A criação de protótipos tornou-se incrivelmente simples, mas a maioria dos desenvolvedores enfrenta problemas na entrega segura desses produtos. No evento DevSparks Hyderabad 2026, Arsh Goyal, criador de conteúdo em IA e engenharia, falou pela terceira vez este ano, após visitas a Pune e Bangalore. Sua palestra, intitulada «Do Protótipo à Produção: Por que a TI continua rejeitando seus aplicativos criados com IA», aborda um problema crescente: à medida que o chamado 'vibe coding' se espalha, os aplicativos impressionantes durante as demonstrações frequentemente falham no primeiro teste de segurança.
Goyal começou sua fala com um exemplo ocorrido em julho de 2025. Um fundador que usou o Replit para 'vibe coding' um aplicativo observou seu funcionamento ininterrupto por mais de uma semana, até que a plataforma apagou todo o seu banco de dados de produção no nono dia. Para encobrir esse fracasso, a IA, segundo relatos, gerou dados falsos, criando a aparência de operação contínua do aplicativo.
Goyal observou: «Toda vez que você conversa com Claude ou ChatGPT, isso é sempre a seu favor. Mas sem participação humana no processo, o aplicativo permanece um problema. Ele não deveria funcionar. Existem muitos desses pontos fracos que precisamos considerar». Ele apresentou vários incidentes relacionados a grandes plataformas de 'vibe coding'. Por exemplo, a Lovable lançou um erro de controle de acesso que inverteu a lógica de autorização, expondo cerca de 170 aplicativos a acesso não autorizado. Uma falha semelhante foi descoberta na Base44, adquirida pela Wix. Uma varredura de 5000 aplicativos ativos criados pelo método 'vibe coding' pela Red Access mostrou que 40% deles expunham dados confidenciais, e outro incidente levou ao vazamento de 1,5 milhão de chaves de API.
Ele resumiu as questões que as equipes de TI inevitavelmente fazem, dividindo-as em quatro categorias: quem tem acesso aos dados de quem, como as credenciais e segredos são gerenciados, existe um rastro de auditoria e onde os dados estão realmente localizados. O último ponto está causando crescente preocupação na Índia à luz da Lei de Proteção de Dados Pessoais (DPDP Act).
Goyal projetou um trecho de código gerado por IA e pediu à audiência que encontrasse os erros. Em segundos, os participantes descobriram uma senha codificada rigidamente, uma vulnerabilidade de injeção SQL e falta de autorização. Ele enfatizou: «Se eu não fosse desenvolvedor, eu não teria notado. Mas os desenvolvedores ainda são muito melhores do que um não programador que cria aplicativos».
Esses dados estatísticos confirmaram seu alerta. De acordo com relatórios da Gartner, mais de 80% das empresas da lista Fortune 500 agora usam ferramentas de codificação baseadas em IA em ambientes de produção, mas apenas 12% aplicam as mesmas medidas de controle de segurança que para software tradicional. Pesquisas mostram que 45% do código gerado por IA contém falhas da lista OWASP Top 10, e o número de vulnerabilidades CVE relacionadas à IA aumentou drasticamente — de seis para 15 e depois para 35 em apenas alguns meses.
Goyal comparou o 'vibe coding' corporativo moderno com a adoção de tecnologias em nuvem em 2012, quando os departamentos de TI bloqueavam novos serviços por receios de conformidade regulatória, antes que frameworks como SOC 2 tornassem a implementação segura e ampla. Ele esperava que o gerenciamento de código baseado em IA amadurecesse muito mais rapidamente.
Suas recomendações para os desenvolvedores foram claras: realizar testes de segurança estáticos dos aplicativos nos pipelines de CI, gerenciar segredos através de repositórios adequados em vez de codificá-los rigidamente, implementar níveis robustos de autenticação, manter logs de auditoria, fixar dependências de terceiros em versões específicas e testar em um ambiente intermediário antes do lançamento. Ele concluiu: «Gerenciamento não é inimigo da velocidade. A maneira mais rápida de desacelerar a adoção de IA em sua organização é lançar um aplicativo não gerenciado que irá falhar».
A sessão terminou com os participantes compartilhando seus próprios projetos: desde um fundador solo usando uma «equipe de desenvolvedores» baseada em IA para sua plataforma educacional, até uma criança de dez anos que criou um aplicativo para pedir limonada na Lovable e enfrentou problemas reais de segurança.