A Drael roda seu exploit no servidor dela. Isso é uma falha

A Drael roda no próprio servidor o código que o modelo dela escreve, e vende isso como o recurso principal. Para trabalho de segurança, é uma falha de projeto. O alvo vê o endereço da Drael, o seu escopo não lista esse endereço, os passos intermediários ficam escondidos de você e os termos fazem você responder pelo resultado.

Dados coletados em 9 e 10 de novembro de 2026 no site da Drael, na documentação de ferramentas e nas páginas legais dela, e nos preços da NotHoly. Não abrimos conta na Drael nem rodamos o sandbox dela; tudo o que vem abaixo é citação das páginas públicas.

#O que a Drael vende

A home resume em uma frase: "It writes the scanner, the exploit, the fix nothing else will, and the sandbox behind it is real: the network is a flag on the call, not a permanent no." Em português: ele escreve o scanner, o exploit e a correção que nenhum outro escreve, e o sandbox por trás é real: a rede é uma flag na chamada, e não uma proibição permanente. A ferramenta é o run_code. Ela executa Python ou bash em um container na infraestrutura da Drael, dentro de um loop no servidor de até dez turnos do modelo.

Propriedade do run_code	Valor na documentação da Drael
Onde roda	Servidor da Drael, um container por execução
Rede	Desligada por padrão, ligada com network na chamada
Duração	30 segundos por padrão, 5 minutos no máximo
Loop no servidor	Até 10 turnos; "You never see the intermediate turns" (você nunca vê os turnos intermediários)
Arquivos	"Files persist across calls in the same session" (persistem entre chamadas da mesma sessão)
Concorrência	"One run at a time" (uma execução por vez) por conta

O container protege o host da Drael do seu código. Ele não faz nada pelo host que está do outro lado da flag network, que recebe os mesmos pacotes vindos de um endereço que pertence à Drael.

#De quem é o IP que chega ao alvo

Da Drael. A página de privacidade dela diz isso sobre as buscas de página: "A page you ask it to fetch sees a request from our server." A página que você manda buscar enxerga uma requisição do servidor deles. Código que roda no container com a rede ligada sai pelo mesmo lado.

Passo	Na Drael	Na NotHoly
Ler uma página pública	web_fetch, a partir do servidor da Drael, "including sites behind bot protection" (inclusive sites atrás de proteção contra bots)	read_url, só páginas públicas, por uma saída protegida contra SSRF
Mandar tráfego para um host	run_code com network ligada, a partir do container da Drael	Nenhuma ferramenta do servidor faz isso; o CLI roda na sua máquina, do seu IP, depois da sua aprovação
Chegar a um .onion	web_fetch via Tor	A busca lista os resultados e nunca abre o .onion
Tratar um arquivo	Anexado a um workspace no servidor onde o código do modelo roda	Arquivos enviados são analisados em um sandbox gVisor e nunca executados
Ver cada passo	Até 10 turnos no servidor que você não vê	Cada comando chega até você para aprovação

O blue team do cliente trabalha com uma lista de endereços de origem. Tráfego de um endereço fora dessa lista é incidente, e vai ser tratado como incidente.

#Por que isso quebra o escopo

As regras de engajamento dizem de onde o teste parte. O NIST SP 800-115, no Apêndice B, lista IPs autorizados e não autorizados na seção 4 e os locais de onde o teste está autorizado na seção 2.3, com assinaturas na seção 7. O PTES pede um Permission to Test assinado e aprovação separada quando há terceiros envolvidos.

Você não pode declarar os endereços da Drael como seus, e o operador dela não é parte do seu contrato. O operador não é nomeado nem nos próprios termos, então você não conseguiria incluí-lo na papelada nem se quisesse.

Leis como o 18 USC 1030, nos Estados Unidos, e o artigo 154-A do Código Penal brasileiro giram em torno de autorização. Se uma autorização que lista os seus endereços cobre tráfego saído do endereço de outra pessoa é pergunta para o seu advogado, e você não quer estar fazendo essa pergunta depois que o SOC do cliente abrir um chamado.

#A evidência não é sua

Um relatório precisa dizer o que foi enviado, quando, de onde e o que voltou. A documentação da Drael diz "You never see the intermediate turns". O que você recebe é o relato do modelo sobre o que ele fez. O OWASP LLM Top 10 chama essa classe de problema de LLM06, Excessive Agency: um loop que executa ações de rede sem ponto de controle.

