Empresas que adotam Vibe Coding com assistentes de IA estão vendo seus times de desenvolvimento produzirem commits a uma velocidade três a quatro vezes superior à de colegas que não usam essas ferramentas, segundo dados da Apiiro coletados entre dezembro de 2024 e junho de 2025, mas o preço dessa agilidade aparece em forma de achados de segurança dez vezes mais numerosos.
O que significa Vibe Coding na prática
Vibe Coding descreve o uso intensivo de modelos de linguagem grandes para gerar grandes volumes de código a partir de descrições em linguagem natural, sem que o desenvolvedor revise linha por linha cada saída. Essa abordagem cria um ecossistema de desenvolvimento onde a velocidade de produção cresce, mas as verificações de segurança não acompanham no mesmo ritmo, gerando uma dívida que só se torna visível quando vulnerabilidades são exploradas em produção.
Relatórios da Veracode publicados em março de 2026 mostram que a taxa de aprovação de segurança de códigos gerados por IA permanece em torno de 55% mesmo quando a correção sintática já supera 95%, um contraste que revela como a interoperabilidade entre ferramentas de geração e ferramentas de análise de segurança ainda precisa de pontes mais sólidas.
Os números que medem a dívida de segurança
A Cloud Security Alliance divulgou em abril de 2026 que 45% das amostras de código gerado por mais de cem LLMs testados introduzem vulnerabilidades listadas no OWASP Top 10, com taxa de falha de 72% quando o código é escrito em Java. Esses dados mostram que a falta de orientação de segurança durante a geração deixa expostas falhas clássicas de injeção, autenticação fraca e exposição de dados sensíveis.
Além disso, cerca de 20% das amostras geradas referenciam pacotes que simplesmente não existem, abrindo caminho para ataques de dependência que comprometem toda a cadeia de suprimento de software. A Georgia Tech, por meio do Vibe Security Radar, atribuiu formalmente 35 CVEs a ferramentas de codificação por IA apenas em março de 2026, totalizando 74 casos confirmados até o final daquele mês, com pesquisadores estimando que o número real seja cinco a dez vezes maior.
Como a exposição de segredos agrava o problema
Commits assistidos por IA expõem credenciais e segredos em taxa de 3,2%, mais que o dobro dos 1,5% observados em commits puramente humanos, conforme análise da Cloud Security Alliance. Essa diferença surge porque os modelos frequentemente reproduzem trechos de código que contêm chaves de API ou senhas hardcoded sem que o desenvolvedor perceba a tempo.
Em uma varredura de quase 5.600 aplicações baseadas em vibe coding, pesquisadores encontraram mais de 2.000 vulnerabilidades e mais de 400 segredos expostos, números que ilustram como a ausência de revisão sistemática transforma cada integração entre plataformas em um ponto potencial de ruptura.
Próximos passos para reduzir a dívida
Equipes que desejam manter a velocidade do vibe coding sem acumular dívida de segurança precisam integrar verificações automatizadas de segurança diretamente no fluxo de geração de código, exigindo que os prompts incluam diretrizes explícitas de OWASP e que cada saída passe por scanners antes de ser commitada. Ferramentas como as analisadas pela Veracode mostram que a taxa de aprovação sobe quando orientação de segurança é fornecida desde o início do processo.
Para entender melhor os riscos acumulados em projetos anteriores, leia também Vibe Coding eleva dívida técnica e compromete a sustentabilidade de projetos de TI e O fim da programação? Como o Vibe Coding e a IA estão transformando o desenvolvimento de software.