Em 20 de outubro de 2026, um usuário publicou, em comunidades como r/LocalLLM, r/ollama, r/SelfHostedAI, r/AI_Agents, r/cybersecurity, r/cybersecurity_help e r/Infosec, o mesmo pedido: ele usa Ollama e OpenCode e quer um modelo bom em pentest de aplicações web, auditoria de segurança de JavaScript e APIs, revisão de código e análise de vulnerabilidades, rodando em duas GPUs Tesla T4 (32 GB de VRAM no total). Ele pergunta qual modelo, qual quantização e qual tamanho de contexto dariam o melhor equilíbrio entre precisão e velocidade.
Os resumos disponíveis trazem apenas a pergunta, sem respostas consolidadas. Por isso, não vamos indicar um modelo "campeão": qualquer recomendação sem teste no seu cenário seria palpite. O que vale a pena é entender por que a dúvida é relevante para empresas e como responder a ela com método.
Por que empresas querem LLM local em segurança
Pentest e auditoria lidam com o material mais sensível de uma operação: código-fonte, endpoints internos, tokens, relatórios de falhas e a topologia dos sistemas. Mandar tudo isso para um serviço externo exige análise de contrato, de retenção de dados e de conformidade com a LGPD. Rodar o modelo na própria infraestrutura reduz essa exposição. O mesmo raciocínio aparece em nosso guia sobre como usar agentes de IA com segurança nas empresas.
Em contrapartida, o modelo local tem limites de hardware. Com duas T4, a escolha de modelo, quantização e contexto é uma troca entre qualidade, memória e velocidade.
Roteiro de benchmark para duas Tesla T4
- Monte um conjunto de tarefas com gabarito. Use casos reais ou sintéticos: um trecho de API com falha de autorização, um código JavaScript com entrada não sanitizada, uma dependência vulnerável, uma configuração insegura. Inclua também código sem falhas, para medir falsos positivos.
- Separe as categorias. Pentest web, auditoria de APIs, revisão de código e análise de vulnerabilidades têm exigências diferentes. Um modelo pode ir bem em uma e mal em outra.
- Fixe as variáveis. Mesmo prompt, mesma temperatura, mesma ferramenta (Ollama, com ou sem OpenCode) e mesmo conjunto de arquivos para todos os modelos.
- Varie modelo, quantização e contexto de forma controlada. Mude uma variável por vez. Quantizações mais agressivas liberam memória e aceleram, mas podem reduzir a qualidade; contextos maiores permitem analisar mais arquivos, mas consomem VRAM.
- Meça qualidade. Para cada tarefa, registre achados corretos, falsos positivos, falhas não detectadas e afirmações inventadas. Peça a um especialista para corrigir a pontuação.
- Meça contexto. Teste o maior trecho de código que o modelo analisa sem perder precisão, e não apenas o limite anunciado.
- Meça velocidade. Registre o tempo até o primeiro token e os tokens por segundo, como explicamos em como testar a velocidade de LLM local antes de comprar GPU. Observe também se o modelo coube na memória das duas placas ou se foi parcialmente descarregado para a CPU.
- Meça custo. Some hardware, energia e manutenção, divida pelo volume de tarefas e compare com o custo de uma API para a mesma carga.
Planilha de decisão
| Critério | O que medir | Pergunta que responde |
|---|---|---|
| Qualidade | Acertos, falsos positivos, falhas perdidas, invenções | Posso confiar na triagem? |
| Contexto | Maior volume de código analisado sem degradação | Ele entende o fluxo entre arquivos? |
| Velocidade | Primeiro token e tokens por segundo | Serve para uso interativo ou só em lote? |
| Memória | VRAM usada por modelo, quantização e contexto | Cabe nas duas T4 com folga? |
| Custo | Custo total por tarefa concluída | Compensa frente a uma API? |
| Segurança | Dados que saem do ambiente, logs, permissões | Atende à política da empresa? |
A IA complementa, não substitui o especialista
- Bom uso: resumir código, apontar padrões suspeitos, sugerir casos de teste, rascunhar partes de relatórios e acelerar a triagem.
- Limite: o modelo pode apontar falhas que não existem ou deixar passar as reais. Todo achado precisa ser reproduzido e validado por uma pessoa.
- Escopo e autorização: testes de intrusão só devem ocorrer em sistemas com autorização formal. Um agente com acesso a ferramentas precisa de permissões restritas, como detalhamos em controle de permissões de agentes.
- Rastreabilidade: registre prompts e saídas para auditoria, como em monitoramento e controle de agentes de IA.
O que fazer agora
- Liste quais dados você não aceita enviar a terceiros e quais tarefas de segurança justificam um modelo local.
- Monte o conjunto de testes com gabarito e rode o roteiro acima em pelo menos três combinações de modelo e quantização.
- Defina um responsável técnico para validar os resultados e decidir se o modelo entra no fluxo de trabalho.
- Comece com código não sensível e só amplie o acesso depois de revisar permissões e logs.
Quer ver onde a IA gera retorno na sua operação? No diagnóstico gratuito, mapeamos seus processos e indicamos o que automatizar primeiro.
Quero meu diagnóstico gratuito →Conclusão
A pergunta sobre LLM local para pentest mostra uma demanda real: usar IA em segurança sem expor dados. A resposta vem de benchmark com a sua carga, não de ranking de fórum. A Yggra ajuda a desenhar esse teste, montar a infraestrutura local e integrar o modelo ao fluxo da equipe, com controle de permissões e revisão humana. Conheça nosso serviço de agentes de IA ou fale com a Yggra.
Fontes
- r/Infosec, local LLM for cybersecurity/VAPT on 2× Tesla T4 GPUs (32GB VRAM total)?.
- r/cybersecurity, mesma publicação.
- r/cybersecurity_help, mesma publicação.
- r/SelfHostedAI, mesma publicação.
- r/ollama, mesma publicação.
- r/LocalLLM, mesma publicação.
- r/AI_Agents, mesma publicação.
Perguntas frequentes
Qual o melhor LLM local para pentest?
Não há resposta única confiável. A pergunta circulou em comunidades sem recomendação definitiva, e o resultado depende do hardware, da quantização, do tamanho de contexto e das suas tarefas. O caminho seguro é rodar um benchmark com casos reais da sua empresa, em um ambiente controlado.
Por que usar um LLM local em auditoria de segurança?
Porque código-fonte, tráfego de APIs, relatórios de vulnerabilidades e credenciais acidentais são dados sensíveis. Com o modelo rodando na infraestrutura própria, esses dados não precisam ser enviados a serviços externos.
A IA pode substituir o especialista em segurança?
Não. A IA ajuda a triar, resumir e levantar hipóteses, mas pode errar e inventar vulnerabilidades. Quem valida achados, avalia impacto e define o escopo autorizado do teste é o profissional de segurança.
Como comparar modelos em duas GPUs de 16 GB?
Defina um conjunto fixo de tarefas com gabarito, rode cada modelo e quantização com o mesmo prompt, e registre qualidade, tamanho de contexto suportado, tokens por segundo, uso de memória e custo por tarefa.
