O que é Global Hack Map?
Global Hack Map reúne vazamentos divulgados publicamente, alegações em sites de vazamento de ransomware, vulnerabilidades exploradas, pacotes maliciosos e quedas de conectividade a partir de 14 fontes (o catálogo Known Exploited Vulnerabilities da CISA, NVD, CVE.org, CIRCL, FIRST EPSS, a GitHub Advisory Database, OSV, RansomLook, SEC EDGAR, IODA e outras) e os coloca em um globo do Mapbox. Cada incidente tem um status: Confirmed, Reported, Claimed, Precautionary ou Disputed.
Uma página "Am I affected?" verifica manifestos e lockfiles colados contra o OSV, um índice em `/cve` lista CVEs críticas das últimas 72 horas e `/fix/<CVE>` serve runbooks em texto puro que preenchem um prompt para Claude Code, Codex ou Cursor. Um servidor MCP somente leitura e `llms.txt` expõem os mesmos dados a agentes. A Valyu fornece extração de notícias, respostas e resumos do DeepResearch; sem chave da Valyu, o mapa continua rodando com os feeds públicos.
Global Hack Map vale a pena?
Global Hack Map é o mais cuidadoso dos apps de demonstração da Valyu, e também o mais novo: o repositório foi criado em 2 de novembro de 2026 e tinha 9 estrelas e 12 commits quando verificamos. Ele agrega feeds em que as equipes de segurança já confiam, entre eles CISA KEV, NVD, a GitHub Advisory Database e o OSV, e sua contribuição principal é apresentação e triagem, não dados novos.
O design leva a incerteza a sério. Cada incidente recebe o rótulo Confirmed, Reported, Claimed (alegado em um site de vazamento, sem verificação), Precautionary ou Disputed, e o README diz com todas as letras que a ausência de resultado nunca prova que você está seguro. Os incidentes são colocados na cidade citada no noticiário, na sede da organização ou no país, e nunca com mais precisão do que as fontes permitem. Isso diz onde está a vítima, não quem atacou: um pino não é atribuição.
A engenharia é mais madura do que a idade sugere. Em produção, as requisições são limitadas via Upstash Redis, e as APIs protegidas retornam 503 se o limitador não puder ser consultado, em vez de rodar sem proteção; a verificação de stack do servidor MCP permite 10 chamadas por minuto e 60 por hora por IP. As varreduras agendadas são autenticadas com `CRON_SECRET`. Há 11 arquivos de teste. Sem chave de API do NVD, o feed de CVEs novas fica limitado a 5 requisições a cada 30 segundos e recorre ao CVE.org e ao CIRCL.
O porém: um resumo só é tão bom quanto sua fonte mais lenta. O snapshot é revalidado após 10 minutos e os feeds públicos após 15, mas o README avisa que atrasos na origem e dados de reserva podem deixar a visão mais antiga ou incompleta. Faixas de versões afetadas e marcações de "explorada" devem ser conferidas na entrada da CISA ou no aviso do fabricante antes de alguém aplicar patch ou fazer um relatório, e os links de correção em um clique só preenchem um prompt para um agente de programação; as mudanças do agente ainda precisam de revisão.
Nossa opinião: merece uma aba ao lado do catálogo da CISA para uma leitura rápida do que está sendo explorado nesta semana, com o aviso original a um clique e tratado como a autoridade.
Onde ele se destaca
O líder de TI de uma empresa de 50 pessoas sem equipe de segurança
Descobrir toda segunda-feira se algo que usamos está sendo explorado ativamente
Escolha os produtos que você usa na página Am I affected? e leia os cartões Patch now; depois confirme cada item no aviso da CISA ou do fabricante vinculado antes de agendar o trabalho. Consultar a instância pública não custa nada.
Um engenheiro de plataforma que mantém vários serviços em Node e Python
Verificar um lockfile contra vulnerabilidades conhecidas e pacotes maliciosos
Cole package-lock.json ou requirements.txt na verificação de stack, ou chame a ferramenta check_stack do servidor MCP a partir de um agente de programação, com limite de 10 chamadas por minuto. Os resultados vêm do banco de dados do OSV.
