Vulnerabilidades do vibe coding: como sites gerados por IA deixam brechas para hackers

O vibe coding deu a milhões de pessoas a chance de criar aplicativos sem saber programar: basta descrever a tarefa em linguagem comum e a IA gera um código funcional. É prático, rápido e muitas vezes entrega um ótimo resultado. Mas essa acessibilidade esconde um problema em que a maioria dos iniciantes nem pensa: a IA escreve código que funciona, mas nem sempre seguro.

A história de um site

Bob Starr, gerente de projetos do setor de tecnologia, usou vibe coding para criar o site "Boomberg", uma ferramenta que mostrava de forma clara quanto dinheiro de impostos dos EUA vai para empresas de tecnologia. Ficou satisfeito com o resultado e lançou o projeto publicamente de imediato. É exatamente assim que o vibe coding funciona: rápido, da ideia ao produto, sem etapas intermediárias.

Só meses depois, Starr descobriu algo preocupante: o código continha uma injeção de SQL. É uma vulnerabilidade clássica, em que um invasor pode ler ou alterar dados em um banco de dados apenas formulando uma consulta especial. A falha existia desde o lançamento; ninguém a havia notado.

"Foi um descuido evidente da minha parte.

Um ponto cego total ao adotar uma nova tecnologia. E tenho certeza de que outros cometem o mesmo erro", admitiu Starr em conversa com o The Verge.

Por que a IA deixa passar ameaças

As ferramentas de programação com IA são otimizadas para uma coisa: fazer o código executar o que se pede. Elas geram um resultado funcional rapidamente, mas a segurança muitas vezes fica em segundo plano ou é totalmente ignorada.

O problema não é a qualidade da geração. O problema é que o usuário sem experiência em desenvolvimento não sabe que perguntas fazer. Um engenheiro experiente, depois de escrever o código, sempre verifica como os dados chegam às consultas ao banco, quem tem acesso às funções administrativas e se segredos foram parar no repositório. Para a maioria dos vibe coders, essas perguntas simplesmente não surgem.

Vulnerabilidades típicas em projetos de vibe coding:

• Injeções de SQL: o código não sanitiza a entrada do usuário antes de passá-la ao banco
• Chaves de API expostas: segredos vão parar direto no código-fonte
• Dependências desatualizadas: uso de bibliotecas com vulnerabilidades conhecidas
• Endpoints desprotegidos: funções administrativas sem verificação de autorização
• Vulnerabilidades XSS: exibição insegura de dados no navegador

Não dá para subestimar a escala

O vibe coding há muito deixou de ser um fenômeno de nicho. Cursor, GitHub Copilot, Replit e Lovable atraíram dezenas de milhões de usuários, muitos deles escrevendo código pela primeira vez na vida. Parte desses projetos são experimentos pessoais sem usuários reais. Mas outra parte já está no ar, processa dados reais e está aberta a qualquer pessoa.

É importante entender que a vulnerabilidade encontrada por Starr não é exótica. Injeções de SQL estão no OWASP Top 10 há mais de 15 anos e continuam entre os problemas mais comuns de aplicações web. A IA as reproduz porque foi treinada com código que as continha.

A história de Bob Starr é reveladora justamente porque ele não tentou pegar atalhos: simplesmente não sabia o que precisava ser verificado. E esse é o principal risco estrutural do vibe coding: não a má intenção, mas o desconhecimento sistêmico.

O que isso significa

O vibe coding reduz a barreira de entrada no desenvolvimento, mas não elimina a responsabilidade pelo que você publica na rede. Se o projeto processa dados de usuários ou simplesmente é acessível pela internet, uma auditoria básica de segurança é obrigatória. Pedir à própria IA que verifique o código em busca de vulnerabilidades, estudar o OWASP Top 10 ou entregar o projeto a um especialista para uma auditoria rápida já é um bom começo.