WG·ANALYTICS

Wemerson
Guilherme Souza

Tech Lead & AI Engineer · RAG · Agentes MCP

18 anos lendo dados de negócio. Hoje eu construo os sistemas de IA que rodam em cima deles — 17 projetos com código, testes e documentação abertos.

Ver o código no GitHub O projeto em produção
O sistema em produção

AuditFlow

Um SaaS multi-tenant de gestão de auditorias ISO 9001, 14001 e 45001. É o projeto com cliente pagante — e é onde as decisões de arquitetura custam dinheiro de verdade.

Em produção · cliente pagante · código fechado

Do campo ao relatório ISO sem o auditor virar digitador

Node.js e PostgreSQL na base, n8n na orquestração, LLM na redação — com uma camada que impede o modelo de inventar achado.

O problema real

Depois da auditoria, o auditor sênior passa dias renomeando foto e redigindo plano de ação 5W2H à mão. O trabalho caro vira trabalho manual: a margem cai e a operação não escala.

Anti-Corruption Layer

Só evidência real da auditoria entra no contexto do modelo. O sistema é desenhado para que a IA não consiga inventar achado nem atribuir nota — é a defesa declarada contra alucinação.

Roteador multi-LLM

OpenAI, Gemini e Groq atrás da mesma interface, com seleção por custo e por qualidade da tarefa. Nenhum provedor é dependência única.

Map-Reduce em n8n

Auditorias grandes são particionadas em lotes de 15 achados para não estourar o limite de contexto, e reagrupadas na saída.

Cadeia de custódia SHA-256

Cada evidência coletada carrega hash próprio. O audit_log é imutável por desenho — sem UPDATE, sem DELETE.

7 perfis de permissão

De admin master a cliente, com a restrição declarada no schema do banco e não só na aplicação. Autenticação com 2FA por e-mail e TOTP com QR code.

PWA offline-first

Service Worker para coleta de fotos, áudios e checklists sem rede — auditoria em chão de fábrica raramente tem sinal. Sincronização idempotente na volta.

Node.js 20 Express 4.18 PostgreSQL 16 n8n self-hosted Docker Compose RAG · pgvector otplib / 2FA Service Worker LGPD · expurgo e anonimização

Produto comercial: o repositório é privado. Apresento arquitetura, decisões técnicas e demonstração controlada sob solicitação — o código aberto está nas séries abaixo.

Séries técnicas · 17 projetos abertos

Como um sistema de IA é construído, passo a passo

Duas séries que vão do exemplo mais simples possível até o sistema que se sustenta sozinho. Cada projeto roda de forma independente e existe porque o anterior deixou um problema em aberto — por isso a ordem importa.

Série RAG

09 projetos · 471 testes

Do baseline ao deploy. Framework 100% local e 100% privado, com seletor multi-provider — Ollama local, Gemini, Grok ou Groq.

  1. 01Vanilla RAGO baseline honesto: recuperar e gerar, sem truque.
  2. 02Memory RAGMemória persistente entre conversas.
  3. 03Agentic RAGReAct e tool calling — o modelo decide quando buscar.
  4. 04Corrective RAGCRAG: o sistema avalia a própria recuperação e corrige.
  5. 05Adaptive RAGRoteamento dinâmico por tipo de pergunta.
  6. 06GraphRAGRecuperação sobre grafo, com consultas Cypher.
  7. 07Hybrid RAGBM25 + vetorial, fundidos por RRF.
  8. 08HyDE RAGDocumento hipotético para melhorar a busca.
  9. 09Deploy CloudOrquestração em Docker — o que faltava para sair do notebook.

Série MCP & A2A

08 servidores · 212 testes

Os dois protocolos que padronizam como agentes de IA operam sistemas reais. Servidor e cliente escritos à mão sobre stdio, sem framework escondendo o protocolo.

  1. 01Ping ServerServidor MCP mínimo, com health-check TCP real e latência medida.
  2. 02Cliente MCPDescobre tools e traduz para function calling; o LLM escolhe.
  3. 03ResourcesDado estático, arquivo e template com parâmetro na URI.
  4. 04Prompts + StreamlitPrompt versionado no servidor, selecionado em runtime.
  5. 05Servidor segurobcrypt como verificador, SHA-256 como índice de API key.
  6. 06WhatsAppQuatro tools sobre Evolution API — mensagem entregue de verdade.
  7. 07Text-to-SQLMulti-agente CrewAI em PostgreSQL, com defesa em duas camadas.
  8. 08Agent-to-AgentDois processos que descobrem a capacidade um do outro em runtime.
O caso que eu levo para entrevista

O validador que aceitava DROP TABLE

No projeto 07, um agente recebe acesso de consulta a um banco relacional. A proteção original verificava se o SQL começava com select. Isso deixava passar:

SELECT 1; DROP TABLE clientes

Começa com select, e o driver do PostgreSQL executa múltiplos comandos numa única chamada. Como o SQL é escrito por um modelo que leu texto do usuário, o vetor de ataque é prompt injection: ninguém precisa de acesso ao banco, basta convencer o modelo.

