Minha metodologia: aprendizagem sob demanda orientada por projetos com IA
Com o tempo eu fui construindo uma forma de estudar que funciona muito melhor para mim do que simplesmente seguir um curso inteiro, ler um livro do começo ao fim e só depois tentar colocar aquilo em prática.
Eu chamo essa abordagem de aprendizagem sob demanda orientada por projetos com IA.
A ideia é simples: eu começo por um problema real. Tento resolver. Quando encontro uma lacuna no meu conhecimento, estudo exatamente o que preciso naquele momento, aplico, valido e depois tento reconstruir o raciocínio sozinho.
Problema real → tentativa → lacuna → teoria mínima → nova tentativa → solução → engenharia reversa → síntese
Eu não espero saber tudo para começar
Se eu estiver analisando um plugin WordPress e encontrar uma entrada controlada pelo usuário chegando perto de uma query, eu não paro tudo para fazer um curso inteiro de PHP ou SQL.
Primeiro eu tento entender aquele fluxo específico. Onde a entrada nasce? Como ela é transformada? Em qual função ela chega? Existe validação? Sanitização? Escape? Prepared statement?
Se faltar conhecimento, eu estudo o mínimo necessário para continuar. Depois volto para o mesmo problema e testo novamente.
Para mim, o problema cria a necessidade de aprender a teoria.
Como eu aplico na prática
Meu processo normalmente segue algumas regras:
1. O problema vem primeiro. Pode ser uma vulnerabilidade, um CTF, um plugin WordPress, um agente de IA, um exercício de matemática ou qualquer projeto real.
2. Eu tento antes de pedir toda a resposta. A tentativa mostra exatamente onde está minha dificuldade.
3. Eu estudo a teoria sob demanda. Em vez de consumir um assunto inteiro sem contexto, eu aprendo o que preciso para avançar naquele problema.
4. Eu uso IA como tutora e ferramenta. Peço explicações, exemplos, analogias, análise de código e diferentes formas de enxergar o mesmo conceito.
5. Eu faço engenharia reversa da resposta. Não quero apenas saber que algo funciona. Quero entender por que funciona, linha por linha e conceito por conceito.
6. Eu valido. Comparo com documentação, código-fonte, laboratório, artigos, writeups, PortSwigger, TryHackMe, livros ou outras fontes confiáveis quando necessário.
7. Eu comprimo o conhecimento. Tento transformar assuntos grandes em modelos mentais pequenos. Em segurança web, por exemplo: entrada → transformação → sink → proteção.
8. Eu tento recuperar da memória. Explico com minhas próprias palavras, reconstruo uma solução ou tento reconhecer o mesmo padrão em outro código sem depender da resposta anterior.
O papel da IA
Eu não vejo IA como substituta do meu raciocínio.
Eu vejo como um amplificador.
Ela pode acelerar a parte chata, explicar um conceito de cinco formas diferentes, gerar exemplos mínimos, revisar hipóteses e apontar coisas que eu ainda não percebi.
Mas existe uma regra importante:
IA faz comigo → eu testo → questiono → desmonto → reconstruo → uso sozinho
Se eu só consigo reconhecer uma vulnerabilidade depois que a IA aponta, ainda existe dependência. Se depois eu consigo olhar um código diferente e formular a hipótese sozinho, aí o conhecimento começou a virar habilidade.
Por que essa metodologia funciona para mim
Áreas como bug bounty, programação, engenharia reversa e pesquisa aplicada exigem que conhecimento vire ação. Por isso eu aprendo melhor quando o conceito aparece conectado a um problema real.
Em vez de seguir sempre a sequência:
HTML → JavaScript → DOM → HTTP → segurança web → XSS → laboratório
muitas vezes eu aprendo assim:
entrada refletida → onde ela chega? → qual é o contexto? → por que meu teste não funcionou? → aprender escaping/contexto → testar de novo → entender → procurar outro caso
O conhecimento pode parecer menos linear, mas cada conceito fica ligado a uma situação concreta que eu realmente precisei resolver.
Ela realmente funciona?
Para mim, sim. Eu consigo transformar estudo em resultado prático, principalmente em segurança WordPress, análise de código, criação de PoCs e automação.
Isso não significa que minha metodologia seja perfeita ou que funcione igual para todo mundo.
Ela também combina ideias que já são estudadas na educação, como aprendizagem baseada em projetos, prática de recuperação, aprendizagem ativa e estudo distribuído. Eu não inventei esses princípios. O que eu fiz foi combinar essas ideias com IA e adaptar tudo ao jeito que eu estudo e trabalho.
