5 cuidados para usar IA no código e evitar falhas graves

Tecnologia

Descubra práticas essenciais para garantir segurança e eficiência ao integrar inteligência artificial no desenvolvimento de software.

Leia também: Pixel 11 Pro Fold é 3x mais durável e tem tela 30% mais clara

Engenheiros de software que aderiram ao vibe coding em plataformas como Replit, Lovable e Vercel estão entregando código até quatro vezes mais rápido, mas também abrindo brechas que podem gerar dez vezes mais problemas de segurança, de vazamento de chaves de API a ataques de SQL injection e DDoS, segundo a empresa de cibersegurança Apiiro.

O que é vibe coding e por que isso importa para a segurança

Vibe coding é o apelido dado ao desenvolvimento em que o programador basicamente conversa com a IA, pede funcionalidades em linguagem natural e copia o código sugerido. O termo ganhou força depois que Andrej Karpathy, cofundador da OpenAI, descreveu seu fluxo de trabalho como: “I just see stuff, say stuff, run stuff, and copy paste stuff, and it mostly works”.

Na prática, isso significa escrever muito menos código à mão e confiar que o modelo preencha as lacunas. O ganho de velocidade é real, especialmente para iniciantes e times enxutos. O problema é que o modelo não sente “medo” de ataque hacker e não tem contexto da sua política de segurança. Sem orientação clara, ele tende a pegar atalhos, repetir padrões vulneráveis e até inventar dependências de software que não existem ou são maliciosas.

O resultado, medido pela Apiiro em grandes empresas, é um aumento expressivo na exposição a riscos. Para reduzir esse impacto sem abrir mão da produtividade, especialistas em segurança têm apontado cinco práticas básicas que todo projeto vibe-coded deveria seguir.

Trate a IA como um “gênio preguiçoso”, não como guardião da segurança

A primeira recomendação é de mentalidade: o modelo de IA deve ser visto como um “gênio preguiçoso”. Ele faz o que você pede, do jeito mais curto possível, mas não garante segurança, privacidade ou revisão cuidadosa.

Na prática, isso significa nunca assumir que “se veio da IA, está certo e seguro”. A checagem continua sendo responsabilidade do desenvolvedor. Isso vale para lógica de negócio, controle de acesso, exposição de dados e escolha de bibliotecas.

Uma forma simples de melhorar o resultado é dizer explicitamente que segurança é prioridade. Em vez de pedir apenas “faça um endpoint de login”, é melhor escrever algo como: “crie um endpoint de login com proteção contra força bruta, sem expor detalhes de erro, seguindo boas práticas da OWASP”.

Especifique requisitos de segurança nos próprios prompts

Os modelos respondem melhor quando recebem contexto detalhado. Ao pedir um código, inclua desde o início requisitos como:

– Regras de privacidade e quais dados podem ou não ser logados;
– Limitações de acesso por usuário, papel ou escopo;
– Necessidade de criptografia em repouso ou em trânsito;
– Referência explícita às principais vulnerabilidades, pedindo que sejam evitadas.

Uma dica prática é instruir a IA a consultar a lista de riscos mais comuns catalogados pela comunidade de segurança, como o Top 10 da OWASP, e gerar o código já levando esses pontos em conta. Também é possível pedir uma segunda rodada: primeiro a IA escreve, depois faz uma revisão do próprio código procurando pontos exploráveis.

Ferramentas como Lovable e Replit permitem guardar essas orientações em seções de “Knowledge” ou “Memory”. Outra alternativa é criar um arquivo markdown com diretrizes de segurança persistentes, que o agente consulta a cada nova tarefa. Assim, o desenvolvedor não precisa repetir todas as regras em cada prompt.

Não exponha chaves e senhas: use variáveis de ambiente

Um dos erros mais frequentes no vibe coding é colar chaves de API, tokens e senhas diretamente no prompt ou aceitar que a IA devolva esses dados escritos no código-fonte. Em ambientes que depois vão parar em repositórios públicos, como GitHub, isso é praticamente um convite a vazamentos.

A orientação é simples: dado sensível nunca entra em prompt e nunca aparece em claro no código. O segredo deve ficar em um gerenciador de senhas ou cofre seguro, e a aplicação lê esse valor por meio de variáveis de ambiente.

