Vibe Coding: erros de produção e segurança

Todo mundo acredita que Vibe Coding democratizou o software. Os vazamentos de 2025 e 2026 mostram o contrário: protótipos chegam rápido, mas segurança, autenticação e cobrança continuam exigindo dev.

Vibe coding: o que é e por que falha em produção

Vibe Coding entrega protótipos velozes, mas costuma travar quando o app precisa de autenticação, cobrança e proteção de dados. O termo descreve o uso de IA generativa, como Claude e Lovable, para criar software a partir de prompts, sem escrever código manualmente.

Essa forma de construir funciona bem em demonstrações. O problema aparece quando o produto precisa cobrar, armazenar documentos ou integrar sistemas brasileiros, como emissão de nota fiscal e webhooks de pagamento.

Os três pilares que a IA não resolve sozinha são: autenticação confiável, autorização por usuário e segredos fora do código. Sem eles, qualquer aplicação vira uma porta aberta.

Os vazamentos que expuseram o risco do Vibe Coding

Casos documentados em 2025 e 2026 mostram que falhas de Vibe Coding geram prejuízo concreto. Documentos, mensagens privadas e credenciais de pagamento ficaram expostos em plataformas recém-lançadas.

O Teaser foi um aplicativo de namoro que usou Firebase na configuração padrão. Segundo a 404 Media, o app deixou 72.000 imagens expostas, incluindo 13.000 documentos de identidade e 59.000 mensagens privadas.

Já a AWS registrou um caso de credencial em código aberto: um bot encontrou a chave em 12 minutos e a fatura passou de US$ 50.000, segundo relato publicado no Business Insider. O padrão se repete porque IAs colocam chaves direto no arquivo, sem variáveis de ambiente.

O caso da Kipu envolveu a plataforma de conteúdo da jogadora Mayumi, que expôs documentos e pagamentos processados via Stripe autenticação das requisições do backend era ausente, e tabelas inteiras do banco ficaram públicas.

Supabase RLS: o erro que abre seu banco

Row Level Security é o mecanismo que impede um usuário de ler dados de outro. No Supabase, o RLS não vem configurado por padrão em todas as tabelas, então cada tabela nova nasce potencialmente acessível.

É exatamente esse descuido que aparece em vários vazamentos de apps criados por prompt. A IA gera o CRUD, testa com um usuário e não cria política alguma, deixando o banco exposto para quem descobrir a URL.

A regra prática é: toda tabela pública precisa de política de select, insert, update e delete. Sem isso, o RLS não protege nada.

Os 91,5% de apps com vulnerabilidade

Um levantamento de 2026 atribui 91,5% dos aplicativos gerados por Vibe Coding com ao menos uma vulnerabilidade. O número circula em publicações do setor e serve como alerta, não como veredito universal sobre toda ferramenta.

O dado importa porque desloca a discussão do gosto para o risco. Um app de e-commerce pode vender por semanas e, na primeira auditoria, revelar chaves de API e dados de clientes em tabelas sem política.

A leitura correta é estatística. Não significa que todo app gerado por IA está quebrado, mas que a probabilidade de falha é alta o suficiente para exigir revisão profissional antes do lançamento.

Vibe Coding vs. engenharia de software: quando usar cada abordagem

Vibe Coding e engenharia de software resolvem problemas diferentes. A escolha entre eles depende do estágio do produto, do volume de dados sensíveis e da tolerância a falhas.

Dimensão	Vibe Coding	Engenharia de software
Uso principal	Protótipo validado com prompt	Produto em produção
Autenticação	Gerada pela IA, raramente auditada	Implementada e revisada
Banco de dados	Tabela sem política de acesso	RLS, migrations e backups
Riscos conhecidos	Chaves expostas, dados vazados	Processo e revisão de código
Custo	Tokens e retrabalho	Salário e tempo de dev

Quando o produto passa a lidar com pagamento, documentos ou dados de menores, a conta muda. O tempo economizado no protótipo volta como prejuízo, multa e perda de confiança.

Como consertar um app criado por Vibe Coding

Primeiro, tire todas as chaves do código e coloque em variáveis de ambiente. Depois, ative Row Level Security em cada tabela e teste com dois usuários diferentes para confirmar que ninguém enxerga os dados alheios.

