Segurança
Posso confiar meu código? Estes são os fatos.
Por padrão, nada vai direto para a produção: as correções entram na branch que a sua Engenharia escolher, depois da revisão e do CI. E o agente trabalha isolado, sem as credenciais do seu repositório.
5 entregas por nossa conta, sem cartão.
Controle
Você decide o quanto a IA faz sozinha.
Cada etapa segue sozinha ou espera uma pessoa. Dá para começar aprovando cada plano e, quando confiar, soltar tudo até o merge. Experimente:
Do pedido ao merge sem ninguém empurrar.
1 · Escolha
O agente escolhe os projetos pelo catálogo quando a tarefa não diz quais.
● automático
2 · Investigação
Lê os repositórios e escreve a spec: o que muda, onde e como se verifica.
● automático
3 · Desenvolvimento
Escreve o código, roda os testes e abre um PR por repositório.
● automático
4 · Revisão
Outro agente lê os diffs, roda os testes e confere cada critério.
● automático
5 · Merge
Com CI verde, faz o squash na ordem das dependências e apaga as branches.
● automático
Mudanças pedidas na revisão ou CI vermelho voltam para correção nas mesmas branches, até um limite de rodadas (3 por padrão).
Onde parar
Tudo automático: o agente escolhe os projetos, investiga e segue o próprio plano, outro agente revisa e, aprovado com CI verde, faz o merge.Você escolhe o que fica automático em cada etapa.
E mais
- Reprovou no QA? Recoloque a etiqueta e a correção volta para as mesmas branches, a partir do código atual.
- Peça ao Alfrig para aprovar, retomar, fazer merge, comentar no ticket ou mudar o status: cada ação vira um cartão que só roda com a sua confirmação.
- Aprove planos e responda perguntas na conversa com o Alfrig, num comentário do Jira, do ClickUp ou do Linear, por um link sem login ou pelos botões do aviso no Slack ou no Teams.
- No Produto, aprovar a proposta e aprovar as telas também seguem sozinhos ou esperam alguém.
Proteções no merge
O que sai de um agente passa por mais de uma porta.
O merge automático é opcional e começa desligado. Mesmo ligado, ele espera uma pessoa quando algo foge do comum.
CI verde, sempre
O merge só acontece com a revisão aprovada e o CI verde. Um CI vermelho em qualquer repositório da tarefa segura todos.
Pipeline e donos do código protegidos
Mudanças de um agente no CI/CD e no CODEOWNERS saem do push por padrão; quando a conexão permite, o PR espera uma pessoa.
Build e coleta de dados em revisão
Mudanças em arquivos de build e configuração (Makefile, Dockerfile, .npmrc e parecidos) ou novos pontos de coleta de dados seguram o merge automático.
Texto de fora não dá ordem
O que vem de tickets, comentários e páginas entra como informação, nunca como instrução. Se o agente levanta um alerta, o merge automático desliga.
Teste não some para passar
Testes apagados ou pulados são apontados na revisão. Se os testes falham, vira PR em rascunho, nunca merge.
Isolamento
Uma máquina por etapa, sem as suas credenciais.
Cada etapa roda numa máquina criada para ela e destruída quando termina.
Máquina descartável
Sem conexão de entrada e destruída no fim da etapa; um coletor apaga qualquer uma que tenha sobrado.
Testes sem rede
Os testes rodam com a rede desligada.
O token fica com o Alfrig
Clone, push, PR e merge são feitos pelo Alfrig. O agente trabalha sem o token do repositório, que fica só em memória, nunca no endereço do repositório nem em disco.
Dados
Cada organização com o seu banco e a sua chave.
Os dados de uma organização nunca dividem banco com os de outra.
Banco só seu
Cada organização tem um banco de dados próprio.
Chaves cifradas
Tokens e chaves são cifrados com AES-256-GCM, com uma chave exclusiva por organização.
Integrações assinadas
As chaves da API pública ficam guardadas só como hash. Os webhooks que o Alfrig envia são assinados, e os que ele recebe são conferidos.
Onde roda
A aplicação roda em São Paulo. As máquinas dos agentes também, ou nos EUA quando falta capacidade lá, com as salvaguardas da LGPD.
Pessoas e acesso
Cada pessoa alcança o que o papel dela permite.
Convide quem pede sem abrir as configurações para todo mundo.
Cinco papéis
Dono, administrador, membro, solicitante e convidado. O solicitante vê só os próprios pedidos; fluxo, modelos, custos e chaves ficam com administradores e o dono.
Aplicativos conectados
Um assistente de IA conectado pelo MCP alcança só o que o papel de quem autorizou permite, conferido a cada chamada.
Login
Com GitHub, Google, Apple ou link por e-mail.
Modelos de IA
O Alfrig não treina modelos com o seu código.
Você escolhe de quem é a conta de IA.
Sem treino
O Alfrig não treina modelos. O uso de dados segue a política do provedor que atende a chamada.
Com a sua chave
Anthropic, OpenAI, Google Gemini ou z.ai: o modelo é pago direto ao provedor. As chamadas passam pelo gateway do Alfrig, que usa a sua chave e mede o consumo de cada etapa, sem markup.
LGPD
Apagar quer dizer apagar.
O dono da organização decide quando os dados deixam de existir.
Exclusão de verdade
O dono pode apagar a organização de vez: banco, arquivos e a chave de criptografia, o que deixa ilegível qualquer cópia de segurança que reste.
Retenção curta
Registros técnicos por até 2 meses; cópias de segurança eliminadas em até 30 dias depois da exclusão.
Seus direitos
Acesso, correção, portabilidade e eliminação, pelo contato da política de privacidade.
Dúvidas
O que a Engenharia e a segurança perguntam
O Alfrig publica em produção sozinho?+
Por padrão, não. A organização começa com o merge automático desligado, e as correções vão para a branch que a sua Engenharia escolher. Se o seu time ligar o merge automático com a branch de produção como alvo, a correção chega à produção sem ninguém intervir: a decisão é dele.
O agente vê as nossas credenciais?+
Não as do repositório. Clone, push, PR e merge são feitos pelo Alfrig, e o agente trabalha numa máquina própria, sem o token, destruída no fim da etapa.
Que acesso o Alfrig precisa?+
Só aos repositórios que você escolher: pelo app do Alfrig no GitHub ou por token nos outros provedores. O acesso fica cifrado com a chave da sua organização.
Nosso código treina modelos?+
O Alfrig não treina modelos. O uso de dados depende do provedor de modelo que atende a chamada.
Onde ficam os dados?+
Num banco de dados só da sua organização. A aplicação roda em São Paulo; as máquinas dos agentes também, ou nos EUA quando falta capacidade lá.
O que você precisa resolver hoje?
O que você precisa?Escreva para o Alfrig. Ele pergunta o que falta e leva até o fim.5 entregas por nossa conta, sem cartão.