Uma analista de segurança que escreve um briefing semanal para a diretoria
Separar vazamentos confirmados de boatos antes que cheguem ao conselho
Filtre por status para que itens Claimed e Disputed fiquem marcados como tais, e cite apenas os registros e avisos originais que o mapa vincula. Um resumo do Valyu DeepResearch é um rascunho inicial, cobrado na chave do deploy.
Antes de decidir
- Configuração
- Node 20+ e pnpm: `pnpm install`, copie `.env.example` para `.env.local` e rode `pnpm dev`. Só com um token do Mapbox o mapa roda nos feeds públicos; o primeiro build de produção executa o pipeline de dados uma vez, cerca de um minuto.
- Integrações
- Servidor MCP somente leitura em /api/mcp, llms.txt, runbooks em /fix/<CVE> e links diretos para Claude Code, Codex, Cursor, Claude e ChatGPT. valyu-js ^2.11.1 para notícias, respostas e DeepResearch.
- Dados e privacidade
- Manifestos colados são verificados no OSV; o seletor de produtos não exige upload. Auto-hospedado por padrão; um modo opcional de conta Valyu cobra os próprios créditos dos visitantes logados. Código MIT; fontes sob a SIL Open Font License.
- Custo em escala
- Hospedagem na Vercel com jobs cron a cada seis horas e um resumo diário às 05:30 UTC, mais Upstash Redis, um token do Mapbox e créditos da Valyu para as camadas de notícias e resumos. Não há plano hospedado.
- Limites
- O snapshot é revalidado após 10 minutos e os feeds após 15; não é tempo real. O NVD permite 5 requisições a cada 30 segundos sem chave; o CIRCL, 20 por minuto anonimamente e 40 com chave.
O que é bom
- Rótulo de status em cinco níveis separa vazamentos confirmados de alegações em sites de vazamento
- Usa 14 fontes públicas, entre elas CISA KEV, NVD, OSV e EPSS
- Em produção, os limites de requisição falham fechados
- Servidor MCP somente leitura e runbooks em texto puro para agentes
O que não é
- Criado em 2 de novembro de 2026; sem histórico nem releases
- A visão agregada pode atrasar ou perder dados da origem
- Os links de correção entregam um prompt a um agente; o resultado ainda precisa de revisão
- O deploy em produção exige Upstash Redis e um agendador
Ideal para
Engenheiros de segurança e líderes de TI que querem uma leitura visual rápida das vulnerabilidades exploradas e dos vazamentos da semana, com as fontes a um clique.
Alternativas ao Global Hack Map
Global Hack Map: perguntas frequentes
- Global Hack Map vale a pena?
- Incomumente honesto sobre o que sabe, e com mal um dia de vida; um bom painel para a manhã, não uma fonte para citar. Damos nota 3.6 de 5.
- Quanto custa Global Hack Map?
- Gratuito sob a licença MIT. Auto-hospedar exige um token do Mapbox; a camada de notícias e os resumos de pesquisa consomem seus créditos da Valyu, e a produção precisa de Upstash Redis.
- Quais são as desvantagens de Global Hack Map?
- Criado em 2 de novembro de 2026; sem histórico nem releases; a visão agregada pode atrasar ou perder dados da origem; os links de correção entregam um prompt a um agente; o resultado ainda precisa de revisão; o deploy em produção exige Upstash Redis e um agendador.
- Para quem Global Hack Map é indicado?
- Engenheiros de segurança e líderes de TI que querem uma leitura visual rápida das vulnerabilidades exploradas e dos vazamentos da semana, com as fontes a um clique.
- Quanto custa Global Hack Map para uma equipe ou em produção?
- Hospedagem na Vercel com jobs cron a cada seis horas e um resumo diário às 05:30 UTC, mais Upstash Redis, um token do Mapbox e créditos da Valyu para as camadas de notícias e resumos. Não há plano hospedado.
- Global Hack Map é seguro para dados da empresa?
- Manifestos colados são verificados no OSV; o seletor de produtos não exige upload. Auto-hospedado por padrão; um modo opcional de conta Valyu cobra os próprios créditos dos visitantes logados. Código MIT; fontes sob a SIL Open Font License.
- Quais são as melhores alternativas ao Global Hack Map?
- As alternativas mais próximas que analisamos são cvENGINE e Global Threat Map.
Respostas verificadas em 3 de nov. de 2026.