De dia, dirijo a UBIK, a formação e a sensibilização ciber da Forward Cyber: mais de 2 000 pessoas formadas. Fundei a AppSec Academy em 2018 e vendi-a ao grupo Lexfo em 2022; tornou-se a UBIK, e continuo a dirigi-la. Com Tarik El Aouadi, cofundei a Continus.io em 2019, que protege milhares de repositórios de código; fazemo-la avançar juntos.
Na minha empresa, nenhum agente de IA clica sozinho em «Enviar». Os meus agentes triam a minha caixa de correio, prospetam, respondem ao apoio, preparam faturas e publicações, nas minhas ferramentas reais: e-mail, agenda, CRM, documentos. Eles preparam, eu valido o que sai. Não é uma demonstração, é a minha empresa.
Com a Nakama («camaradas», em japonês) quis o inverso das minhas empresas anteriores: uma empresa de uma só pessoa, sem ronda de investimento nem equipa. Construo-a em público, incluindo nos dias em que uma afinação cede.
Funciona sobre o NakamaOS, o orquestrador de agentes que construí. É ele que instalo na sua empresa, com o serviço: afino os agentes e verifico o seu trabalho todos os meses.
Em concreto: um prospeto em silêncio há cinco dias volta a aparecer com o seu seguimento já redigido. A ata fica pronta no próprio dia. As publicações ficam prontas todas as semanas, a vigilância todas as manhãs. O tempo ganho aparece no NakamaOS e volta ao seu ofício.
Porque é que tantos projetos de IA ficam pelo ensaio? Um assistente que responde a perguntas não age em lado nenhum. Para agir em nome de uma empresa, um agente precisa de um acesso real às suas ferramentas, de um enquadramento que o limite e de alguém que o afine e o verifique.
Esse enquadramento, aprendi-o a atacar aplicações: um agente é um empregado de risco. Lê livremente, mas pede antes de escrever, enviar ou publicar. Cada ação fica registada, o confidencial fica num modelo local, o proibido é bloqueado pelo código, não por uma instrução. Tudo funciona dois meses na minha empresa antes de ir para a sua: em funcionamento em três semanas, alojado na Europa.
Para um processo próprio do seu ofício, começo por uma auditoria: o que automatizamos, o que não pode sê-lo, os riscos a tratar.
A prova: NakamaCyber, o caso real do NakamaOS: um SaaS de cibersegurança desenvolvido e mantido por estes agentes, sobre o meu tema de origem. Mede se os seus programadores detetam as falhas no código de um colega ou de uma IA, em código real, família a família do Top 10 OWASP 2025, e prova-o com um relatório sem dados pessoais. Grátis até dez programadores.
Tudo se constrói em público: o que confio aos agentes todos os meses, o que funcionou, o que partiu, o que retomei eu próprio. Aqui, no blogue. E no podcast dos Nakama, o meu bando de camaradas ciber e IA, em debate sem filtro.
E você, onde coloca o limite entre o que um agente prepara e o que faz sozinho? Conte-me, ou descreva o que precisa.
Porquê poucos clientes de cada vez
A Nakama continuará a ser uma empresa de uma só pessoa: nem contratações, nem subcontratação disfarçada. Por isso aceito poucos clientes de cada vez e instalo um depois do outro: é isso que permite verificar cada instalação, todos os meses.
A regra
Só instalamos na sua empresa o que funciona na nossa há pelo menos dois meses, numa versão que lá corre há pelo menos duas semanas. Todos os meses, a mesma versão é verificada, os testes repetidos, a configuração controlada.