Cal.com move seu produto principal para código fechado por causa das ameaças da IA ao open source

A Cal.com, uma das empresas open source mais conhecidas na categoria de agendamento (scheduling), está movendo sua versão comercial para código fechado. O motivo não é uma mudança de modelo de negócio em si, mas um novo equilíbrio de riscos: a empresa considera que as ferramentas de IA atuais facilitaram demais a busca por vulnerabilidades em repositórios públicos e tornaram o código aberto caro demais de proteger quando se trata dos dados dos usuários.

A empresa anunciou a decisão em 15 de abril de 2026. O código de produção e o desenvolvimento futuro do produto comercial passam a ser privados, enquanto o repositório público se torna uma ramificação comunitária separada, chamada Cal.diy. Essa versão continua self-hosted e open source, mas agora sob a licença MIT, no lugar da AGPL anterior. Ela mantém o motor de agendamento, a lógica de reservas, a app store e a API v2, ou seja, tudo de que desenvolvedores individuais e pequenas equipes precisam para implantá-la por conta própria.

Do Cal.diy saem os itens ligados ao serviço comercial gerenciado e a cenários enterprise: organizações e equipes, routing forms, workflows automáticos, instant booking, AI phone, SAML/SSO, painéis analíticos, parte das interfaces administrativas e a antiga API v1. Na prática, a Cal.com divide o produto em duas trajetórias: uma plataforma aberta para hobby e self-hosting e uma versão de produção fechada, em que a empresa assume a responsabilidade pelos dados sensíveis dos clientes. Dentro da equipe, a explicação é simples: eles querem ser uma empresa de agendamento, não uma empresa de cibersegurança.

O argumento da Cal.com gira em torno da ideia de que a IA muda radicalmente a economia da segurança ofensiva. Antes, encontrar bugs exploráveis exigia um pesquisador experiente e muito tempo de trabalho manual; agora modelos e ferramentas com agentes conseguem percorrer a base de código de forma sequencial, rastrear fluxos de dados, procurar violações de lógica de negócio e montar rapidamente uma prova de conceito.

Em uma publicação no próprio blog, a Cal.com cita testes do parceiro Hex Security: em 28 empresas, seus agentes autônomos de pentest encontraram cerca de 2000 vulnerabilidades, das quais 44,6% eram críticas ou de severidade alta, e em 65,1% das varreduras apareceu pelo menos um bug crítico. No mesmo texto, é citado um benchmark em que o acesso ao código-fonte aumentava a detecção de vulnerabilidades em cerca de 20% em comparação com a verificação black-box. Como símbolo público dessa nova realidade, a empresa cita o caso do modelo de IA Mythos, que, segundo a versão dela, conseguiu identificar uma vulnerabilidade antiga no BSD e construir rapidamente um exploit funcional.

A própria Cal.com não afirma que código fechado torna o produto seguro automaticamente. Na explicação oficial, a empresa reconhece abertamente que essa não é uma solução perfeita e que segurança por obscuridade, sozinha, não protege. Mas, para um serviço que processa dados de reuniões, calendários e reservas, até uma pequena redução na probabilidade de auditoria em massa por atacantes parece justificada. Em paralelo, a equipe promete manter patches de segurança sincronizados entre o produto fechado e o Cal.diy e diz que gostaria de voltar um dia ao formato aberto, caso o panorama de ameaças se torne mais gerenciável.

É uma virada especialmente notável, porque a Cal.com construiu sua marca justamente como alternativa open source ao Calendly e não escondia que via no código aberto uma fonte de crescimento. Segundo a liderança, com outra configuração de riscos a empresa preferiria continuar no modelo anterior. Ou seja, não se trata de um rompimento total com a comunidade, mas de uma tentativa de separar as partes experimental e comercial do produto em perímetros de segurança diferentes.

A principal conclusão vai além do destino de uma única empresa. A história da Cal.com mostra que a IA muda não só o desenvolvimento, mas o próprio contrato social do open source: a transparência continua ajudando os defensores, mas agora também escala o trabalho dos atacantes com a mesma eficiência. Para produtos open source comerciais, isso pode significar uma escolha dolorosa entre a ideologia da abertura e a obrigação de reduzir o risco para os clientes. A Cal.com é a primeira a fazer essa escolha de forma tão explícita, e é por isso que o caso dela importa para toda a indústria.