A nova tendência da programação se chama Vibe Coding. A pessoa não sabe o que é uma variável, não sabe o que é um banco de dados, mas quer criar um SaaS milionário só conversando com a inteligência artificial. Digita "cria um sistema de login pra mim", a IA cospe 200 linhas de código, a pessoa copia, cola, faz deploy. Pronto: acredita que virou o novo Zuckerberg em 15 minutos.
O sistema funciona. A tela fica bonita. Mas como disse João Gabriel, o Matuto Programador, engenheiro de segurança da informação: "você acabou de construir uma casa sem portas numa rua perigosa."
Antes de continuar, vale explicar os termos técnicos envolvidos — porque é exatamente essa falta de entendimento que causa o problema.
O que é Vibe Coding?
Vibe Coding é o termo usado para descrever a prática de criar software inteiro usando apenas prompts em ferramentas de IA generativa (como ChatGPT, Claude, Copilot, Cursor, entre outras), sem entender o código gerado. O programador "vibra" com o resultado visual, mas não lê, não audita e não valida o que a máquina escreveu. O termo foi cunhado por Andrej Karpathy, ex-diretor de IA da Tesla e cofundador da OpenAI, em fevereiro de 2025.
O que são Hardcoded Secrets?
São credenciais sensíveis (senhas, chaves de API, tokens de acesso) escritas diretamente no código-fonte, em texto claro. É o equivalente a colar a senha do cofre na porta da frente. Quando a IA gera código "prestativo", frequentemente faz isso para simplificar a conexão com bancos de dados ou serviços externos. Se esse código vai para um repositório público, qualquer pessoa — ou bot automatizado — pode ler essas credenciais.
O que é um JWT (JSON Web Token)?
JWT é um padrão aberto para transmitir informações de autenticação entre sistemas de forma compacta e verificável. Funciona como um "crachá digital" que prova que você é quem diz ser. Se mal configurado — sem validação de assinatura, sem expiração, sem criptografia adequada — vira uma porta aberta para invasores se passarem por usuários legítimos. Um vibe coder que não sabe o que é um token não tem como validar se a IA implementou isso corretamente.
O que é Deploy?
Deploy é o ato de publicar o software em um servidor acessível pela internet. Quando você faz deploy, seu código deixa de ser um rascunho local e se torna um sistema vivo, exposto ao mundo. Fazer deploy de código inseguro é como abrir uma loja e esquecer de trancar a porta — com o estoque inteiro lá dentro.
O caso real: 4 horas entre o deploy e o sequestro
João Gabriel relata que foi chamado para auditar uma startup criada por um vibe coder. O sistema parecia profissional. Até ele abrir o repositório. O que a IA tinha feito:
- Escreveu a senha master do banco de dados em texto claro, direto no código
- Criou um sistema de logs que enviava CPF e cartão de crédito dos clientes para uma API pública, sem criptografia
- Tudo foi commitado (enviado) para um repositório GitHub público
Em 4 horas, um bot russo detectou as credenciais expostas. Entrou no banco de dados, sequestrou a empresa inteira e deixou uma mensagem cobrando 2 bitcoins de resgate. O fundador argumentou: "mas a IA me disse que o código estava otimizado." A resposta de João Gabriel é cirúrgica: "A máquina fez exatamente o que você pediu. Fez funcionar. Mas a IA não responde os processos criminais. Quem responde é o seu CPF."
Os números que sustentam a preocupação:
- Segundo a GitGuardian (2024), mais de 12,8 milhões de segredos (secrets) foram encontrados expostos em repositórios públicos do GitHub em um único ano
- O relatório da IBM "Cost of a Data Breach 2024" aponta que o custo médio global de um vazamento de dados é de US$ 4,88 milhões
- A OWASP (Open Web Application Security Project) lista "Broken Access Control" e "Security Misconfiguration" entre os 10 riscos mais críticos — exatamente os tipos de falha que a IA tende a gerar sem aviso
- No Brasil, a LGPD (Lei 13.709/2018) prevê multas de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração, além de responsabilização civil e criminal do controlador dos dados
A responsabilidade é de quem?
Este é o ponto que o vibe coder não entende: a IA é uma ferramenta, não um responsável legal. Modelos de linguagem alucinam soluções rápidas, ignoram diretrizes de segurança e não têm contexto sobre conformidade regulatória. Quem assina o CNPJ, quem faz o deploy, quem coleta os dados — esse é quem responde perante a ANPD, a Polícia Federal e os tribunais.
O que fazer se você usa IA para programar?
A IA é uma aliada poderosa quando usada por quem entende o que está lendo. Algumas práticas essenciais:
- Nunca faça deploy de código que você não entende — se não sabe o que cada linha faz, não publique
- Nunca commite segredos no código — use variáveis de ambiente (.env) e ferramentas de gestão de segredos (AWS Secrets Manager, HashiCorp Vault, etc.)
- Valide autenticação e autorização — entenda como JWT, OAuth e sessions funcionam antes de implementá-los
- Use ferramentas de análise estática — scanners como GitGuardian, Snyk, SonarQube detectam vulnerabilidades antes do deploy
- Faça revisão de código (code review) — mesmo que seja só você, leia o que a IA gerou com olhos críticos
- Conheça o básico de OWASP Top 10 — é o mínimo para quem coloca software na internet
A IA democratizou a criação de software. Isso é extraordinário. Mas democratizar a criação sem democratizar o entendimento é uma receita para desastres de segurança em escala.
O Vibe Coding em si não é o vilão. O vilão é a ilusão de que entender o problema é opcional.
Você já auditou o código que a IA escreveu pra você?