PT ENG
GitHub Medium YouTube

Sheep 2026 | byFranke

GitHub Medium YouTube

Sheep API.

Acesso programático à inteligência de ameaças do Sheep. Modelos Scout, Hunter e Sage, análise multi-fonte de IOCs e feeds curados de threat intel, todos por trás de um único header de autenticação.

Autenticação simples

Header X-Sheep-Token em todas as requisições. Sem OAuth, sem JWT, sem fluxo de refresh.

Inteligência multi-fonte

VirusTotal, AbuseIPDB, Shodan, URLScan e OTX agregados em uma chamada, com narrativa e mapeamento MITRE ATT&CK.

Quota em tokens Sheep

300k tokens/mês no Pro, 1M no Pro Max e 4M no Enterprise. Add-ons recorrentes para escalar até dezenas de milhões.

Modelos Sheep AI

Três tiers + roteador automático. Você decide o equilíbrio entre profundidade analítica e custo em tokens. O seletor model é exposto apenas no endpoint /api/ai/ask; o /api/ai/analyze roda sempre em Hunter para garantir consistência de profundidade e cobrança.

Scout 8B

Rápido e leve. Definições curtas, perguntas conceituais e conversação. Saída em poucos parágrafos.

Disponível: todos os planos pagos

Hunter 17B

Default analítico. Análise de logs, triagem de vulnerabilidades, perfil de APT e mapeamento MITRE ATT&CK.

Disponível: todos os planos pagos

Sage 120B

Análise profunda. Briefings executivos, atribuição formal, correlação multi-incidente e relatórios com frameworks.

Disponível: Sheep Pro e Sheep Pro Max

auto

Roteia automaticamente entre Scout e Hunter conforme a complexidade. Sage nunca é selecionado automaticamente.

Disponível: todos os planos pagos

Endpoints

Base URL: https://sheep.byfranke.com. HTTPS obrigatório em todas as chamadas.

POST /api/ai/ask

Conversação livre com a Sheep AI sobre cibersegurança: TTPs, perfil de APT, CVEs, frameworks, melhores práticas. Aceita model para escolher o tier; sem o parâmetro, auto roteia entre Scout e Hunter conforme a complexidade.

Modelos suportados (campo "model")

  • auto — padrão. Roteia entre Scout e Hunter pelo classificador de complexidade. Sage nunca é escolhido automaticamente.
  • scout — Scout 8B. Rápido e barato. Definições curtas, perguntas conceituais, conversação. Todos os planos pagos.
  • hunter — Hunter 17B. Análise de logs, triagem de vulnerabilidade, perfil de APT, mapeamento MITRE ATT&CK. Todos os planos pagos.
  • sage — Sage 120B. Briefings executivos, atribuição formal, correlação multi-incidente. Apenas Sheep Pro e Sheep Pro Max.

auto (padrão — deixe o servidor escolher):

curl -X POST https://sheep.byfranke.com/api/ai/ask \
  -H "X-Sheep-Token: shp_..." \
  -H "Content-Type: application/json" \
  -d '{"question": "What is the Diamond Model in CTI?"}'

scout (triagem rápida):

curl -X POST https://sheep.byfranke.com/api/ai/ask \
  -H "X-Sheep-Token: shp_..." \
  -H "Content-Type: application/json" \
  -d '{"question": "Define lateral movement in 2 lines.", "model": "scout"}'

hunter (análise técnica):

curl -X POST https://sheep.byfranke.com/api/ai/ask \
  -H "X-Sheep-Token: shp_..." \
  -H "Content-Type: application/json" \
  -d '{"question": "What are the TTPs of APT29?", "model": "hunter"}'

sage (briefing profundo — Pro Max / Enterprise):

curl -X POST https://sheep.byfranke.com/api/ai/ask \
  -H "X-Sheep-Token: shp_..." \
  -H "Content-Type: application/json" \
  -d '{"question": "Correlate the latest Volt Typhoon and APT41 campaigns; what is the strategic implication?", "model": "sage"}'

Conversação com IA

POST /api/ai/analyze

Análise estruturada de um IOC. Suporta IPs, domínios, hashes, URLs e CVEs. Use "enrich": false para IOCs internos que não devem sair da sua organização. Este endpoint é padronizado no modelo Sheep Hunter — não há seletor de modelo aqui (use /api/ai/ask se precisar de Scout ou Sage).

