LGPD e Cibersegurança: Vibe Coding nas empresas - velocidade sem segurança pode criar novos riscos

Ferramentas de Inteligência Artificial estão mudando rapidamente a forma como software é desenvolvido. Aplicações que antes exigiam semanas de trabalho podem ser prototipadas em dias ou até horas utilizando prompts, agentes de IA e plataformas capazes de gerar interfaces, bancos de dados, APIs e regras de negócio.

Vemos inúmeros founders não-técnicos desenvolvendo produtos de tecnologia, até mesmo sem nenhuma equipe de tecnologia.

Esse movimento popularizou o chamado Vibe Coding. A abordagem pode acelerar inovação, prototipação e criação de MVPs, mas também introduz uma questão importante para empresas: quem valida se o software criado pela IA é realmente seguro?

O tema ganhou tanta relevância que a própria OWASP Top 10:2025 passou a discutir o risco de confiança inadequada em código produzido por Inteligência Artificial, referindo-se explicitamente ao fenômeno do Vibe Coding. A recomendação central é simples: quem disponibiliza um código deve ser capaz de compreendê-lo e revisá-lo, independentemente de ter sido escrito por uma pessoa ou por IA. (OWASP)

O que é Vibe Coding?

Vibe Coding é uma abordagem de desenvolvimento na qual uma pessoa descreve em linguagem natural o que deseja criar e utiliza ferramentas baseadas em Inteligência Artificial para gerar grande parte ou eventualmente praticamente todo o código da solução.

Em vez de escrever manualmente funções, componentes, APIs e consultas ao banco de dados, o usuário solicita algo como: “crie um sistema para cadastrar clientes, autenticar usuários e apresentar um dashboard de vendas”. A IA interpreta a solicitação, cria a estrutura da aplicação e pode continuar ajustando-a a partir de novas instruções.

É uma abordagem extremamente útil para prototipação, provas de conceito, MVPs, automação interna e experimentação de produtos. O problema aparece quando a velocidade de desenvolvimento é confundida com prontidão para produção.

A pesquisa Stack Overflow Developer Survey 2025, realizada com mais de 49 mil profissionais de tecnologia, mostrou o paradoxo atual: a adoção de IA entre desenvolvedores continua crescendo, mas somente 29% afirmaram confiar na precisão das ferramentas de IA. Além disso, 66% disseram gastar mais tempo corrigindo soluções de IA que estavam “quase certas”. (Stack Overflow)

Quais são os principais riscos do Vibe Coding?

1. Incorporação de vulnerabilidades ao código

Uma aplicação funcionar não significa que ela seja segura.

Código gerado por IA pode implementar corretamente uma funcionalidade enquanto introduz vulnerabilidades relacionadas a autenticação, controle de acesso, validação de inputs, tratamento de sessões, criptografia ou comunicação com APIs.

Uma análise publicada em 2025 examinou 7.703 arquivos publicamente atribuídos a ferramentas de IA e encontrou 4.241 ocorrências associadas a categorias CWE de vulnerabilidades. Embora 87,9% dos arquivos analisados não apresentassem vulnerabilidades identificáveis pelo método utilizado, os resultados mostraram diferenças significativas entre linguagens e reforçam que código gerado por IA precisa de validação antes de chegar à produção. (arXiv)

A OWASP também alerta que ferramentas de desenvolvimento baseadas em IA podem sugerir dependências desatualizadas (ex. Log4J), componentes inexistentes e implementações vulneráveis, recomendando revisão humana e auditoria contínua das dependências. (OWASP Secure Coding with AI)

2. Soluções mal estruturadas e dívida técnica

Outra característica comum do Vibe Coding é o desenvolvimento incremental baseado em comandos como “adicione esta função”, “corrija este erro” ou “faça funcionar desta maneira”.

A aplicação pode continuar funcionando, mas sua arquitetura vai se tornando progressivamente mais complexa.

Podem surgir duplicação de código, dependências desnecessárias, funções excessivamente acopladas, falta de separação entre frontend e backend, consultas ineficientes e ausência de padrões arquiteturais.