Plataformas populares entre vibe coders, como Replit, Lovable e Vercel, já oferecem abas de “Environment Variables” ou “Secrets”. O fluxo recomendado é:

– Cadastrar a chave ou senha apenas nessa área protegida;
– Ensinar a IA a acessar o valor via variável de ambiente (por exemplo, process.env.API_KEY);
– Conferir se o valor não aparece em nenhum arquivo do projeto.

Se a ferramenta não tiver suporte nativo, o caminho é criar um arquivo .env no backend, referenciá-lo no código e garantir que ele jamais se torne público. Isso inclui adicioná-lo ao .gitignore, checar configurações de deploy e garantir que o front-end não exponha o conteúdo em nenhuma rota.

Para verificar se nada vazou por descuido, dá para passar o repositório por scanners especializados, como o TruffleHog, que procura por chaves e segredos em arquivos de texto.

Blindar o banco: parametrização e políticas contra SQL injection

Aplicações vibe-coded que lidam com grandes volumes de dados quase sempre conversam com bancos SQL. Se a consulta vier frágil, um atacante pode explorar falhas de validação para executar comandos maliciosos, roubar informações ou apagar registros.

Ao pedir consultas ou camadas de acesso à base, o desenvolvedor deve instruir a IA a sempre parametrizar as queries e sanitizar entradas. Em vez de montar strings concatenando valores recebidos do usuário, o código deve usar parâmetros preparados pelas bibliotecas oficiais do banco.

Outra recomendação é concentrar ações críticas em rotas ou Server Actions protegidas, longe do front-end, e habilitar recursos de segurança em nível de linha (RLS), com políticas bem definidas. Em bancos que oferecem esse tipo de controle, a RLS impede que um usuário leia ou altere linhas às quais não tem permissão, mesmo que consiga montar uma consulta mais ampla.

Também vale incluir nos prompts um pedido para que a IA verifique se está usando versões atuais de bibliotecas de acesso a banco e frameworks. Há casos em que o modelo “alucina” pacotes que não existem ou sugere dependências pouco confiáveis, abrindo porta para problemas adicionais.

Rate limiting para bloquear DDoS e ataques de força bruta

Outra frente crítica é a proteção contra abuso de endpoints. Sem nenhum controle de frequência, um agressor pode disparar milhares de requisições em pouco tempo, derrubando o serviço (ataque DDoS) ou testando senhas em massa (força bruta e credential stuffing).

A solução clássica é implementar rate limiting, limitando quantas vezes um usuário, IP ou conta pode executar uma determinada ação em um intervalo de tempo. Ao pedir que a IA gere endpoints sensíveis — login, reset de senha, APIs que consomem muitos recursos ou tokens pagos — vale deixar claro que é necessário implementar limitadores.

Para aplicativos com autenticação, a recomendação é priorizar o rate limiting por ID de conta e, em seguida, por IP. Isso dificulta que alguém burle o sistema trocando de rede via VPN e ajuda a proteger usuários legítimos contra bloqueios injustos.

Camadas adicionais, como verificação por e-mail ou SMS em fluxos de cadastro e recuperação de senha, além de CAPTCHA em formulários críticos, também reduzem o espaço para automação maliciosa.

Ferramentas específicas de segurança para projetos vibe-coded

Mesmo seguindo boas práticas nos prompts, o código gerado precisa ser auditado. Quando não há um engenheiro de software experiente por perto, é possível recorrer à própria IA para revisar o projeto completo em busca de vulnerabilidades, pedindo uma análise voltada a riscos da OWASP e ataques comuns àquela pilha de tecnologia.

Além disso, começa a surgir um ecossistema de ferramentas dedicadas a examinar aplicações criadas com forte apoio de modelos de IA. Soluções como scanners de código estático, checadores de configuração de nuvem e serviços de “vibe app scanner” prometem apontar brechas desde a fase inicial do desenvolvimento.

Plataformas de desenvolvimento também vêm oferecendo logs de auditoria mais ricos, facilitando rastrear quem mudou o quê e quando. Isso ajuda tanto na identificação de falhas introduzidas por um prompt específico quanto na resposta a incidentes de segurança.

Para iniciantes e equipes pequenas, a combinação de prompts bem especificados, uso disciplinado de variáveis de ambiente, consultas SQL protegidas, rate limiting e ferramentas automáticas de verificação pode ser suficiente para manter o vibe coding produtivo — e, ao mesmo tempo, menos arriscado para usuários e empresas.