Quando o app cresce, vale migrar para uma base com autenticação pronta, como Firebase ou Supabase revisar as integrações de cobrança com gateway especializado, como Stripe.

Se o problema é recorrente e você não domina infraestrutura, procure um dev com experiência em arquitetura. A IA gera código, mas não assume responsabilidade por decisões de segurança nem por fatura inesperada.

O novo mercado de consertar apps vibe codados

Existe uma demanda crescente por profissionais que corrigem o que a IA deixou incompleto. Casos reais incluem integração de API de nota fiscal, conexão com gateway de pagamento e ajuste de autenticação.

Esse nicho se parece com o mercado de manutenção de sistemas legados: o cliente não quer refazer tudo, só deseja que o que existe funcione. Quem domina Claude, GitHub Copilot e leitura de logs atende essa demanda com rapidez.

Para quem está começando, aprender a ler código gerado por IA virou habilidade básica. Cursos como o Bootcamp do Dev Doido e a Crazystack Typescript abordam essa base, e a comunidade do Gustavo Dev Doido publica conteúdos sobre o tema. A Crazystack reúne trilhas sobre arquitetura e TypeScript.

Checklist antes de subir para produção

1. Remova chaves e tokens do código e passe tudo para variáveis de ambiente.

2. Ative RLS em todas as tabelas e teste com dois usuários distintos.

3. Revise as integrações de pagamento e confirme o uso de webhooks assinados.

4. Rode um scanner de segredos no repositório antes de cada commit.

5. Peça uma revisão humana para qualquer trecho que manipule dados sensíveis.

Perguntas frequentes sobre Vibe Coding

• Vibe Coding é seguro para produção? Não sem revisão. Casos documentados em 2025 e 2026 mostram vazamentos de documentos, mensagens e credenciais em apps gerados por prompt. A IA acelera a criação, mas não assume a responsabilidade por autenticação, autorização e proteção de segredos.

• O que é Row Level Security e por que importa? Row Level Security é o recurso do PostgreSQL que restringe cada linha do banco ao usuário dono dela. No Supabase, ele não vem ativo em todas as tabelas, então um app sem políticas expõe dados para qualquer pessoa com a chave pública.

• Preciso saber programar para usar Vibe Coding? Não para um protótipo, mas sim para levar o produto a produção. Saber ler código, entender variáveis de ambiente e revisar integrações evita a maior parte dos vazamentos conhecidos.

• Qual banco usar com app gerado por IA? Supabase Firebase são as opções mais comuns. Supabase oferece Postgres com RLS e autenticação integrada, enquanto Firebase traz autenticação e banco em tempo real com regras declarativas.

• Quanto custa consertar um app vibe codado? Depende do escopo, mas os casos conhecidos envolvem integrar pagamento, emitir nota fiscal ou corrigir autenticação. São tarefas de horas, não de semanas, e geralmente cabem no orçamento de um freelancer.

• A IA substitui programadores? Não nos casos documentados. A IA gera código e protótipos, mas a manutenção, a segurança e a integração com sistemas brasileiros seguem exigindo profissional humano.

• O que é o mercado de conserto de apps vibe codados? É o nicho de freelancers e agências que corrigem aplicações geradas por IA. A demanda cresce à medida que mais negócios tentam levar protótipos a produção.

• Como proteger dados de clientes em um app novo? Use RLS, variáveis de ambiente, autenticação auditada e revisão de código. Para dados sensíveis, conte com um dev experiente antes de expor o sistema na internet.

• Quais são as principais limitações do Vibe Coding? Autenticação frágil, segredos expostos, dependência de plataforma e dificuldade com regras locais, como nota fiscal e antifraude. Esses pontos concentram a maior parte dos problemas conhecidos.

Transformar vídeos do YouTube em artigos com o Skala Blog

Vibe Coding acelera protótipos, mas a engenharia continua sendo o que segura o produto em produção. Se você grava vídeos sobre tecnologia, arquitetura ou segurança e quer transformar esse conteúdo em texto, o Skala Blog faz essa ponte de forma direta.

A ferramenta parte de uma URL do YouTube, gera a transcrição e entrega um artigo estruturado. É útil para quem já explicou um assunto em vídeo e quer reaproveitar o material em outro formato.

Para começar, basta colar o link do vídeo no Skala Blog e revisar o texto gerado. O resultado serve como ponto de partida para uma publicação mais completa.

Source video