Por que profissionais não rodam engajamentos na Drael

Um engajamento para cliente precisa de um fornecedor que você consiga nomear, de tráfego saindo de endereços que estão no escopo, de um registro que outra pessoa possa auditar e de uma resposta clara sobre os dados do cliente. A Drael falha nos quatro pontos nas próprias páginas públicas. Na nossa leitura do site, ela é construída e vendida como um chatbot de consumo para quem não quer ouvir perguntas, e não deixaríamos os sistemas de um cliente perto dela.

Dados coletados em 9 e 10 de novembro de 2026 no site da Drael, na documentação e nos termos dela, e nos preços da NotHoly. Não abrimos conta na Drael, então esta é uma análise do que a Drael publica.

#A avaliação de fornecedor em que a Drael não passaria

Todo cliente com processo de compras manda um questionário antes de uma ferramenta encostar nos dados dele. Estas são as primeiras perguntas de sempre, respondidas com as páginas públicas da Drael.

Pergunta	Drael	NotHoly
Quem é a parte contratante?	"the operator", sem empresa, registro ou endereço	Nomeada nos termos pelo CNPJ, com lei aplicável e foro
De onde sai o tráfego de teste?	Do servidor da Drael, para run_code, web_fetch e breach_lookup	Da sua máquina, pelo CLI, depois da sua aprovação
Dá para ver o que a ferramenta fez?	"You never see the intermediate turns" (você nunca vê os turnos intermediários)	Cada comando é mostrado a você antes de rodar
Organizações, papéis, log de auditoria?	Não constam na documentação pública	No console, com chaves com limite e workspaces
DPA e suboperadores nomeados?	Não constam na documentação pública	Sem DPA publicado
Certificação de segurança?	Nenhuma declarada	Sem SOC 2 nem ISO 27001
Onde se reporta uma vulnerabilidade?	security.txt devolve 404	security.txt publicado e página de segurança
Como se fala com o suporte?	Uma caixa de e-mail e um servidor no Discord; o link Help exige login	Página de contato, e-mail na conta

A NotHoly também não passa em todas as linhas: não temos DPA publicado nem certificação, e a página de confiança diz isso. A diferença é que existe uma empresa para quem mandar o questionário.

#Regras de engajamento pedem nomes e endereços

O NIST SP 800-115 coloca os IPs de origem autorizados e os locais de teste nas regras de engajamento, assinadas pela gestão e pelo líder do teste. O glossário do NIST define o termo do mesmo jeito, e o PTES pede aprovação separada quando há um terceiro envolvido.

As ferramentas da Drael enviam a partir do servidor da Drael. A página de privacidade dela diz "A page you ask it to fetch sees a request from our server." A página que você manda buscar enxerga uma requisição do servidor deles. Você não consegue listar esses endereços em um escopo, porque não encontramos lista deles na documentação, e não consegue incluir o operador no contrato, porque os termos não dizem quem ele é. As consequências estão no nosso post sobre execução no servidor.

#Dados de cliente, sem contrato que os cubra

Pelo artigo 28 do GDPR, um operador trabalha sob contrato escrito. Na LGPD, o artigo 39 manda o operador seguir as instruções do controlador e o artigo 42 torna os dois solidariamente responsáveis. Não encontramos DPA, contrato de tratamento nem suboperador nomeado em nenhuma página pública da Drael.

O que encontramos foi uma página de privacidade que diz "nothing you ask goes to a third party's API" (nada do que você pergunta vai para a API de um terceiro) e, poucas linhas abaixo, que a consulta de vazamentos "sends the identifier you asked about to the lookup service and the databases it consults" (manda o identificador consultado para o serviço de busca e as bases que ele consulta). A documentação de ferramentas diz que a geração de imagem "is cash at a provider per attempt" (é dinheiro pago a um provedor a cada tentativa). Quais terceiros recebem o quê é uma pergunta que as páginas da Drael levantam e não respondem. É por esse motivo que o OWASP LLM Top 10 lista "Unclear T&Cs and data privacy policies of the model operators" (termos e políticas de privacidade pouco claros dos operadores de modelos) em LLM03.