Algumas referências que ajudam a entender esses princípios: retrieval practice ↗, distributed practice ↗ e um estudo sobre tutoria com IA ↗.
O principal risco
Aprender apenas sob demanda pode criar buracos.
Eu posso ficar muito bom nos padrões que encontro todos os dias e continuar fraco em assuntos que meus projetos nunca me obrigaram a estudar.
Por isso eu não interpreto minha metodologia como “zero teoria”. Para mim, a versão mais forte é:
prática primeiro → teoria sob demanda → validação → reconstrução sem IA → aprofundamento quando necessário
Estudo estruturado ainda é útil para preencher lacunas, criar fundamentos e encontrar assuntos que meus projetos ainda não colocaram na minha frente.
Minha regra principal
Eu não quero colecionar conteúdo estudado. Quero transformar conhecimento em capacidade de resolver problemas.
Se eu consigo explicar, testar, reconstruir e aplicar aquele conceito em uma situação diferente, para mim aquilo deixou de ser apenas informação e começou a virar conhecimento de verdade.
Essa é a base da minha metodologia.
Você Realmente Sabe Estudar?
Você realmente sabe estudar?
A maioria das pessoas acha que você desenvolve uma mentalidade de estudo da noite para o dia, mas não é assim que funciona.
Eu passei cerca de três anos aprendendo sobre psicologia da educação com minhas psicólogas e também fazendo minhas próprias pesquisas pela internet.
Se você quer estudar direito, principalmente coisas práticas como bug bounty, esqueça essa ideia de ler livros do começo ao fim.
Estou falando sério.
Aprenda o básico de Linux e redes — e quando eu digo básico, é básico mesmo. Depois disso, comece a se aprofundar em vulnerabilidades por meio de artigos, writeups, labs, CTFs e pesquisas reais.
Use livros como último recurso.
Para mim, livros funcionam melhor como material de consulta, principalmente quando quero confirmar alguma coisa, entender um conceito de forma mais profunda ou validar algo que a IA gerou.
A IA é uma ferramenta poderosa de estudo
A IA é absurdamente poderosa para aprender.
Ela foi treinada com conteúdo de várias áreas diferentes, linguagens de programação, assuntos técnicos, matemática, ciência, cibersegurança e muito mais.
É um modelo de propósito geral, mas pode ser muito boa em assuntos técnicos, e bug bounty se encaixa perfeitamente nisso.
Muito do conhecimento que você procura já está dentro da IA.
E sim, meu nobre, em muitos assuntos a IA provavelmente sabe muito mais do que você.
Não subestime ela.
Use.
Faça perguntas.
Peça para ela explicar a mesma coisa de cinco formas diferentes.
Peça exemplos.
Peça analogias.
Peça para simplificar.
Peça para analisar código.
Peça para explicar por que uma vulnerabilidade existe.
Depois valide o que ela te entregar.
A IA deve ser sua ferramenta, não o seu cérebro.
Ler ou assistir a vídeos?
Os dois são bons.
Pessoalmente, estou planejando criar materiais escritos e depois deixar alguém estudar esses materiais e transformá-los em vídeos.
Isso facilitaria muito as coisas.
Eu crio a estrutura, o roteiro e o conhecimento, e alguém com uma boa didática explica tudo por vídeo.
Vou tentar encontrar alguém que realmente saiba ensinar.
Porque saber alguma coisa e saber ensinar alguma coisa são duas habilidades completamente diferentes.
Dicas para estudar lendo
Leia em voz alta.
Se não entendeu alguma coisa, leia de novo.
E de novo.
Repita até o seu cérebro finalmente conectar os pontos.
Anote as coisas se isso te ajudar a compreender melhor.
Troque palavras complicadas por sinônimos mais simples.
Tente explicar o conceito usando suas próprias palavras.
Se ainda não entendeu, pare.
Volte no dia seguinte.
Tente novamente.
Talvez você ainda não entenda.
Tudo bem.
Volte de novo.
Em algum momento, você vai entender.
O importante é a persistência.
Videoaulas
Quando estiver assistindo a uma videoaula, não fique apenas olhando como se estivesse assistindo Netflix.
Estude de verdade.
Se a pessoa falar alguma coisa importante, pause o vídeo.
Pegue seu caderno e anote.
Mas não copie as coisas de forma automática.
Pense no que você está escrevendo.
Tente entender cada frase.
Pergunte para si mesmo:
“Eu realmente entendi isso?”
