Pitch: Tifon: juntei 69 feeds de segurança e uso um LLM para transformar cada notícia num caso de inteligência de ameaças

Quem trabalha com segurança começa o dia com o mesmo problema: centenas de notícias espalhadas por dezenas de sites, quase todas em inglês, contando o mesmo incidente com títulos diferentes. Fiz o Tifon (tifon.dev) para encurtar esse caminho: ele lê as fontes, junta as versões da mesma história e entrega um relatório só, em português ou em inglês. É gratuito.

O que dá para usar sem conta

• Feed das ameaças mais recentes e busca com a sintaxe do Elasticsearch: AND/OR/NOT, campo:valor e curingas. Alguns exemplos: criticity:critical AND victim_sectors:healthcare, cves:CVE-2026-*, threat_actors:Qilin.
• Facetas (criticidade, setores, atores) e um painel com o panorama de 30 a 365 dias.
• API pública de leitura em JSON, com a mesma busca: https://tifon.dev/api/news?q=criticity:critical

Como funciona por dentro

1. Coleta direto na fonte. São 69 feeds RSS/Atom: laboratórios de pesquisa (Unit 42, Securelist, CrowdStrike, Wiz, Citizen Lab...), alertas de governo (CISA, o CERT francês, FBI) e imprensa especializada. Nenhuma API de notícias de terceiros.
2. Uma matéria estruturada por notícia. Um LLM (Claude, da Anthropic) lê cada artigo e devolve um JSON com resumo, CVEs, IOCs, técnicas do MITRE ATT&CK, produtos e fornecedores afetados, atores, setores das vítimas e criticidade. A regra é não chutar: o que o artigo não diz fica vazio. A versão em pt-BR é a tradução fiel do mesmo relatório, não uma segunda análise.
3. Mesmo incidente, um caso só. A notícia nova é agrupada com os casos recentes pela semelhança do título, e o modelo confirma se é mesmo a mesma história e se a fonte trouxe algo novo (vítima nova, IOC novo, patch, mudança de atribuição). Se ela só repete o que já se sabe, entra na linha do tempo do caso sem mexer no relatório.
4. Acoplagem à meia-noite. Um job junta numa só as matérias que contam a mesma história por ângulos diferentes, com as fontes de todas; os links antigos redirecionam (301) para a nova.
5. Exploit público. Quando a matéria cita um CVE que está no índice do Exploit-DB, ela mostra o exploit, o link e uma explicação da IA.

Por baixo, é Laravel, PostgreSQL e Elasticsearch, com filas separando a coleta das chamadas ao modelo.

Com conta (também gratuita)

• Alertas no Slack, no Discord ou no Telegram, filtrados pelas tecnologias, setores e regiões que você informa. Antes do envio, um "juiz" de IA dá uma nota de relevância e só manda o que passa de 70%; os seus votos nos alertas ajustam os próximos pareceres.
• Radar de domínios parecidos com o seu (erro de digitação, "-login", "-pix"): cada um é aberto no computador e no celular, a IA compara com o site original e o aviso chega com um kit de denúncia.
• Monitoramento do GitHub uma vez por dia: chaves vazadas, código privado publicado e repositórios que imitam a sua marca. O valor de uma chave nunca é guardado.

Limitações que já conheço

• A interface está em português; o relatório de cada matéria pode ser lido em inglês ou em português (seletor no topo).
• Ainda passam algumas notícias de tecnologia sem relação com segurança. Elas aparecem como Low e dá para filtrar pela criticidade.

Está no ar desde 19/10, com mais de 1.600 casos analisados até agora. Críticas sobre o agrupamento dos casos, a busca e os alertas são muito bem-vindas, aqui nos comentários ou pelo contato@tifon.dev.