Por João Paulo Costa Pereira*
Cerca de 380 mil aplicações web criadas com ferramentas de inteligência artificial estavam publicamente acessíveis na internet, sem qualquer controle de acesso ou autenticação. Desse total, aproximadamente cinco mil vazavam dados corporativos e pessoais sensíveis, incluindo escalas de trabalho de hospitais com informações de identificação de médicos, estratégias comerciais de empresas, registros de incidentes de segurança e conversas privadas entre pacientes e profissionais de saúde.
Essa descoberta, feita em maio deste ano por uma empresa israelense de cibersegurança e verificada de forma independente por veículos como Axios e Wired, expõe uma realidade que poucos líderes de tecnologia estavam preparados para enfrentar: o vibe coding, prática de criar software por meio de comandos em linguagem natural a ferramentas de IA generativa, está produzindo uma crise de exposição de dados em escala comparável à dos buckets de armazenamento em nuvem mal configurados que atingiu empresas entre 2017 e 2020.
A diferença fundamental é que, naquele período, era necessário algum grau de conhecimento técnico para criar e configurar um servidor na nuvem. Agora, qualquer funcionário com acesso a um navegador e uma conta gratuita em plataformas de desenvolvimento assistido por inteligência artificial pode construir uma aplicação funcional em minutos, sem compreender o mínimo sobre controles de acesso, validação de dados ou criptografia.
As plataformas de vibe coding, por padrão, publicam as aplicações como acessíveis a qualquer pessoa, a menos que o usuário altere manualmente essa configuração. Muitas dessas aplicações acabam indexadas por mecanismos de busca, o que significa que qualquer pessoa pode encontrá-las com uma pesquisa simples.
Vibe coding: facilidade levanta alertas
Uma pesquisa publicada pela DX em fevereiro de 2026 revelou que 92,6% dos desenvolvedores já utilizam algum assistente de IA para programação ao menos uma vez por mês, e cerca de 75% o fazem semanalmente, mas o problema vai além dos profissionais de tecnologia. O vibe coding democratizou a criação de software para pessoas que nunca escreveram uma linha de código, e esse é precisamente o ponto em que a produtividade colide com o risco.
Segundo dados do GitHub, a IA já é responsável por 46% de todo o código novo produzido na plataforma, e a projeção é que esse percentual chegue a 60% até o fim do ano. Uma consultoria global de tecnologia prevê que 90% dos engenheiros de software corporativos utilizarão assistentes de IA para codificação até 2028, contra menos de 14% no início de 2024.
A mesma consultoria alerta que a abordagem de construção por prompt utilizada por desenvolvedores cidadãos, aqueles que não são profissionais de TI, pode aumentar defeitos de software em 2.500% até 2028 caso não haja governança adequada.
O que torna o vibe coding uma ameaça distinta da Shadow IT tradicional é a natureza bidirecional da exposição. Quando um funcionário utilizava um serviço de armazenamento em nuvem não autorizado, o risco principal era guardar arquivos fora do perímetro corporativo.
No vibe coding, o movimento é mais amplo: o funcionário constrói uma aplicação inteira que pode processar dados de clientes, conectar-se a sistemas internos e expor informações sem que a equipe de segurança sequer saiba que essa aplicação existe.
Do ponto de vista técnico, a fragilidade do código gerado por IA é consistente e bem documentada. Testes de fabricantes diferentes do setor apontam que 45% das amostras de código gerado por IA introduziam vulnerabilidades presentes na lista OWASP Top 10, a referência global de riscos em aplicações web. O índice de falha não apresentou melhora neste último ano, apesar das promessas dos fornecedores.
A consequência prática já é mensurável em termos de vulnerabilidades catalogadas. O projeto Vibe Security Radar, mantido pelo Systems Software & Security Lab da Georgia Tech, rastreou 35 novas entradas de CVE, o registro internacional de vulnerabilidades, diretamente atribuídas a código gerado por IA apenas em março de 2026, contra seis em janeiro e quinze em fevereiro.
Os pesquisadores estimam que o número real de vulnerabilidades introduzidas no ecossistema de código aberto é de cinco a dez vezes maior do que o registrado formalmente, dado que muitas aplicações construídas por vibe coding jamais passam por auditoria de segurança.
A velocidade com que aplicações são construídas e publicadas por meio de vibe coding supera em ordens de magnitude a capacidade das equipes de AppSec de revisá-las. Os pipelines de análise estática de código, desenhados para avaliar software desenvolvido por profissionais dentro de ambientes controlados, não foram projetados para detectar aplicações criadas por áreas de negócio que utilizam plataformas externas e publicam diretamente na internet. O resultado é um ponto cego operacional que cresce a cada semana.
O caminho para enfrentar essa realidade não passa por proibir o uso de IA para desenvolvimento de software. Pesquisas demonstram consistentemente que quase metade dos funcionários continuaria utilizando ferramentas pessoais de IA mesmo após uma proibição formal, o que apenas empurraria a prática para camadas ainda mais invisíveis.
A resposta eficaz exige tratar o vibe coding como um problema de arquitetura, não de política. Isso significa implementar varredura de descoberta nos domínios das principais plataformas de vibe coding, exigir revisão de segurança antes da publicação, estender o pipeline de segurança de aplicações para cobrir software criado por áreas de negócio e incluir esses domínios nas regras de prevenção de perda de dados.
O líder de segurança que tratar o vibe coding como uma questão de conscientização escreverá um memorando. O que tratá-lo como questão de arquitetura implementará controles antes que a próxima exposição vire manchete.
*João Paulo Costa Pereira é CEO da Solo Network