Se a resposta for não, volte.
Isso é estudo ativo.
Você não está apenas consumindo conteúdo.
Você está interagindo com ele.
Revisão espaçada
Pessoalmente, eu não gosto de forçar revisão espaçada em bug bounty.
Bug bounty é algo extremamente prático.
Se você pratica todos os dias, vai acabar encontrando os mesmos conceitos várias vezes.
XSS.
Autorização.
Autenticação.
Sources e sinks.
Sanitização.
Nonces.
Endpoints REST.
Hooks AJAX.
Entrada controlada pelo usuário.
Esses padrões continuam aparecendo.
Pratique o suficiente e eles começam a entrar naturalmente na sua memória de longo prazo.
Em vez de ficar relendo resumos o tempo todo, use suas anotações quando realmente precisar delas.
Antes de um CTF.
Antes de um lab.
Quando esquecer alguma coisa.
Quando encontrar uma vulnerabilidade e precisar entender algum conceito específico.
Isso é estudar sob demanda.
Conclusão
Essa é apenas a mentalidade básica que funciona para mim.
Agora é sua responsabilidade construir o seu próprio método de estudo.
Talvez tudo o que eu falei funcione perfeitamente para você.
Talvez metade funcione.
Talvez nada funcione.
E isso é completamente normal.
Aprender é algo pessoal.
Use IA.
Experimente.
Mude seu método.
Entenda como o seu próprio cérebro aprende.
E construa um sistema de estudo que realmente funcione para você. 😀
My Method: On-Demand, Project-Based Learning With AI
Over time, I built a way of studying that works much better for me than simply finishing a full course, reading a book cover to cover, and only then trying to apply what I learned.
I call this approach on-demand, project-based learning with AI.
The idea is simple: I start with a real problem. I try to solve it. When I hit a gap in my knowledge, I study exactly what I need at that moment, apply it, validate it, and then try to rebuild the reasoning by myself.
Real problem → attempt → knowledge gap → minimum theory → new attempt → solution → reverse engineering → synthesis
I Do Not Wait Until I Know Everything
If I am reviewing a WordPress plugin and find user-controlled input getting close to a database query, I do not stop everything to complete an entire PHP or SQL course.
I first try to understand that specific flow. Where does the input come from? How is it transformed? Which function receives it? Is there validation, sanitization, escaping, or a prepared statement?
If I am missing knowledge, I study the minimum needed to continue. Then I return to the same problem and test again.
For me, the problem creates the need to learn the theory.
How I Apply It
My process normally follows a few rules:
1. The problem comes first. It can be a vulnerability, a CTF, a WordPress plugin, an AI agent, a math exercise, or any real project.
2. I try before asking for the whole answer. The attempt shows me exactly where my difficulty is.
3. I study theory on demand. Instead of consuming an entire subject without context, I learn what I need to move the problem forward.
4. I use AI as a tutor and a tool. I ask for explanations, examples, analogies, code analysis, and different ways to look at the same concept.
5. I reverse-engineer the answer. I do not only want to know that something works. I want to understand why it works, line by line and concept by concept.
6. I validate. I compare against documentation, source code, labs, articles, writeups, PortSwigger, TryHackMe, books, or other reliable sources when needed.
7. I compress knowledge. I try to turn large topics into small mental models. In web security, for example: input → transformation → sink → protection.
8. I retrieve it from memory. I explain it in my own words, rebuild a solution, or try to recognize the same pattern in different code without depending on the previous answer.
The Role of AI
I do not see AI as a replacement for my reasoning.
I see it as an amplifier.
It can speed up tedious work, explain one concept in five different ways, generate minimal examples, review hypotheses, and point out things I have not noticed yet.
But I have one important rule:
AI works with me → I test → question → break it down → rebuild → use it alone
If I can only recognize a vulnerability after AI points it out, there is still dependency. If I can later look at different code and build the hypothesis myself, then that knowledge is starting to become a skill.
Why This Works for Me
Fields such as bug bounty, programming, reverse engineering, and applied research require knowledge to become action. I learn better when a concept is connected to a real problem.
Instead of always following:
HTML → JavaScript → DOM → HTTP → web security → XSS → lab
I often learn like this:
reflected input → where does it go? → what is the context? → why did my test fail? → learn escaping/context → test again → understand → find another case
The knowledge may look less linear, but each concept becomes connected to a concrete situation I actually had to solve.
Does It Actually Work?
For me, yes. I can turn study into practical results, especially in WordPress security, code analysis, PoC development, and automation.