O resultado é uma espécie de dívida técnica acelerada por IA: criar a aplicação torna-se extremamente rápido, enquanto compreender, testar e manter o sistema no futuro pode se tornar progressivamente mais difícil.

Esse risco aumenta quando ninguém na organização consegue explicar integralmente o código que está sendo colocado em produção.

3. Vulnerabilidades de Row Level Security — RLS

Este ponto merece atenção especial pois talvez seja uma das maiores causas de incidentes em aplicações deste tipo. Row Level Security, ou RLS, permite definir quais registros cada usuário pode visualizar ou modificar no banco de dados.

Imagine uma aplicação SaaS contendo clientes de várias empresas. Uma política incorreta pode permitir que um usuário altere um parâmetro em uma requisição e visualize registros pertencentes a outro cliente.

Hoje, os maiores provedores de código gerado por IA determina que o RLS deve estar habilitado nas tabelas localizadas em schemas expostos e recomenda aplicar o princípio do menor privilégio. (Supabase — Row Level Security)

Em aplicações criadas rapidamente por prompts, configurações de banco de dados podem receber menos atenção do que a interface. É justamente aí que podem surgir vulnerabilidades de autorização extremamente relevantes, permitindo vazamento de dados, extrafiltração e alteração de registros que, originalmente, não deveria ser possível.

4. Tokens, senhas e chaves gravados no frontend

Outro risco ocorre quando as soluções precisam de autenticação com algum terceiro ou banco de dados. Ao solicitar que uma ferramenta de IA “integre essa API”, por exemplo, ela pode colocar uma chave diretamente no código que será processado no navegador, oferecendo acesso a este segredo potencialmente a qualquer usuário.

Qualquer segredo enviado ao frontend deve ser considerado acessível ao usuário.

Secrets devem ser mantidos no backend ou em mecanismos adequados de gerenciamento de credenciais.

5. Dependências vulneráveis — ou até inexistentes

IA não escreve necessariamente todos os componentes de uma aplicação. Muitas vezes ela recomenda e integra bibliotecas externas.

Aqui surge um risco de software supply chain.

Um estudo apresentado pela USENIX analisou 16 modelos e encontrou uma taxa média de 19,6% de “package hallucinations”, situação na qual o modelo recomenda pacotes que simplesmente não existem. Nos modelos comerciais analisados, a média ficou próxima de 5%. (USENIX)

Um atacante pode registrar posteriormente um pacote utilizando aquele nome e transformá-lo em vetor de distribuição de código malicioso ou, utilizar bibliotecas desatualizadas sem que a equipe de desenvolvimento perceba a tempo.

6. Exposição de informações confidenciais para ferramentas de IA

O risco aqui não está no código produzido.

Ferramentas de coding agents podem acessar repositórios, arquivos, terminais, documentação e configurações. Dependendo da arquitetura e das configurações utilizadas, informações como credenciais, código proprietário, propriedade intelectual, dados pessoais e detalhes da infraestrutura podem entrar no contexto enviado ao modelo.

A própria OWASP recomenda, por exemplo, excluir arquivos como .env, certificados, private keys e arquivos de credenciais do contexto disponibilizado aos agentes de desenvolvimento. (OWASP Secure Coding with AI)

Por isso, políticas e governança de Inteligência Artificial tornam-se tão importantes quanto a escolha da ferramenta.

Vibe Coding precisa de SAST, DAST e SCA

A resposta aos riscos do Vibe Coding não é proibir o uso de IA, mas sim criar controles proporcionais à velocidade que ela proporciona.

Ferramentas de SAST (Static Application Security Testing) podem avaliar o código antes da execução; DAST (Dynamic Application Security Testing) analisa o comportamento da aplicação em execução; enquanto SCA (Software Composition Analysis) identifica riscos relacionados a bibliotecas e dependências utilizadas pelo software. Nisto, estas ferramentas tampouco deveriam se diferenciar das ferramentas desenvolvidas exclusivamente por humanos.

