Descrever em português o que você quer e receber um sistema funcionando deixou de ser promessa. É rotina. A pessoa de marketing monta o painel que a agência levaria duas semanas para entregar. O analista financeiro constrói o simulador que ninguém tinha tempo de priorizar. O estagiário publica a página que resolve o problema da equipe naquela tarde.

Esse é o vibe coding: programar conversando com a IA. Quem nunca escreveu uma linha de código agora entrega software. A fila da TI encurtou, a ideia vira tela no mesmo dia e a distância entre o problema e a solução virou uma conversa.

É bom. E muda quem precisa estar na conversa.

O risco não está na ferramenta

A IA não escreve código pior que o de um humano iniciante — em muitos casos escreve melhor. O ponto de atenção é outro, e é organizacional: a linha entre protótipo e produção se apagou.

Antes, essa linha era física. Havia um caminho a percorrer entre a ideia na planilha e o sistema no ar: alguém pedia acesso, alguém revisava, alguém provisionava servidor, alguém colocava atrás de um login. Cada etapa era uma chance de perguntar “isso está pronto para ser usado de verdade?”.

Hoje a mesma ferramenta que gera o protótipo também publica. Em um clique o rascunho ganha um endereço na internet. Quando esse endereço circula em um grupo de mensagens, ele passa a ser tratado como produção — sem nunca ter passado por nenhuma das perguntas.

Protótipo e produção não são a mesma coisa

Vale escrever a distinção, porque ela é o centro de tudo:

• Protótipo prova uma ideia. Existe para responder “isso funciona?”. Roda na máquina de quem construiu, com dado de exemplo, e pode ser jogado fora sem custo.
• Produção sustenta o negócio. Existe para ser usada por outras pessoas, com dado real, e por isso precisa de autenticação, controle de quem vê o quê, registro de acesso, backup e alguém responsável quando parar.

O que separa os dois não é a qualidade do código. É a revisão. Um protótipo excelente publicado sem essas camadas continua sendo um protótipo — só que exposto.

O descuido mais comum tem número

Quando a IA escreve o código, ela costuma colocar a chave de acesso ali mesmo, no meio do arquivo, para que funcione de imediato. Faz sentido para um teste. Não faz sentido no que vai para o ar.

A escala disso é pública: a GitGuardian identificou 28,65 milhões de segredos hardcoded em commits públicos do GitHub em 2025, alta de 34% em um ano, sendo 1,27 milhão relacionados a serviços de IA. Senha, token ou API key dentro do código deixa de ser segredo.

Fonte: GitGuardian, The State of Secrets Sprawl.

Sete práticas que cabem no dia a dia

Nada aqui exige ser desenvolvedor. Exige combinar antes:

1. Decida se é protótipo ou produção antes de começar. A resposta muda tudo o que vem depois. Escreva a resposta em algum lugar.
2. Protótipo não recebe dado real. Use dado inventado, anonimizado ou uma amostra sem nada que identifique cliente, colaborador ou contrato.
3. Nada de segredo dentro do arquivo. Chave, senha e token vão para variável de ambiente ou para um gerenciador de segredos — nunca para dentro do código, e nunca para um repositório público.
4. Nenhum link sai do time sem autenticação. Se qualquer pessoa com o endereço consegue abrir, o endereço não pode circular. Login é o mínimo; controle de quem vê o quê vem em seguida.
5. Pergunte à IA o que ela deixou de fazer. “Quais riscos de segurança este código tem?” e “o que falta para isso ir para produção?” são dois prompts que revelam muita coisa em trinta segundos.
6. Registro de acesso desde o primeiro dia. Saber quem entrou e quando é o que permite responder a uma pergunta simples depois: isso foi usado por quem?
7. Combine quem cuida quando parar. Toda ferramenta que outras pessoas usam tem dono. Sem dono definido, o dono acaba sendo quem descobre o problema.

TI e governança no início, não no fim

A reação instintiva de muitas empresas é proibir. Não funciona: o uso migra para o computador pessoal, para a conta particular, para o celular — onde não existe visibilidade nenhuma. O caminho é o mesmo que a segurança sempre usou para tudo: abrir a via oficial e acompanhá-la.

Na prática, isso significa três combinados curtos, feitos antes de alguém começar a construir:

• Onde o dado mora. Quais informações podem ser usadas em ferramenta de IA e quais não saem de dentro de casa.
• Quem responde pelo acesso. Quem autoriza a publicação de algo que outras pessoas vão usar.
• O que pode ir para produção. Um caminho conhecido para transformar protótipo em sistema, com revisão de segurança no meio.

No início, governança custa uma conversa de quinze minutos. Chamada no fim, custa refazer o projeto.

A conversa que levamos ao grupo MAAS

Em 20 de agosto de 2026, Fouad Ata, CTO da Infomach, conduziu a palestra Vibe Coding com Segurança para o time do grupo MAAS, em uma sessão de conscientização sobre como usar IA para desenvolver sem transformar uma boa ideia em um problema. Os temas foram os deste artigo: a diferença entre protótipo e produção, boas práticas de uso de IA no desenvolvimento e o papel da TI e da governança no processo.

A melhor parte foram as perguntas. Quando quem constrói e quem cuida da infraestrutura sentam na mesma sala, a discussão sai do abstrato rápido — e é ali que a prática de segurança realmente se define.

Nosso agradecimento ao Paulo Orsida, gestor de TI do grupo MAAS, pelo convite e pela recepção, e a todo o time que participou.

Onde isso deixa a sua empresa

Vibe coding não é uma tendência a ser contida. É uma capacidade nova distribuída por toda a organização, e ela vai continuar crescendo. A pergunta útil não é se as pessoas vão construir com IA — elas já estão. É se existe um caminho combinado para o momento em que o protótipo de alguém vira a ferramenta que a equipe inteira usa.

Se esse caminho não existe, ele vai ser inventado por quem tem pressa. E quem tem pressa não pensa em autenticação.