That does not mean my method is perfect or that it works the same way for everyone.
It also combines ideas already studied in education, including project-based learning, retrieval practice, active learning, and distributed practice. I did not invent those principles. What I did was combine them with AI and adapt them to the way I study and work.
Some references behind these ideas: retrieval practice ↗, distributed practice ↗, and a study on AI tutoring ↗.
The Main Risk
Learning only on demand can create blind spots.
I can become very strong in patterns I see every day while remaining weak in topics my projects never forced me to study.
That is why I do not interpret my method as “zero theory.” For me, the strongest version is:
practice first → theory on demand → validation → reconstruction without AI → deeper study when needed
Structured study is still useful for filling gaps, building foundations, and discovering subjects my projects have not placed in front of me yet.
My Main Rule
I do not want to collect content I have studied. I want to turn knowledge into the ability to solve problems.
If I can explain, test, rebuild, and apply a concept in a different situation, then for me it has stopped being just information and started becoming real knowledge.
That is the foundation of my method.
Do You Really Know How to Study?
Do you really know how to study?
Most people think you build a study mindset overnight, but that’s not how it works.
I spent around three years learning about educational psychology with my psychologists and also doing my own research on the internet.
If you want to study properly, especially practical stuff like bug bounty, forget about reading books from cover to cover.
I’m serious.
Learn the basics of Linux and networking — and I mean the basics. After that, start going deeper into vulnerabilities through articles, writeups, labs, CTFs, and real research.
Use books as a last resource.
For me, books are better as reference material, especially when I want to confirm something, understand a concept more deeply, or validate something AI generated.
AI Is a Powerful Study Tool
AI is insanely powerful for learning.
It was trained on content from many different fields, programming languages, technical topics, mathematics, science, cybersecurity, and a lot more.
It is a general-purpose model, but it can be really good at technical subjects, and bug bounty fits perfectly into that.
A lot of the knowledge you are looking for is already inside AI.
And yeah, my friend, in many subjects AI probably knows way more than you do.
Don’t underestimate it.
Use it.
Ask questions.
Ask it to explain the same thing in five different ways.
Ask for examples.
Ask for analogies.
Ask it to simplify things.
Ask it to analyze code.
Ask it to explain why a vulnerability exists.
Then validate what it gives you.
AI should be your tool, not your brain.
Reading or Watching Videos?
Both are good.
Personally, I’m planning to create written materials and then let someone study those materials and turn them into videos.
That would make things way easier.
I create the structure, the script, and the knowledge, and someone with good teaching skills explains it through video.
I’ll try to find someone who actually knows how to teach.
Because knowing something and knowing how to teach something are two completely different skills.
Tips for Studying by Reading
Read out loud.
If you don’t understand something, read it again.
And again.
Repeat it until your brain finally connects the dots.
Write things down if that helps you understand them.
Replace complicated words with simple synonyms.
Try explaining the concept using your own words.
If you still don’t understand it, stop.
Come back the next day.
Try again.
Maybe you still won’t understand it.
That’s fine.
Come back again.
At some point, you will understand.
The important thing is persistence.
Video Lessons
When you are watching a video lesson, don’t just sit there watching it like Netflix.
Study it.
If the person says something important, pause the video.
Take your notebook and write it down.
But don’t copy things automatically.
Think about what you are writing.
Try to understand every sentence.
Ask yourself:
“Do I actually understand this?”
If the answer is no, go back.
That’s active learning.
You are not just consuming content.
You are interacting with it.
Spaced Repetition
Personally, I don’t like forcing spaced repetition into bug bounty.
Bug bounty is extremely practical.
If you practice every day, you will constantly see the same concepts again.
XSS.
Authorization.
Authentication.
Sources and sinks.
Sanitization.
Nonces.
REST endpoints.
AJAX hooks.
User-controlled input.
Those patterns keep showing up.
Practice enough and they start becoming part of your long-term memory naturally.
Instead of constantly rereading summaries, use your notes when you actually need them.
Before a CTF.
Before a lab.
When you forget something.
When you find a vulnerability and need to understand a specific concept.
That’s studying on demand.
Conclusion
This is just the basic mindset that works for me.
Now it’s your responsibility to build your own study method.
Maybe everything I said works perfectly for you.
Maybe half of it works.
Maybe none of it works.
And that’s completely normal.
Learning is personal.
Use AI.
Experiment.
Change your method.
Understand how your own brain learns.
And build a study system that actually works for you. 😀
← voltar