Vibe coding é o desenvolvimento em que a pessoa descreve o que quer em linguagem natural e a IA escreve o código, muitas vezes sem revisão linha por linha. O ganho de velocidade é real, e o código funcionar não significa que ele seja seguro.
A IA entrega o que foi pedido, e requisitos de segurança raramente aparecem no pedido. O episódio Vibe coding: a falha criada por IA, da série Ares Killchains Breakdown, mostra uma cadeia de ataque que começa nesse tipo de falha.
Quais falhas aparecem com mais frequência?
A mais comum é a ausência de autorização: o código verifica se o usuário está logado, mas não se ele tem direito àquele dado. Trocar um identificador no endereço mostra os dados de outro cliente. É uma das falhas mais frequentes em testes de aplicação, descrita no OWASP Top 10 como controle de acesso quebrado.
Outras são segredos no código, como chaves de API e senhas de banco de dados escritas diretamente para o sistema funcionar, entrada do usuário usada sem validação em consultas e comandos e configurações permissivas, como modos de depuração ligados e armazenamento em nuvem público.
Dependências sugeridas pela IA
A IA sugere bibliotecas por padrão estatístico, e não por avaliação. Às vezes indica versões antigas com falhas conhecidas. Em outras, sugere pacotes que não existem, e atacantes já publicam pacotes maliciosos com esses nomes esperando que alguém os instale.
Cada dependência sugerida precisa ser conferida: se existe, se é mantida e se a versão tem falha conhecida.
Um problema de escala
Desenvolvedores também escrevem código inseguro. Com IA, o volume produzido por pessoa aumenta e o tempo de revisão por linha diminui. Parte desse código passou a ser escrita por quem não é desenvolvedor, como o analista que monta uma automação ou o time que publica um painel interno para teste, sem passar pelo ciclo de segurança da engenharia.
O resultado é uma superfície de ataque que cresce mais rápido do que a capacidade de revisá-la.
A IA também acelerou o lado de quem ataca. No relatório de inteligência de ameaças de agosto de 2025, a Anthropic descreveu um criminoso que usou um agente de programação para automatizar reconhecimento, coleta de credenciais e invasão de redes em ao menos 17 organizações.
Como usar IA no desenvolvimento com segurança
As práticas que reduzem o risco:
- Segurança no pedido: solicitar validação de entrada, checagem de autorização e segredos fora do código.
- Revisão antes de publicar: código gerado é rascunho até alguém revisá-lo.
- Verificação automática: varredura de segredos, análise de dependências e análise estática no pipeline.
- Dependências conferidas: existência, manutenção e falhas conhecidas.
- Caminho aprovado para não desenvolvedores: ambiente com regras e revisão.
- Teste do que está exposto: validação ofensiva contínua nas aplicações publicadas.
Com código novo indo ao ar toda semana, um teste anual cobre apenas o que existia no dia do teste, como discute o artigo sobre pentest contínuo.
Desenvolvimento seguro e validação contínua
A Vultus estrutura programas de desenvolvimento seguro que incluem também quem não é desenvolvedor e combina esse trabalho com pentest autônomo nas aplicações expostas. Conheça o programa de desenvolvimento seguro da Vultus e o pentest autônomo com IA.
