Tudo o que o modelo alcança antes de responder.

Busca na web pública e devolve títulos, URLs e trechos das páginas. Resultados de NVD, cve.org, CISA, GitHub, Seclists, PortSwigger e OWASP vêm primeiro. Serve para advisories de fabricante, writeups de PoC e o que for mais novo que o modelo.

Limite: Até 10 resultados por chamada, em cache por 15 minutos. Resultado pode estar errado ou velho, então abra a citação antes de confiar.

Baixa uma página pública como texto: o disclosure, as notas de patch, a política do programa. A requisição sai por uma egress protegida que confere cada endereço e redirecionamento e fixa a conexão no IP conferido.

Limite: http(s) público nas portas 80 e 443, HTML, texto, JSON ou XML, 10 MB e 15 segundos. Respeita o robots.txt. No chat, só abre URLs que você digitou ou que vieram de um resultado de busca, CVE, advisory ou base de conhecimento, então links dentro de uma página e resultados .onion ficam fechados.

Consulta vários índices de busca Tor de uma vez e devolve título, URL .onion e trecho, com o índice de onde veio cada entrada. Use para achar o site de vazamentos de um grupo de ransomware ou um fórum que a web aberta não lista, e decida você o que abrir.

Limite: Só abre quando você pede: a mensagem precisa dizer dark web, deep web, .onion ou Tor, e citar um grupo de ransomware não basta. O harness nunca abre, rastreia ou baixa uma página listada, então cada entrada é não verificada e possivelmente hostil. Cinco buscas por minuto por usuário. Buscas por material de abuso infantil são recusadas e os resultados que batem são descartados.

Um CVE consolidado: descrição do NVD, score e vetor CVSS 3.1 ou 4.0, CWE, CPEs afetados com versão de correção quando o NVD tem, referências, score e percentil EPSS, status no CISA KEV com data de entrada e uso conhecido em ransomware.

Limite: Tão atual quanto o espelho, e cada registro mostra quando foi obtido. Um ID que o espelho não tem é buscado nas fontes uma vez.

Filtra por texto, fabricante, status KEV, CVSS mínimo e EPSS mínimo, e ordena por relevância do texto e EPSS. Passe os produtos de um scan e veja primeiro o que está sendo explorado.

Limite: Até 20 resultados por chamada. Só vai ao NVD por palavra-chave quando o espelho não acha nada.

Vulnerabilidades conhecidas de um pacote e versão em qualquer ecossistema do OSV. Anexe um lockfile e pergunte qual dependência fixada está afetada.

Limite: Informa o que o OSV lista para aquele nome e versão. Provar que o código vulnerável é alcançável no seu build continua com você.

OWASP WSTG, Cheat Sheets, ASVS, API Top 10, MASTG e MASVS. PayloadsAllTheThings, GTFOBins e LOLBAS. MITRE ATT&CK, CWE e CAPEC. Docs de Caido, Burp BChecks e Bambdas, nmap NSE, sqlmap e ffuf. NIST CSF e advisories da CISA. Filtre por domínio, fonte ou ferramenta e abra o documento inteiro, seção por seção.

Limite: Uma fonte só entra quando a licença permite, e cada resultado traz a licença e a atribuição. Uma técnica de nicho pode não estar lá, e a busca na web é o passo seguinte.

ELF, PE, Mach-O e DEX dão SHA-256, entropia e strings. ELF e PE somam formato, entry point, seções e funções importadas. Entropia alta e imports estranhos aparecem antes de você abrir um disassembler.

Limite: O disassembly é uma prévia: os primeiros 4 KB do arquivo decodificados como x86-64, no máximo 200 instruções. Não há decompilador nem grafo de fluxo, então mantenha o seu aberto.

zip, tar, gzip, bzip2, xz, JAR e APK são percorridos entrada por entrada, e cada entrada passa pelos mesmos parsers. Entradas cifradas e symlinks são sinalizados e pulados.

Limite: Profundidade 3, 10.000 entradas, 2 GB expandidos e razão de 100:1. Uma zip bomb para com o motivo.

Código, logs, JSON, bundles minificados, PDF, arquivos do Office, HTML, XML e SVG chegam como texto com localizador de arquivo e linha. A busca por palavras cobre todos os anexos. Chaves AWS, tokens do GitHub e do Slack e chaves privadas geram aviso. Pickles são desmontados e nunca carregados.

Limite: 200 MB por arquivo no chat e 5 milhões de caracteres de texto. Imagens dão só as dimensões, sem OCR.

Lê, busca e edita o seu projeto e roda comandos localmente. No padrão, pergunta antes de cada escrita e de cada comando, mostrando o diff, e o modo plan só lê. Ler fora do projeto pergunta antes, abrir um arquivo de credencial exige digitar o nome de volta, e depois de uma leitura privada cada consulta de saída aparece para você antes de sair.

Limite: yolo só pergunta sobre arquivos de credencial. Exige --yolo a cada início e fica desligado durante um engagement.

notholy engage init grava escopo, exclusões, janela de tempo e referência da autorização na sua máquina. Com um ativo, o agente lê os alvos de cada comando antes do bash rodar, faz você digitar o host para sair do escopo e acrescenta cada decisão a um log encadeado por hash. notholy connect claude instala a mesma checagem como hook.

Limite: Ele lê o texto do shell e não resolve DNS, então pega erro de operação e não é sandbox. Um alvo conhecido só em tempo de execução gera um aviso para você conferir.

As citações abrem ao lado da resposta com a URL ou o localizador do arquivo, marcadas como observado no arquivo, fonte externa, base de conhecimento ou índice da dark web.

Limite: A citação mostra de onde veio a afirmação. Se a fonte está certa, quem decide é você.

Cada chamada mostra o alvo e a duração enquanto acontece. A execução fica no servidor, então uma página recarregada retoma o stream de onde estava.

Limite: 12 passos do modelo, 5 chamadas de ferramenta por vez, 60 segundos por ferramenta e 10 minutos por execução.

Agrupe chats por engagement. Instruções e notas de escopo entram em toda execução do projeto.

Limite: As notas orientam o modelo e não concedem autorização.