Cerca de 380 mil aplicações web construídas com ferramentas de inteligência artificial estavam publicamente acessíveis na internet, sem qualquer controle de acesso ou autenticação. Desse conjunto, aproximadamente cinco mil expunham dados corporativos e pessoais sensíveis — escalas de trabalho de hospitais com identificação de médicos, estratégias comerciais de empresas, registros de incidentes de segurança e conversas privadas entre pacientes e profissionais de saúde.
O levantamento, realizado em maio de 2026 por uma empresa israelense de segurança digital e confirmado por veículos como Axios e Wired, escancara um cenário para o qual poucos líderes de tecnologia estavam preparados: o vibe coding já produz uma crise de exposição de dados comparável à dos servidores em nuvem mal configurados entre 2017 e 2020.
A diferença decisiva é a barreira de entrada. Naquele ciclo, era preciso algum conhecimento técnico para provisionar e configurar um servidor. Agora, qualquer colaborador com um navegador e uma conta gratuita em plataforma de desenvolvimento assistido por IA constrói uma aplicação funcional em minutos, sem noção de controle de acesso, validação de dados ou criptografia.
Some-se a isso o comportamento padrão dessas plataformas, que publicam as aplicações de forma aberta a menos que o usuário altere a configuração manualmente. Boa parte delas acaba indexada em buscadores, ao alcance de qualquer pesquisa simples.
A facilidade do vibe coding acende alertas
Pesquisa publicada pela DX em fevereiro de 2026 apontou que 92,6% dos desenvolvedores já recorrem a algum assistente de IA ao menos uma vez por mês, e cerca de 75% o fazem semanalmente. Mas o problema extrapola os profissionais de tecnologia: o vibe coding democratizou a criação de software para quem nunca escreveu uma linha de código, e é exatamente aí que produtividade e risco se encontram.
Dados do GitHub indicam que a IA já responde por 46% de todo o código novo produzido na plataforma, com projeção de 60% até o fim do ano. Uma consultoria global de tecnologia prevê que 90% dos engenheiros de software corporativos utilizarão assistentes de IA para codificação até 2028, ante menos de 14% no início de 2024 — e alerta que a construção por prompt conduzida por desenvolvedores cidadãos pode elevar defeitos de software em 2.500% até 2028 sem governança adequada.
O que distingue o vibe coding da Shadow IT tradicional é a natureza bidirecional da exposição. Quando um colaborador usava um serviço de armazenamento em nuvem não autorizado, o risco principal era manter arquivos fora do perímetro corporativo. No vibe coding, ele constrói uma aplicação inteira, capaz de processar dados de clientes, conectar-se a sistemas internos e expor informações sem que a equipe de segurança saiba da existência dela.
Do ponto de vista técnico, a fragilidade do código gerado por IA é consistente e bem documentada. Testes de diferentes fabricantes do setor indicam que 45% das amostras introduziam vulnerabilidades da lista OWASP Top 10, referência global de riscos em aplicações web, sem melhora do índice no último ano, apesar das promessas dos fornecedores.
A consequência já é mensurável. O projeto Vibe Security Radar, mantido pelo Systems Software & Security Lab da Georgia Tech, contabilizou 35 novas entradas de CVE — o registro internacional de vulnerabilidades — atribuídas diretamente a código gerado por IA apenas em março de 2026, contra seis em janeiro e quinze em fevereiro. Os pesquisadores estimam que o número real no ecossistema de código aberto seja de cinco a dez vezes maior, dado que boa parte dessas aplicações jamais passa por auditoria.
A velocidade com que essas aplicações são construídas e publicadas supera em ordens de magnitude a capacidade de revisão das equipes de AppSec. Pipelines de análise estática, desenhados para software produzido por profissionais em ambientes controlados, não foram projetados para detectar aplicações criadas por áreas de negócio em plataformas externas e publicadas direto na internet. O resultado é um ponto cego operacional que cresce a cada semana.
O caminho não passa por proibir o uso de IA no desenvolvimento. As pesquisas mostram de forma consistente que quase metade dos funcionários seguiria usando ferramentas pessoais de IA mesmo após uma proibição formal, o que só empurraria a prática para camadas ainda mais invisíveis. A resposta eficaz exige tratar o vibe coding como problema de arquitetura, não de política.
Na prática: implementar varredura de descoberta nos domínios das principais plataformas, exigir revisão de segurança antes da publicação, estender o pipeline de segurança de aplicações ao software criado pelas áreas de negócio e incluir esses domínios nas regras de prevenção de perda de dados. O líder de segurança que enxergar o tema como questão de conscientização vai escrever um memorando; o que o enxergar como questão de arquitetura vai implementar controles antes que a próxima exposição vire manchete.
