).

O conceito original e a pesquisa estão documentados no post do blog Descobrindo Dias Negativos: Workflows de LLM para Pesquisa de Vulnerabilidades , que explora o uso de LLMs para identificar patches de segurança antes que CVEs sejam atribuídos - transformando o típico "zero-day" em um "negative-day" ao capturar vulnerabilidades na janela entre a chegada da correção e a divulgação pública.

Como Funciona

                Every 6 hours
                      |
                      v
  +-------------------------------------------+
  |           GitHub Actions Cron             |
  +-------------------------------------------+
                      |
                      v
  +-------------------------------------------+
  |  vulnerability-spoiler-alert-action       |
  |  scans repos listed in the workflow       |
  +-------------------------------------------+
                      |
                      v
  +-------------------------------------------+
  |  Claude AI / OpenAI analyzes each diff   |
  |  - Is this a security patch?              |
  |  - What vulnerability does it fix?        |
  |  - Can we write a PoC exploit?            |
  +-------------------------------------------+
                      |
                      v
  +-------------------------------------------+
  |  Create GitHub Issue with full analysis   |
  +-------------------------------------------+
                      |
                      v
  +-------------------------------------------+
  |  Rebuild website + RSS                    |
  |  Deploy to GitHub Pages                   |
  +-------------------------------------------+

Repositórios Monitorados

Verificando Descobertas

Adicione labels às issues para classificar as descobertas:

Uma descoberta com true-positive mas sem o label cve:CVE-… é verificada — confirmada real mas ainda na janela de "negative-day" antes de um CVE ser lançado. O verificador de CVE continua reverificando as descobertas verificadas até que um CVE seja correspondido.

O site é reconstruído automaticamente quando labels são adicionadas ou removidas.

Configuração

1. Faça um fork deste repositório

Clique no botão Fork no canto superior direito.

2. Adicione secrets

Vá para Settings > Secrets and variables > Actions e adicione um dos seguintes:

O GITHUB_TOKEN é fornecido automaticamente pelo GitHub Actions. Você só precisa adicionar a chave do provedor de IA que pretende usar.

Atualize monitor.yml para especificar seu provedor e modelo preferidos.

3. Habilite o GitHub Pages

Vá para Settings > Pages e defina a fonte como GitHub Actions.

4. Habilite os workflows

Vá para a aba Actions e habilite os workflows. O monitor é executado a cada 6 horas automaticamente.

Você pode acioná-lo manualmente via Actions > Monitor Vulnerabilities > Run workflow.

Configuração

Repositórios Monitorados

Edite o array JSON repositories em .github/workflows/monitor.yml para adicionar ou remover repositórios.

Agendamento Cron

Por padrão, o monitor é executado a cada 6 horas. Edite a expressão cron em .github/workflows/monitor.yml:

schedule:
  - cron: '0 */6 * * *'  # Every 6 hours

Arquitetura

• Zero dependências - o script de construção do site usa apenas APIs internas do Node.js
• Site estático - HTML simples + RSS, implantado via GitHub Pages
• Tema GeoCities - porque os avisos de segurança merecem o tratamento da Web 1.0

Licença

Licença MIT - veja LICENSE para detalhes.

Aviso Legal

Esta ferramenta é apenas para pesquisa de segurança defensiva e testes de segurança autorizados. Sempre siga práticas de divulgação responsável.