Vibe coding: A revolução sem segurança que expõe dados sensíveis de bancos, hospitais e empresas

A ascensão do ‘vibe coding’ e suas fragilidades

A revolução no desenvolvimento de software chegou sem alardes, mas com consequências graves. Ferramentas como Lovable, Base44, Replit e Netlify — que permitem a criação de aplicativos web apenas com prompts de inteligência artificial, dispensando conhecimento técnico em programação — já são responsáveis por cerca de 5 mil aplicativos públicos disponíveis na internet. No entanto, um estudo da empresa israelense RedAccess revelou que 40% desses apps expõem dados sensíveis, como informações médicas, financeiras, corporativas e estratégicas, sem qualquer barreira de segurança adequada.

O paradoxo da democratização tecnológica

O vibe coding — termo que traduz a ideia de desenvolver aplicativos com base em ‘vibrações’ (inspirações ou ideias) alimentadas por IA — democratizou o acesso ao desenvolvimento de software. Qualquer pessoa, mesmo sem formação em engenharia ou cibersegurança, pode agora criar um app funcional em questão de minutos. Segundo a RedAccess, mais de 380 mil programas foram analisados, dos quais 5 mil estavam acessíveis publicamente. O problema? A maioria desses aplicativos não possui sequer autenticação básica, como senhas ou tokens de acesso.

“As plataformas de vibe coding transferem a responsabilidade total pela segurança do aplicativo para o usuário final”, afirmou um porta-voz da RedAccess. “Isso é como dar uma chave mestra para qualquer pessoa construir uma casa, mas sem instalar portas ou fechaduras”. A falta de supervisão por parte das empresas provedoras dessas ferramentas tem criado um cenário onde dados sigilosos de instituições são acessíveis com um simples clique.

Dados expostos: do financeiro ao médico

As consequências da má gestão de segurança são alarmantes. O site Axios, ao verificar alguns dos apps expostos, identificou casos graves:

• Informações financeiras internas de um banco brasileiro, incluindo extratos e transações recentes.
• Um app de logística que detalha quais embarcações estão previstas para atracar em portos do Reino Unido e em quais datas.
• Um sistema interno de uma empresa de saúde britânica com dados de ensaios clínicos ativos, incluindo informações de pacientes.
• Conversas completas de clientes com o atendimento de uma loja de móveis do Reino Unido, revelando preferências e reclamações.
• Planos de férias detalhados de um casal na Bélgica, incluindo reservas de hotéis e restaurantes, em um app pessoal mal protegido.

A própria RedAccess listou exemplos igualmente preocupantes:

• Conversas com pacientes de uma instituição de cuidados infantis, com históricos médicos e diagnósticos.
• Informações de triagem de incidentes com consumidores de uma empresa de segurança privada, incluindo dados de contato e relatos de ocorrências.
• Resumos de internações hospitalares de um hospital europeu, com nomes de pacientes e tratamentos.

“O que mais chama atenção é a diversidade dos setores afetados”, destacou a equipe de análise da RedAccess. “Não são apenas startups ou pequenas empresas que estão colocando dados em risco. Bancos, hospitais e multinacionais também estão sendo negligentes.”

Por que os apps estão vulneráveis?

O problema não está necessariamente nas ferramentas de vibe coding, mas na cultura de desenvolvimento que elas incentivam. Muitos usuários — que muitas vezes não têm conhecimento técnico — publicam seus apps sem configurar sequer a privacidade básica. Em muitos casos, os apps são criados como protótipos ou testes, mas acabam sendo deixados online por engano ou descaso.

Além disso, as plataformas de vibe coding não oferecem guias claros ou alertas sobre segurança. “Muitos desenvolvedores amadores sequer sabem que seus apps estão públicos”, explicou um engenheiro de cibersegurança ouvido pela reportagem. “Eles compartilham o link em grupos de trabalho ou fóruns, e, sem saber, expõem dados”.

O papel das plataformas: omissão ou falta de fiscalização?

Quando questionadas, plataformas como Replit e Netlify afirmaram que a responsabilidade pela segurança dos apps é do usuário. “Não temos como monitorar cada projeto criado”, declarou um representante da Replit. “Cabe ao criador do app garantir que ele esteja protegido”.

No entanto, especialistas argumentam que as empresas poderiam implementar alertas automáticos para apps que expõem dados sensíveis ou, no mínimo, oferecer modelos de segurança padrão para novos usuários. “É como vender uma faca sem avisar que ela corta”, comparou um analista de privacidade. “As plataformas têm obrigação de educar e proteger, mesmo que indiretamente”.

O futuro do vibe coding: regulação ou colapso?

A situação atual levanta uma questão crucial: até que ponto a inovação tecnológica deve ser priorizada em detrimento da segurança? Com o crescimento exponencial dessas ferramentas — e a previsão de que o mercado de low-code/no-code atinja US$ 187 bilhões até 2030 — a ausência de regulamentação clara pode levar a um cenário de vazamentos em massa.

Alguns especialistas defendem a criação de leis que obriguem as plataformas a implementar sistemas de autenticação obrigatória para apps que lidam com dados críticos. Outros sugerem que as próprias empresas provedoras de IA assumam um papel mais ativo na detecção de vulnerabilidades. “Se não houver mudanças, veremos cada vez mais casos como o da RedAccess”, alertou um professor de cibersegurança da Universidade de São Paulo.

Por enquanto, a única defesa contra esse problema é a responsabilidade individual. Usuários de ferramentas de vibe coding devem ser incentivados a:

• Configurar autenticação forte (senhas, tokens ou biometria).
• Evitar deixar apps públicos sem necessidade.
• Usar ferramentas de auditoria de segurança antes de publicar.
• Denunciar apps suspeitos às plataformas ou autoridades.

Conclusão: A inovação não pode vir às custas da privacidade

O vibe coding é, sem dúvida, uma das maiores inovações recentes no campo da tecnologia, colocando o desenvolvimento de software nas mãos de milhões de pessoas. No entanto, como toda revolução, ela traz riscos que não podem ser ignorados. A exposição de dados sensíveis não é apenas um problema técnico — é um risco para empresas, governos e cidadãos.

À medida que a inteligência artificial avança, a pergunta que fica é: quem é responsável por garantir que a inovação não se transforme em uma armadilha? Enquanto as plataformas não agirem, e os usuários não se conscientizarem, o cenário tende a piorar. A solução, como sempre, deve ser uma combinação de tecnologia, educação e regulação — antes que seja tarde demais.