O "vibe coding" é a coisa mais divertida que já aconteceu na criação de software: você descreve o que quer, a IA constrói, e você nem toca em uma linha de código. Mágica pura. Mas toda mágica tem suas letras miúdas, e aqui as letras miúdas dão um certo medo: boa parte desse código mágico já vem com brechas de segurança de fábrica.
O dado que esfria a empolgação
A empresa de segurança Veracode fez o experimento a sério: colocou mais de 100 modelos de IA para gerar código e depois auditou tudo. O resultado? Cerca de 45% desse código introduziu vulnerabilidades do OWASP Top 10 — a lista das falhas de segurança mais clássicas e perigosas da web. Quase metade. É como pedir comida por delivery e um a cada dois pedidos vir com um ingrediente estragado. Nem sempre passa mal, mas a probabilidade é alta demais para ignorar.
Por que a IA escreve código inseguro (sem querer)
Não é que a IA seja maligna. É que ela aprendeu com milhões de exemplos da internet, e na internet tem tanto código bom quanto código inseguro. Além disso, quando constrói, a IA está em "modo otimista": ela pensa em fazer a função funcionar, não em como um atacante poderia abusar dela. É como um chaveiro rapidíssimo que instala a porta perfeita… mas às vezes esquece de colocar a fechadura. A porta abre e fecha maravilhosamente. O problema é quem mais consegue abrir.
Não é teoria: já teve vítimas reais
Isso não ficou num relatório. Vieram à tona casos de plataformas de vibe coding em que ficaram expostas credenciais e dados acessíveis para quem soubesse olhar. Quando você gera em altíssima velocidade e ninguém revisa, um descuido não fica na sua tela: vai para produção, onde o mundo inteiro encontra. Velocidade sem rede de segurança não é velocidade: é uma queda em câmera lenta.
A cura não é parar de usar IA — é colocar um guardião
A resposta não é voltar a programar tudo na mão (isso já não faz sentido). A resposta é somar uma segunda mente que revise o que a IA construiu, antes de chegar à produção: que cace o segredo exposto, a consulta que vaza dados, o endpoint sem proteção. Essa cultura — construir rápido, mas com um guardião de segurança em cima — é o que separa um projeto sério de um acidente esperando para acontecer.
Como a gente pensa isso
Na NeuralOS partimos de uma convicção: a disciplina de segurança não deveria ser um luxo para especialistas, e sim algo que já vem de série. Construir com IA tem que ser rápido E seguro, não uma coisa às custas da outra. Aliás, foi essa ideia que nos levou a criar e dar de graça um guardião de segurança de código aberto — porque acreditamos que caçar o bug e trazer a correção deveria estar ao alcance de qualquer pessoa que constrói com IA, não só de quem pode pagar um time de segurança.