O modelo DevSecOps do NIST recomenda justamente práticas de shift-left, incluindo peer review, SAST e SCA durante o desenvolvimento. (NIST DevSecOps)

Mais importante do que simplesmente comprar ferramentas é estabelecer um processo de desenvolvimento de software seguro. O Secure Software Development Framework — SSDF do NIST, por exemplo, organiza práticas para preparar a organização, proteger o software, produzir aplicações mais seguras e responder a vulnerabilidades.

Empresas que estão acelerando produtos com IA podem também combinar esses controles com processos tradicionais de arquitetura, code review, testes automatizados, threat modeling, segregação de ambientes e gestão de vulnerabilidades. A Macher Tecnologia atua em desenvolvimento de sistemas e projetos digitais integrando essas preocupações ao ciclo de desenvolvimento.

Adequação de sistemas desenvolvidos com Vibe Coding à LGPD

Aplicações criadas com Vibe Coding também precisam observar os princípios e requisitos da LGPD desde sua concepção. Isso significa avaliar quais dados pessoais serão tratados, quais são as bases legais aplicáveis, por quanto tempo as informações serão armazenadas, quem poderá acessá-las e quais terceiros participarão do tratamento. Em sistemas gerados rapidamente com IA, contar com uma consultoria para direcionar a implantação é altamente recomendável, unindo jurídico, tecnologia e negócio.

A adequação à LGPD deve, portanto, fazer parte do próprio ciclo de desenvolvimento, incorporando conceitos de Privacy by Design e Privacy by Default. Isso pode incluir revisão de arquitetura, mapeamento de dados, definição de controles de acesso, elaboração de RIPD quando aplicável e testes que comprovem a efetividade dos controles implementados. Para sistemas desenvolvidos com Vibe Coding, a revisão humana e multidisciplinar é fundamental para garantir que uma aplicação que “funciona” tecnicamente também esteja preparada para operar de forma segura, transparente e compatível com a legislação de proteção de dados.

Qual é o papel do DPO na governança de IA?

O DPO não precisa se transformar em desenvolvedor, mas sua participação na governança de IA torna-se cada vez mais relevante. Aplicações criadas com Vibe Coding podem tratar dados pessoais, utilizar serviços externos, realizar transferências internacionais, criar perfis, armazenar informações em diferentes plataformas ou introduzir novos operadores na cadeia de tratamento. O encarregado pode contribuir avaliando essas mudanças sob a ótica da LGPD, AI Act europeu, gestão de terceiros, transparência e accountability. Veja também nosso conteúdo sobre LGPD e AI Governance.

Essa atividade evidencia por que governança de IA precisa ser multidisciplinar. Segurança pode identificar vulnerabilidades; desenvolvimento entende a arquitetura; Jurídico e Privacidade analisam obrigações regulatórias; Governança de Dados avalia qualidade, acesso e ciclo de vida das informações; enquanto áreas de negócio determinam o risco e a criticidade da solução. O DPO pode funcionar como um importante ponto de conexão entre essas disciplinas. Para organizações que precisam ampliar essa capacidade sem criar internamente toda a estrutura, modelos de DPO-as-a-Service e serviços compartilhados de privacidade podem apoiar esta evolução de maturidade.

Como a Macher Tecnologia pode ajudar

A Macher Tecnologia combina competências de tecnologia, privacidade, segurança da informação, gestão de riscos e projetos para ajudar empresas a adotar Inteligência Artificial de forma produtiva e segura. Podemos apoiar desde projetos de adequação à LGPD e DPO-as-a-Service até revisão de aplicações, práticas de desenvolvimento seguro, cybersecurity, governança de IA e estruturação de controles baseados em referências como NIST, ISO 27001 e ISO/IEC 42001.

A IA pode acelerar drasticamente o desenvolvimento de software. O desafio das empresas agora é fazer com que segurança, privacidade, arquitetura e governança acompanhem essa mesma velocidade.

Fale agora com nossos consultores!