Formatos de resposta (parâmetro ?format=)

  • ?format=markdown — padrão. Narrativa em Markdown + bloco estruturado. UI humana e Discord.
  • ?format=json — só o bloco estruturado, sem o Markdown. SIEM, n8n, SOAR.
  • ?format=stix — STIX 2.1 Bundle pronto para MISP, OpenCTI, TheHive ou qualquer TAXII 2.1.

Markdown (padrão):

curl -X POST https://sheep.byfranke.com/api/ai/analyze \
  -H "X-Sheep-Token: shp_..." \
  -H "Content-Type: application/json" \
  -d '{"target": "185.220.101.45", "type": "ip"}'

JSON para SIEM / SOAR:

curl -X POST "https://sheep.byfranke.com/api/ai/analyze?format=json" \
  -H "X-Sheep-Token: shp_..." \
  -H "Content-Type: application/json" \
  -d '{"target": "185.220.101.45"}'

STIX 2.1 Bundle:

curl -X POST "https://sheep.byfranke.com/api/ai/analyze?format=stix" \
  -H "X-Sheep-Token: shp_..." \
  -H "Content-Type: application/json" \
  -d '{"target": "185.220.101.45"}'

Análise multi-fonte

GET /api/feeds/{feed_id}

Feeds curados de threat intelligence: CVEs críticos, leaks de ransomware, infraestrutura APT, vazamentos. Atualização contínua a partir de fontes públicas. Aceita os query params ?days=N (janela, padrão 30) e ?limit=N (até 500 itens por chamada). Use GET /api/feeds/ sem id para listar o catálogo completo com contagem de itens e timestamp da última atualização.

Feeds disponíveis

  • cve — vulnerabilidades críticas do NVD (NIST).
  • ransomware — vítimas de ransomware publicadas em leak sites.
  • threat_intel — relatórios APT e análises de malware de fornecedores de segurança.
  • apt_infrastructure — servidores C2 e infraestrutura maliciosa (fonte ThreatFox).
  • data_leak — vazamentos e breaches corporativos.
  • ics_scada — vulnerabilidades em sistemas industriais (ICS/SCADA).
  • kaspersky — alertas e pesquisas do SecureList.
  • financial_intel — CTI financeira: sanções OFAC, enforcement, mixers e análise on-chain.
  • ioc_stream — stream em tempo real de IPs, URLs e hashes maliciosos.
  • rss_news — notícias de segurança agregadas de RSS de fornecedores e research.

Listar o catálogo completo:

curl -X GET https://sheep.byfranke.com/api/feeds/ \
  -H "X-Sheep-Token: shp_..."

CVEs críticos das últimas 24h, no máximo 50 itens:

curl -X GET "https://sheep.byfranke.com/api/feeds/cve?days=1&limit=50" \
  -H "X-Sheep-Token: shp_..."

Vítimas de ransomware dos últimos 7 dias:

curl -X GET "https://sheep.byfranke.com/api/feeds/ransomware?days=7" \
  -H "X-Sheep-Token: shp_..."

Threat intel

GET /api/profile

Plano vigente, modelos liberados, saldo de tokens no período corrente, add-ons ativos e data de virada do ciclo. Consulta não consome quota.

curl -X GET https://sheep.byfranke.com/api/profile \
  -H "X-Sheep-Token: shp_..."

Saldo e plano

GET /api/ai/status

Health check público. Não exige autenticação. Útil para monitores externos e dashboards de status.

curl https://sheep.byfranke.com/api/ai/status

Health check

Feeds disponíveis

Identificadores aceitos em /api/feeds/{feed_id}. Use GET /api/feeds para listar dinamicamente.

cve

CVEs críticos do NVD com pontuação CVSS alta.

ransomware

Leaks recentes monitorados pelo Ransomware Intel.

apt

Infraestrutura e IOCs associados a grupos APT.

leaks

Vazamentos e breaches reportados em fontes públicas.