O IBM Cost of a Data Breach Report 2025 encontrou shadow AI em 20% das organizações estudadas, somando até US$ 670.000 a um vazamento, com 63% sem governança de IA. Um consultor que cola dados de um cliente em uma conta sem e-mail, sem empresa e sem contrato é essa estatística.

#Uma conta que ninguém consegue administrar

Uma conta na Drael é um nome, uma senha e um código. Não há e-mail, então não há endereço para um aviso de incidente. Não há organização, então um prestador que sai leva a conta e tudo o que está nela. Todos os planos permitem quatro respostas simultâneas, e o conselho da documentação para ter mais é "separate accounts" (contas separadas).

A documentação também descreve o serviço do qual uma equipe dependeria: "Everybody being served at once shares one machine" (todo mundo atendido ao mesmo tempo divide uma máquina), e a página de status mostra um contador de requisições "since the server last started" (desde a última vez que o servidor subiu), sem histórico de incidentes. Na nossa opinião, isso é uma implantação em escala de hobby, e a Drael não publica SLA que diga o contrário.

#Para quem o produto é feito

O título da home é "Nothing It Won't Answer" (nada que ele não responda). Os três números do hero são zero respostas recusadas, um dia como plano mais barato e nenhum dado pessoal. Ela promete imagens com "nothing blurred" (nada borrado) e "the OSINT nobody else will run" (o OSINT que ninguém mais roda). Nada na página fala de escopo, cliente, relatório ou equipe.

Lemos isso como um discurso para um indivíduo que quer uma IA sem perguntas, e o produto combina com ele: cadastro anônimo, passe diário, geração de imagem, Discord como suporte. Não achamos que tenha sido construído para trabalho profissional, e não encontramos página em que a Drael diga que foi. O post sobre o site da Drael examina a copy e a construção do site.

#Para quem cada um serve

A Drael serve a um hobby: conta pessoal, passe de um dia, geração de imagem e um Discord, sem cliente nem escopo na história. A NotHoly serve a um engajamento que alguém está pagando: uma empresa no contrato, comandos que rodam do seu próprio endereço, um modelo que você consegue nomear e uma conta que a equipe consegue administrar. A NotHoly não tem DPA publicado nem certificação, então um cliente que exige isso deve perguntar antes pela página enterprise.

#Perguntas frequentes

#Qual é a melhor IA para pentest profissional?

Uma que execute a partir dos seus endereços, nomeie o modelo de um jeito que você possa citar e se nomeie em um contrato. A NotHoly é construída em torno disso; veja pentest.

#Uma empresa pode usar a Drael?

Nada a impede de comprar um plano. Ela estaria comprando de um vendedor sem nome, sem recursos de equipe, sem DPA e com uma indenização que corre a favor do vendedor.

#O que o contrato de uma ferramenta de pentest deve incluir?

Uma contraparte nomeada, lei aplicável, condições de tratamento de dados e uma declaração clara de onde a ferramenta executa e do que ela guarda.

#A NotHoly tem DPA?

Publicado, não. Peça pela página enterprise se o seu cliente exigir.

#É legal usar IA uncensored em um engajamento para cliente?

O modelo raramente é a questão jurídica. Permissão, escopo e tratamento de dados são, e dependem de onde a ferramenta roda e de quem a opera.

#Veredito

A Drael não pode ser nomeada em um contrato, listada em um escopo nem auditada depois, e os termos dela devolvem a você qualquer reclamação de terceiros. Para um hobby, isso talvez não importe. Para um trabalho que alguém paga para você fazer com cuidado, elimina a ferramenta. A NotHoly roda os comandos na sua máquina e coloca uma empresa no contrato; faça uma recarga de US$ 5 pela página de preços da NotHoly e leia a comparação completa.