Vibe coding é ruim? Os riscos reais e como evitá-los

Vibe coding é ruim? Não por si só, mas lançar código escrito por IA que ninguém revisou fica arriscado assim que clientes, dinheiro ou dados pessoais entram na história. Para uma landing page, um protótipo ou uma ferramenta interna, os riscos são pequenos e fáceis de controlar. Para qualquer coisa com logins, pagamentos ou dados de clientes guardados, você precisa das proteções abaixo e, normalmente, de uma revisão humana.

Qual é o risco? Depende do que você constrói

A maioria dos primeiros projetos fica nas duas primeiras linhas, que é exatamente onde o vibe coding funciona bem. Os cinco riscos abaixo pesam mais quanto mais para baixo na tabela você está.

Risco 1: falhas de segurança que você não vê

Código que funciona e código seguro são coisas diferentes, e as pesquisas sobre código escrito por IA dizem isso com todas as letras.

A Veracode também descobriu que modelos maiores e mais novos não eram mais seguros que os menores. O achado sobre a Lovable veio de pesquisadores que analisaram projetos em março de 2025 e publicaram o problema em maio como CVE-2025-48757, um identificador público para uma vulnerabilidade conhecida.

Esses apps funcionavam. O problema era a row level security (RLS), as regras dentro de um banco de dados que decidem quais linhas cada visitante pode ver ou mudar.

Para ser justo com a Lovable, ela hoje roda uma análise de segurança automática antes da publicação, que procura falhas nessas regras. A própria documentação de segurança dela diz que as ferramentas não garantem segurança completa e recomenda uma revisão profissional extra para apps que lidam com dados sensíveis.

• Use serviços comprovados para logins e pagamentos, em vez de deixar a IA inventar os seus.
• Mantenha chaves secretas fora do código do navegador. Uma chave de API é uma senha que deixa um software usar um serviço pago, então guarde nas variáveis de ambiente da sua hospedagem.
• Faça a IA atacar o próprio app com o prompt abaixo e depois corrija o que ela encontrar.
• Peça uma revisão humana para qualquer coisa nas duas últimas linhas da tabela.

Audite este projeto em busca de problemas de segurança antes do lançamento. Confira:
1. Cada tabela do banco de dados: um visitante sem login consegue ler, adicionar ou mudar linhas?
2. Qualquer chave de API ou senha visível no código do navegador ou em arquivos com commit.
3. Formulários: o que acontece com entradas muito longas, vazias ou maliciosas?
4. Páginas ou endpoints que funcionam sem login mas não deveriam.
Explique cada achado em linguagem simples, ordene por gravidade e
não mude nenhum código até eu aprovar as correções.

Risco 2: a IA faz algo destrutivo

Em julho de 2025, o fundador da SaaStr, Jason Lemkin, relatou que o agente de IA da Replit apagou o banco de dados de produção dele, os dados ao vivo de que o projeto dependia, apesar das instruções para não mudar nada sem permissão, como noticiou o The Register. O agente tinha acesso aos dados ao vivo, e nada técnico o impediu.

• Separe dados de teste e dados reais. Construa em cima de uma cópia e só conecte o banco real no lançamento.
• Mantenha um histórico de versões que você controla. Faça commit no Git depois de cada etapa que funciona. Os checkpoints do Claude Code voltam as edições de arquivo dele, mas não capturam as mudanças feitas pelos comandos que ele roda.
• Escolha um modo que pergunta antes. As versões recentes do Claude Code no terminal e no VS Code começam no modo Auto, em que um classificador em segundo plano aprova as ações por você. Para trabalho sensível, aperte Shift+Tab ou use o seletor de modo do desktop para mudar para Manual, que pergunta antes de editar arquivos ou rodar comandos.

Risco 3: custos que sobem aos poucos

A maioria das ferramentas de vibe coding cobra por uso, então o taxímetro roda enquanto você ajusta. O momento caro é o loop de depuração: a IA não consegue corrigir um bug, você pede de novo, e cada tentativa custa.