Exemplo: consumindo feeds em Python
import requests

API_TOKEN = "shp_..."
BASE_URL  = "https://sheep.byfranke.com/api"

r = requests.get(
    f"{BASE_URL}/feeds/cve",
    headers={"X-Sheep-Token": API_TOKEN},
    timeout=45,
)
r.raise_for_status()

for item in r.json().get("items", [])[:5]:
    print(f"[{item['cvss_score']}] {item['cve_id']}: {item['description'][:100]}...")

Planos e quota

Quota medida em tokens Sheep. Inclui prompt e resposta. Modelos mais robustos consomem mais tokens da sua quota.

Sheep Plus

Quota: 300.000 tokens/mês

  • Scout 8B e Hunter 17B liberados
  • Análise multi-fonte de IOCs
  • Acesso Black Sheep no Discord

Sheep Pro

Quota: 1.000.000 tokens/mês

  • Scout 8B, Hunter 17B e Sage 120B
  • Pacotes adicionais opcionais de +2M ou +4M tokens/mês
  • Análise multi-fonte e prioridade

Sheep Pro Max

Quota: 4.000.000 tokens/mês

  • Scout 8B, Hunter 17B e Sage 120B com prioridade
  • Pacotes adicionais para escalar a quota mensal
  • Suporte prioritário direto

Black Sheep (gift card) e Black Sheep Trial também consomem a Sheep API, com suas próprias quotas. Detalhes completos, valores e formas de pagamento estão na Sheep Store.

Ver planos completos e gift cards

Limites e tratamento de erros

Quota e taxa máxima são gates independentes. Respeite os headers do servidor.

Taxa por endpoint
  • POST /api/ai/ask — 100 req/min
  • POST /api/ai/analyze — 100 req/min
  • GET /api/profile — 30 req/min
  • GET /api/feeds/* — 30 req/min

Janela deslizante de 60s por token. Respostas incluem X-RateLimit-* e Retry-After.

Códigos comuns
  • 401 token ausente, formato inválido ou desconhecido
  • 402 assinatura expirada, inativa ou quota esgotada
  • 403 modelo não disponível no plano
  • 429 excedeu o limite de taxa, aguarde Retry-After

Ramifique comportamento pelo campo error.code, não pelo texto da mensagem.

Boas práticas

Recomendações operacionais para integrações em produção.

Segredos

Armazene o token em um gerenciador de segredos. Nunca em controle de versão. Aplique redaction para strings com prefixo shp_.

Timeouts

Configure 45s no cliente. Respostas de Sage podem chegar a 30s. Timeout no cliente não impede débito quando o servidor já chamou o modelo.

Pré-flight

Antes de lotes grandes, consulte /api/profile e confirme saldo. Despachar 500 chamadas para descobrir que acabou a quota é desperdício.

Retentativa

Retente apenas 429 (respeitando Retry-After), 500 e 503. Backoff exponencial: 2s, 5s, 15s. Não retente 4xx restantes.

Acompanhe o consumo

Cada resposta inclui os campos tokens_used (quanto foi descontado da sua quota) e served_by (qual modelo respondeu). Guarde esses valores no seu log para auditar consumo por chamada — a soma do período deve bater com o saldo em /api/profile.

IOCs sensíveis

Em /analyze, envie "enrich": false para IOCs internos. A resposta usa só o conhecimento do modelo, sem consulta a fontes externas.

Quer começar?

Compre um plano e receba seu token por email logo após a confirmação do pagamento.

Ir para a Store
Já é assinante?

Gere ou rotacione o token de API vinculado à sua assinatura ativa.

Gerenciar Token

Documentação completa, integrações com n8n e exemplos em Python, Node, cURL e PowerShell estão no repositório público no GitHub.