Testes da Sofist identificaram falhas de autenticação e controle de acesso em um aplicativo desenvolvido com inteligência artificial, evidenciando os limites das auditorias automatizadas
O “vibe coding“, prática de desenvolver aplicativos e sistemas inteiros guiando inteligências artificiais apenas por comandos de texto e linguagem natural, democratizou a criação de softwares e aplicações. Hoje, as cinco principais plataformas do setor somam mais de 60 milhões de usuários ativos, com um volume histórico que ultrapassa a marca de 100 milhões de projetos criados globalmente.
No entanto, a euforia do mercado em lançar produtos em tempo recorde esconde um risco estrutural gravíssimo: as IAs são desenhadas para atender a requisitos funcionais (fazer o aplicativo funcionar e parecer bonito), mas falham sistematicamente em construir arquiteturas de segurança profundas.
O problema não é uma falha isolada de uma ferramenta, mas uma vulnerabilidade inerente ao próprio modelo do vibe coding. A ironia que expõe essa fragilidade estrutural é que, em um recente caso de estudo analisado pela Sofist, empresa referência em qualidade e segurança de software, a aplicação vulnerável havia sido criada por um profissional que já possuía conhecimentos de segurança.
Ao interagir com a IA da plataforma de vibe coding para construir o sistema, este criador não detalhou explicitamente no prompt todas as restrições arquiteturais e limites de confiança que a ferramenta deveria impor. Sem essa instrução milimétrica, a Inteligência Artificial escolheu o caminho mais curto e fácil para entregar o código funcionando.
O alerta de mercado que fica é claro: se um profissional com noções de tecnologia pode gerar um sistema com falhas profundas por omitir comandos invisíveis, o nível de risco sistêmico gerado por milhares de empreendedores e usuários totalmente leigos — que sequer sabem o que é um controle de acesso ou criptografia — é incalculável.
O sintoma: o que o agente autônomo descobriu e a ilusão da auditoria nativa
Para comprovar como essas falhas estruturais se manifestam na prática, um dos agentes autônomos de segurança da Sofist realizou uma avaliação em um aplicativo comercial de acesso restrito criado via vibe coding. O resultado demonstrou como é fácil invadir sistemas que parecem seguros na superfície.
O agente descobriu que, embora a aplicação não tivesse um botão público de “criar conta“, o servidor backend aceitava a criação direta de identidades não convidadas. O erro mais crítico de design de IA, contudo, ocorreu na barreira de Autenticação de Múltiplos Fatores (MFA). A IA criou a tela de verificação em duas etapas, mas programou a validação para confiar em um dado armazenado no próprio navegador do usuário. Ao manipular este estado, o agente conseguiu acesso diretamente ao dashboard de inteligência comercial da aplicação.
Um fator agravante destacado pela Sofist é a falsa sensação de proteção vendida por essas ferramentas. As principais plataformas populares de vibe coding do mercado costumam realizar uma auditoria de segurança automatizada antes de o aplicativo ir ao ar. No entanto, as checagens nativas da plataforma não detectaram nenhuma das falhas críticas encontradas pelo agente autônomo da Sofist.
“Muitos usuários acreditam estar seguros porque a ferramenta de vibe coding roda um ‘check’ de segurança antes da publicação. A realidade é que essas auditorias nativas são superficiais; elas procuram erros básicos de código, mas são completamente cegas para falhas lógicas e arquiteturais“, alerta Bruno Abreu, CEO e cofundador da Sofist. “A terceirização da lógica para a IA está criando negócios inteiros sobre alicerces frágeis. É como se a recepção de um prédio corporativo emitisse crachás sem checar a lista de convidados e, para entrar no andar da diretoria, bastasse ao visitante pegar uma caneta e escrever no próprio crachá que a sua entrada está autorizada. O alerta da plataforma diz que a porta está trancada, mas não percebe que a parede ao lado foi derrubada.”
O perigo de ignorar a “Defesa em Profundidade“
Apesar do alerta contundente, o teste da Sofist ilustrou por que sistemas modernos precisam de múltiplas barreiras. Mesmo com o painel invadido pelo agente autônomo, uma terceira camada de proteção, baseada em regras de acesso aplicadas diretamente ao banco de dados (Row Level Security), funcionou corretamente. O resultado foi a exibição de zero registros para o invasor, evitando o vazamento de informações de clientes reais.
A grande questão que a Sofist levanta para o mercado é que usuários leigos praticando o vibe coding raramente sabem o que é um “Row Level Security“, tampouco pedem para a IA implementá-lo.
Para Bruno Abreu, o vibe coding não vai desacelerar, mas a mentalidade das empresas precisa mudar e evoluir. “Não estamos dizendo que as aplicações criadas com IA são inerentemente ruins, mas a velocidade de desenvolvimento que elas proporcionam não elimina a necessidade de validar tecnicamente os limites de confiança do sistema por auditores independentes. Sem a garantia de imunidade digital, o mercado continuará a produzir em massa aplicações visualmente perfeitas, mas que funcionam como bombas-relógio para os dados dos consumidores.”
Agradecimento
O Crypto ID agradece a Bruno Abreu, CEO e cofundador da Sofist, pela contribuição e pelo alerta sobre os desafios de segurança no desenvolvimento de aplicações com inteligência artificial. A análise destaca a importância de auditorias independentes, da validação dos controles de acesso e da adoção de mecanismos de proteção que vão além das verificações automatizadas, contribuindo para o desenvolvimento de softwares mais seguros e confiáveis.
Futurecom 2026 encerra edição com debates sobre conectividade, IA e inovação na economia digital
José Carlos da Silva Neto, CTO da CERMOB defende crachá, alçada e gestor para agentes de IA
SEG Summit 2026 reúne tecnologias de IA, videomonitoramento e segurança integrada
Ciberataque a 700 supermercados na França provoca perdas milionárias com alimentos
Conheça a coluna Cibersegurança.
Conselheiro de administração ou CISO? Leia também: Orçamento 2027: guia da NACD ensina CISOs a falar a língua do conselho.