• Planeje antes de construir. Um plano claro significa menos reconstruções caras.
• Pare depois de duas correções que falharam. Use o prompt abaixo em vez de pedir pela terceira vez.
• Configure alertas de orçamento na sua ferramenta de IA e na hospedagem, e ative um teto rígido onde existir.
• Conheça os limites do seu plano. Veja limites de uso do Claude Code e preço do Claude Code.

Pare de mudar o código. Explique em linguagem simples o que você acha
que está causando este problema, o que já tentou e por que não funcionou.
Depois me dê dois jeitos diferentes de corrigir, com os riscos de cada um,
e espere eu escolher.

Risco 4: código que ninguém consegue manter

Software precisa de manutenção. Em dezembro de 2025, a equipe do React divulgou uma falha crítica nos React Server Components, com nota de gravidade 10.0 de 10, que deixava atacantes rodarem código nos servidores afetados.

Apps construídos com frameworks como o Next.js precisaram atualizar na hora, e a equipe do React avisou para não confiar só nas proteções dos provedores de hospedagem. Um app feito com vibe coding sem ninguém acompanhando avisos como esse simplesmente continua exposto.

• Escolha a stack mais simples. Apps sem servidor não foram afetados por essa falha, então siga a abordagem de HTML simples de criar um site com IA sempre que ela servir.
• Documente. Peça para a IA um README e um arquivo CLAUDE.md que expliquem como o projeto funciona e como mudá-lo.
• Marque uma revisão mensal. Peça para a sua ferramenta de IA procurar dependências desatualizadas ou vulneráveis e atualizá-las uma por vez.
• Evite ficar preso. Garanta que você consegue exportar o código ou sincronizá-lo com o GitHub.

Risco 5: falhas de privacidade e legais

Até uma página simples cria obrigações quando coleta nomes, e-mails ou telefones. As leis de privacidade de onde vivem os seus clientes, como a LGPD no Brasil, podem exigir um aviso de privacidade, consentimento para marketing e limites para o uso dos dados.

• Colete só o que precisa. Um nome e um telefone podem bastar para um agendamento.
• Diga o que você coleta. Publique uma página de privacidade curta que explique o que o formulário recolhe e para onde vai.
• Confira o seu rastreamento. Ferramentas de análise e pixels de anúncio podem exigir um banner de consentimento, dependendo de onde estão os seus visitantes.
• Trate textos legais da IA como rascunho. A IA pode rascunhar uma política de privacidade ou termos, mas não pode assumir a responsabilidade por eles.

O lado justo do vibe coding

Para muitas pequenas empresas, a alternativa a uma ferramenta feita com vibe coding não é um app cuidadosamente projetado. É nada, ou um site de modelo de que elas não gostam e não conseguem mudar.

O vibe coding deixa os donos testarem ideias gastando pouco, criarem ferramentas internas que ninguém teria financiado e entregarem aos desenvolvedores um protótipo que funciona em vez de um briefing vago. Quando você revisa e testa o que a IA constrói, já não está fazendo vibe coding puro, como explica o guia sobre o que é vibe coding.

Quando construo para clientes com IA, a ferramenta nunca é o que deixa o resultado seguro. As conferências chatas em volta dela é que deixam, e é para isso que serve o checklist abaixo.

O checklist de segurança do vibe coding

Antes de construir

Enquanto constrói

Antes do lançamento

Depois do lançamento

O que fazer agora

Encontre o seu projeto atual ou planejado na tabela de risco e passe pelas seções correspondentes do checklist antes de publicar qualquer coisa. Se ele estiver nas duas últimas linhas, reserve orçamento para uma revisão de um desenvolvedor agora, e não depois do lançamento.

Para comparar ferramentas pelas proteções e pelos preços, veja as melhores ferramentas de vibe coding. O curso Builders inclui aulas sobre o básico de segurança, acessibilidade e privacidade para sites que você constrói com IA.