Ferramentas de inteligência artificial permitem hoje que qualquer pessoa, sem nenhuma linha de código escrita à mão, descreva uma ideia em texto e receba um aplicativo funcional em minutos. Essa prática, conhecida como “vibe coding”, democratizou o desenvolvimento de software. Mas trouxe junto um problema sério: aplicações publicadas sem noção de segurança da informação nem de LGPD (Lei Geral de Proteção de Dados).

Uma investigação da empresa de cibersegurança RedAccess, divulgada pela revista Wired, encontrou cerca de cinco mil aplicações web criadas em ferramentas populares de IA com falhas graves de proteção de dados, incluindo exposição de registros hospitalares e conversas privadas de usuários. O entusiasmo com a velocidade de criação é real. O risco jurídico e reputacional que ele carrega, também.

O que é o “vibe coding” e por que ele preocupa especialistas em segurança

Vibe coding é o termo popularizado por Andrej Karpathy para descrever o desenvolvimento guiado por intenção: a pessoa descreve em linguagem natural o que quer construir, e a IA gera toda a lógica e a interface. O foco muda da sintaxe para o resultado visual e funcional.

O problema é estrutural. Modelos de IA otimizam para entregar algo que funciona e parece pronto, não necessariamente algo seguro. Um levantamento da Snyk apontou que 36% do código gerado por assistentes de IA contém vulnerabilidades quando publicado sem revisão técnica. Estudos da Veracode e da Cloud Security Alliance foram além, identificando índices de 45% e 62% respectivamente em suas análises de código gerado por IA.

Por que o código “parece” seguro mesmo quando não é

Código gerado por IA costuma ser limpo, bem formatado e organizado. Essa estética induz quem revisa a acreditar que está tudo certo. Vulnerabilidades lógicas, falhas de autenticação e brechas de exposição de dados raramente aparecem em uma leitura superficial, principalmente para quem nunca programou antes.

Os riscos concretos de publicar uma aplicação sem revisão técnica

Sem conhecimento prévio de programação, é praticamente impossível identificar os pontos onde uma aplicação está vulnerável antes que ela vaze dados reais de clientes, pacientes ou usuários.

  • Bancos de dados abertos por padrão: muitas plataformas de IA deixam o backend público até que alguém configure permissões manualmente, o que raramente acontece quando não se sabe que isso é necessário.
  • Ausência de autenticação em rotas sensíveis: painéis administrativos e endpoints de API ficam acessíveis a qualquer pessoa que descubra o endereço.
  • Injeção de SQL e Cross-Site Scripting (XSS): falhas clássicas que continuam presentes em boa parte do código gerado por IA, segundo a análise da Tanium.
  • Dependências fantasma (“slopsquatting”): a IA pode indicar bibliotecas que não existem ou que foram criadas maliciosamente para imitar nomes reais, abrindo uma porta na cadeia de suprimentos do software.
  • Tempo de resposta alto em incidentes: quando a equipe não entende o próprio sistema, o tempo para identificar e corrigir uma falha depois de um ataque aumenta consideravelmente.

Dois casos brasileiros de 2026 ilustram o que acontece quando velocidade avança sem controle. Em junho, uma falha em um pull request fez um grande banco disparar por engano notificações de liquidação a milhões de clientes. Dias depois, um sistema nacional de alertas foi invadido por um hacker que explorou a ausência de autenticação multifator e enviou uma mensagem indevida a cerca de 30 milhões de celulares. Nenhum dos dois casos nasceu de vibe coding puro, mas ambos mostram o mesmo padrão de risco: sistemas em produção sem camadas suficientes de revisão e segurança.

Onde a LGPD entra nessa equação

A LGPD (Lei nº 13.709/2018) exige que qualquer pessoa física ou jurídica que trate dados pessoais garanta segurança técnica e administrativa adequada, independente de saber ou não como o sistema por trás disso funciona. Publicar uma aplicação com falha de segurança que expõe dados de clientes é, na prática, uma violação da lei, mesmo que a intenção nunca tenha sido essa.

A ANPD está fiscalizando com mais rigor em 2026

A Autoridade Nacional de Proteção de Dados deixou de ser um órgão apenas orientativo. Em 2026, ela virou agência reguladora com orçamento e carreira próprios, e publicou o mapa de temas que vai fiscalizar até 2027. Só em junho, abriu 19 novos processos administrativos sancionadores, a maior leva de sua história. O gatilho, na maioria dos casos, nem foi um vazamento espetacular: foi a ausência de encarregado de dados e de canal de atendimento ao titular, itens básicos de conformidade.

As sanções previstas incluem advertência, multa de até 2% do faturamento da empresa (limitada a R$ 50 milhões por infração) e bloqueio ou eliminação dos dados envolvidos. Para uma empresa pequena ou um profissional autônomo que criou um app sem apoio técnico, esse risco pode significar o fim do projeto.

O que está incluso em uma consultoria técnica de segurança e conformidade

Uma avaliação profissional antes de colocar uma aplicação no ar cobre pontos que dificilmente aparecem para quem só interage com a IA em linguagem natural.

  • Análise de vulnerabilidades no código gerado, incluindo testes de injeção, autenticação e exposição de endpoints;
  • Revisão das configurações de banco de dados e permissões de acesso;
  • Checagem de dependências e bibliotecas usadas pela IA;
  • Adequação da coleta e do tratamento de dados pessoais às exigências da LGPD;
  • Orientação sobre encarregado de dados, política de privacidade e canal de atendimento ao titular;
  • Plano de resposta a incidentes, caso algo já esteja em produção.

Esse tipo de trabalho pode ser feito tanto antes do lançamento, como parte de uma consultoria técnica preventiva, quanto depois, por meio de uma análise de vulnerabilidades aplicada a um sistema que já está no ar.

O que isso significa na prática para o seu projeto ou negócio

Usar IA para acelerar o desenvolvimento não é o problema. O problema é tratar o resultado como pronto para produção sem nenhuma etapa de revisão. Para quem administra uma clínica, um escritório ou uma pequena empresa, isso se traduz em um risco direto: dados de clientes ou pacientes expostos, processo administrativo da ANPD e perda de confiança do público.

A boa notícia é que o custo de prevenir é muito menor que o custo de remediar depois de um vazamento. Uma revisão técnica pontual, feita por quem entende tanto de segurança quanto de LGPD, resolve a maior parte dos riscos antes que eles se tornem um problema real.

Se você criou ou está pensando em criar uma aplicação com apoio de IA, vale revisar a segurança e a conformidade antes de divulgá-la para o público. Conheça o serviço de análise de vulnerabilidades e agende uma avaliação inicial.

Perguntas frequentes

Preciso saber programar para usar ferramentas de vibe coding com segurança?
Não é obrigatório, mas é necessário ter alguém tecnicamente capacitado revisando o resultado antes de publicar, principalmente se a aplicação coleta dados de usuários, clientes ou pacientes.

A LGPD se aplica mesmo para aplicativos simples ou protótipos?
Sim. A lei se aplica a qualquer tratamento de dados pessoais, independente do tamanho da aplicação ou da intenção de quem a criou. Um protótipo que coleta e-mail ou telefone já está sujeito às exigências da LGPD.

Como saber se uma aplicação que já publiquei tem falhas de segurança?
Uma análise de vulnerabilidades identifica pontos de exposição de dados, falhas de autenticação e configurações incorretas no sistema, além de indicar as correções necessárias para adequação à LGPD.