A correção não foi endurecer o filtro. Foi reconhecer que validar prefixo é validar string, quando o necessário era validar comando — o que exigiu um analisador léxico que separa código de literal e de comentário. E mudou a premissa: o validador na aplicação passou a ser declarado como conveniência; a garantia foi movida para o banco, em transação somente-leitura. Se o código falhar, o PostgreSQL recusa.

Encontrei essa falha no meu próprio código. O teste que a reproduz se chama test_rejeita_o_bypass_original e está no repositório público, junto com os outros 17 defeitos que documentei — inclusive os oito que a suíte de testes não pegava e só apareceram quando eu rodei os sistemas de verdade.

Método

Sistemas que funcionam de verdade, não só em demo

A parte que não aparece no README, mas decide se o projeto sobrevive ao terceiro mês.

TDD

Vermelho, verde, refatora

O teste vem antes. Quando um defeito aparece, o primeiro commit é o teste que o reproduz — por isso vários testes têm o nome do bug que mataram.

CI

Guarda anti-falso-verde

O pipeline falha se os testes de integração forem pulados. Erro de configuração não vira build verde silencioso.

Padrão RLM

Governança agnóstica de agente

A sincronização com Jira, o commit semântico e o registro de decisão vêm da especificação, não da ferramenta. Roda com Antigravity, Claude Code ou Codex sem alterar o projeto — a spec é a fonte da verdade.

SDD

Todo projeto nasce com spec

Governança nativa: especificação antes do código, oito specs completas publicadas, decisões arquiteturais versionadas junto com o repositório.

Privacy-first

Nenhum fornecedor é dependência

O pipeline central roda em Ollama local; provedor externo é opção de configuração, nunca requisito. O mesmo princípio vale para o agente de codificação e para o LLM em produção.

Limites

O que a solução não cobre

Cada README diz onde a garantia termina. “Implementei autenticação” qualquer um diz; saber exatamente o que ela não cobre é outra conversa.

Base de negócio

Antes da IA, os dados

Sete painéis públicos construídos para operações reais. Estão aqui por um motivo específico: um engenheiro de IA que sabe ler um DRE faz perguntas diferentes de quem só monta pipeline. É o lastro de domínio que sustenta tudo acima.

DRE

Onde o lucro nasce e onde ele vaza: custos mais altos, despesas, receitas e os períodos de maior rentabilidade.

Abrir em tela cheia ↗
Carregando painel Se o painel não aparecer, seu navegador está bloqueando conteúdo de terceiros — use o botão “Abrir em tela cheia”.

Relatórios publicados via Publish to web do Power BI. Dados de demonstração — nenhum número de cliente real é exposto.

Trajetória

Quem está do outro lado

Passei a maior parte da carreira do lado do negócio: DRE, fluxo de caixa, margem, frota, chão de fábrica. Aprendi a fazer a pergunta antes de fazer o dashboard, porque o dashboard bonito que responde a pergunta errada não muda decisão nenhuma.

Quando a IA generativa deixou de ser demonstração e virou infraestrutura, o caminho foi natural: os mesmos dados, agora com sistemas que raciocinam sobre eles. Só que a régua mudou. Um relatório errado gera desconfiança; um agente errado gera dano — e por isso passei a tratar teste, spec e limite documentado como parte do produto, não como burocracia.

Hoje construo em público onde dá. Os dezessete projetos das séries RAG e MCP são abertos justamente para que alguém possa clonar, rodar os testes e conferir se o que eu digo se sustenta — inclusive os defeitos que eu mesmo encontrei e documentei. O AuditFlow é produto comercial e o código é fechado; dele eu mostro arquitetura e decisão, não repositório.

Baseado em Serra, Espírito Santo. Aberto a posições remotas de Tech Lead, AI Engineer ou Head de IA e Dados.

2007–2018Infraestrutura e liderança de TIVision Mobile e SERVINEL. Servidores, virtualização, redes e coordenação de equipes técnicas — nove anos como gestor de TI.
2019–2025Processos e dados corporativosPentago Brasil. BPMN e BPMS em ambientes críticos de Sebrae MG, Sebrae SP e ISH, com administração de SQL Server e governança de data center.
2022–2025Consultoria em BI e AnalyticsPipelines, integrações, automação em Python e os painéis executivos que estão nesta página.
2025–2026Analytics Engineering em logísticaTransilva Transportes. Data lake, pipelines ETL/ELT entre ERP e BI, APIs e webhooks, práticas de DataOps.
2026 →GIULIA AIAuditFlow em produção, 17 projetos abertos de RAG e MCP, e a formação Auditoria 2.0.
FormaçãoPós em Sistemas e Agentes Inteligentes (UFG)Antes, MBA em Ciência de Dados.

Vamos conversar

Se você está montando um time que precisa colocar IA em processo de negócio — e não só em prova de conceito — me chame. Respondo em português e em inglês.

E-mailcontato@wganalytics.com.br LinkedIn/in/wganalytics → GitHubgithub.com/wganalytics → WhatsApp+55 27 99713-6867 →