Vibe Coding

O artigo de Morey J. Haber discute a evolução do desenvolvimento de software, destacando a transição do modelo Waterfall para metodologias mais ágeis, como Agile e DevOps, e, mais recentemente, para o que é chamado de Vibe Coding, impulsionado pela inteligência artificial generativa. Essa nova abordagem permite que qualquer pessoa, independentemente de experiência técnica, crie aplicações rapidamente, simplesmente descrevendo suas intenções em linguagem natural. No entanto, essa velocidade de desenvolvimento traz novos desafios de segurança, pois o código gerado pode conter vulnerabilidades e falhas que não eram previstas nas metodologias anteriores. O autor enfatiza que, apesar das vantagens do Vibe Coding, as práticas tradicionais de engenharia de software seguro, como modelagem de ameaças e testes de vulnerabilidade, continuam essenciais. A democratização da criação de software não garante a democratização do julgamento de engenharia necessário para garantir a segurança e a confiabilidade das aplicações. Portanto, as organizações devem estar atentas ao aumento da superfície de risco que essa nova era de desenvolvimento pode trazer.

O conceito de Shadow AI evoluiu de simples interações com chatbots para a criação de aplicações completas por funcionários, sem a supervisão de equipes de segurança ou TI. Um relatório recente da Red Access revelou mais de 380 mil ativos web acessíveis publicamente em plataformas de vibe coding, com cerca de 2 mil aplicações contendo dados sensíveis de empresas. Esses aplicativos, muitas vezes publicados sem controles de acesso adequados, representam um risco significativo, pois podem ser acessados por qualquer pessoa que tenha o link. A prática de vibe coding permite que não desenvolvedores criem soluções rapidamente, conectando-as a sistemas corporativos, mas sem as devidas salvaguardas. Isso contrasta com o antigo conceito de Shadow IT, onde as ferramentas eram limitadas a softwares não autorizados. A falta de visibilidade e controle em relação a essas novas aplicações torna difícil para as organizações monitorarem e protegerem seus dados. Para mitigar esses riscos, recomenda-se que as empresas realizem um inventário das aplicações criadas, estabeleçam caminhos sancionados para o uso de plataformas de desenvolvimento e adotem uma postura de descoberta contínua para acompanhar a criação de novas aplicações.

À medida que 2025 chega ao fim, os profissionais de segurança enfrentam um cenário alarmante: as estratégias tradicionais de segurança na web tornaram-se obsoletas. Este ano, cinco ameaças principais redefiniram a segurança digital. A primeira, o ‘vibe coding’, que utiliza inteligência artificial para gerar código, trouxe à tona vulnerabilidades significativas, com 45% do código gerado apresentando falhas exploráveis. Em seguida, uma campanha de injeção de JavaScript comprometeu 150 mil sites, demonstrando a vulnerabilidade generalizada do uso de JavaScript no lado do cliente. Os ataques de Magecart, que aumentaram 103%, mostraram a sofisticação dos skimmers que se disfarçam como scripts legítimos para roubar dados de pagamento. Além disso, os ataques à cadeia de suprimentos de IA cresceram 156%, com malware polimórfico que se adapta para evitar detecções. Por fim, a validação da privacidade na web revelou que 70% dos principais sites dos EUA violam as preferências de cookies dos usuários. As lições aprendidas em 2025 exigem que as organizações adotem uma abordagem de segurança mais robusta e proativa, com foco em validação de comportamento e monitoramento contínuo.