Os dados também ficam para trás. A página de privacidade lista o que é guardado: "Your conversations, image prompts, the code you ran and your instructions" (conversas, prompts de imagem, o código que você rodou e suas instruções), mais "The files your code wrote, in that conversation's workspace, for up to three days after it was last used." São os arquivos que o seu código gravou, mantidos por até três dias depois do último uso, e o relógio recomeça cada vez que você usa. O NIST SP 800-115 pede regras documentadas para armazenar e destruir dados de teste (seção 7.4). Na Drael, a saída dos sistemas de um cliente fica em um disco operado por um vendedor que você não consegue nomear. Se você apagar, a mesma página diz que as cópias em backup "leave as backups are rotated" (saem conforme os backups são rotacionados), num cronograma que ela não informa.

#Quem responde quando o cliente liga

Você. Os termos da Drael dizem que rodar uma resposta ou agir com base nela "is your decision and your risk" (é decisão sua e risco seu), e que "If someone makes a claim against the operator because of how you used Drael or what you did with an answer, you take responsibility for it, including the reasonable cost of defending it." Se alguém acionar o operador por causa do seu uso ou do que você fez com uma resposta, a responsabilidade é sua, incluído o custo razoável da defesa.

Então o servidor da Drael manda o tráfego e os termos passam a conta para você, com os custos de defesa do operador incluídos. A responsabilidade da própria Drael para em três meses de pagamentos. Os mesmos termos acrescentam que "Nothing Drael says is legal, medical, financial or security advice." (nada do que a Drael diz é aconselhamento jurídico, médico, financeiro ou de segurança). O restante está na nossa leitura dos termos.

#Onde a execução deve ficar

A NotHoly mantém a inferência do nosso lado e a execução do seu. Nenhuma ferramenta do servidor faz scan, explora ou manda tráfego ativo para terceiros. O CLI roda comandos na sua máquina, cada um com a sua aprovação, a partir do endereço que as suas regras de engajamento já listam, e o registro fica no histórico do seu shell e na sua captura de pacotes.

Com isso, rodar e conter o ambiente fica por sua conta, que é o que quem testa já faz. Os seus prompts continuam indo para a inferência do nosso lado: o conteúdo da API não é gravado, só metadados, e o histórico do chat fica salvo a menos que você escolha um chat efêmero. Como isso se encaixa no trabalho real está em pentest, red team e na página do harness.

#Para quem cada um serve

O sandbox no servidor da Drael serve a quem trabalha sozinho, quer que o modelo rode o próprio código e busque páginas sem montar uma máquina, e não está mandando esse tráfego para o sistema de mais ninguém. A NotHoly serve a trabalho com escopo assinado: inferência do nosso lado, execução do seu, cada comando rodado do seu próprio endereço depois que você aprova, com o registro no histórico do seu shell e na sua captura de pacotes. A troca é que você monta e contém o seu próprio ambiente, que é o que um testador faz de qualquer jeito.

#Perguntas frequentes

#Qual IP o alvo vê quando uma IA roda código?

O IP de onde o código roda. Com a Drael, é o servidor da Drael. Com um CLI na sua máquina, é o seu.

#Posso usar uma IA que roda código em um pentest?

Pode, desde que ela execute de um local que as suas regras de engajamento listam e que você consiga registrar cada comando. Uma ferramenta hospedada que manda o tráfego por conta própria precisa antes da aprovação por escrito do cliente.

#Por quanto tempo a Drael guarda os arquivos do run_code?

Até três dias depois do último uso, segundo a página de privacidade dela, e o código que você rodou fica guardado junto com o seu histórico.

#Quem responde se uma IA hospedada atingir o alvo errado?

Os termos da Drael colocam em você as reclamações sobre o seu uso, incluídos os custos razoáveis de defesa do operador.

#A NotHoly executa código nos servidores dela?

Não. A infraestrutura não toca em alvos, e os arquivos enviados são analisados sem serem executados.

#Veredito

A execução no servidor é o recurso que a Drael põe na frente e o motivo pelo qual ela não pode ser usada em um cliente. Ela esconde os passos, envia de um endereço fora do seu escopo, guarda a saída e atribui a responsabilidade a você. Nós decidimos não construir isso. Se o seu trabalho tem escopo assinado, leia como o CLI trata a aprovação, faça uma recarga de US$ 5 pela página de preços da NotHoly e mantenha os pacotes saindo do seu próprio endereço. Por que profissionais não rodam engajamentos na Drael aplica o mesmo teste ao resto do produto.