Por Willian Vieira - Consultor de AppSec & DevSecOps
A inevitabilidade não é uma opinião de mercado e sim uma medição. O desenvolvimento de software moderno não está caminhando em direção à IA, a prática de desenvolver software já reescreveu suas próprias fundações em torno dela. E essa facilidade de gerar código está se convertendo, silenciosamente, no maior vetor de risco da década. A produtividade tem sido celebrada com entusiasmo, e parte dela é real. Mas existe uma fatura que poucas organizações leram até o fim, e ela está documentada.
O relatório GenAI Code Security de 2025 da Veracode submeteu mais de cem modelos de linguagem a oitenta tarefas reais de programação. O resultado deveria estar na pauta de qualquer comitê de tecnologia: 45% do código gerado introduziu vulnerabilidades, muitas alinhadas ao OWASP Top 10, a lista das ameaças mais críticas em aplicações web. Quando o modelo tinha em vista a escolha entre uma forma segura e uma forma insegura de resolver o problema, escolheu a insegura em quase metade dos casos.
O detalhe mais desconfortável vem em seguida. Modelos mais novos e maiores não produziram código mais seguro do que os anteriores. A taxa de vulnerabilidade permaneceu estável ao longo de gerações sucessivas de modelos. Isso significa que o problema não é uma limitação temporária que a próxima versão vai corrigir e sim algo que é estrutural, embutido na forma como esses sistemas aprenderam a escrever software a partir de um público que sempre priorizou funcionar sobre resistir a ameaças.
E a confiança humana já sentiu o golpe. O sentimento positivo dos desenvolvedores em relação às ferramentas de IA caiu de mais de 70% em 2023 para 29% em 2025. Os profissionais estão escrevendo código mais rápido do que nunca e, ao mesmo tempo, gastando mais tempo questionando e validando o que será enviado para produção. A produtividade subiu. A confiança não acompanhou. Essa lacuna expõe a maior armadilha da era da IA: o risco invisível, um débito estrutural que se acumula silenciosamente sob a superfície da sua base de código.
No entanto, existe um caminho, e ele não passa por frear a adoção de IA, pois, essa batalha, como vimos, já terminou. Na prática, isso significa adotar movimentos coordenados, e o primeiro deles é:
Acoplar a varredura estática (SAST) à própria pipeline. Cada bloco de código gerado por um LLM deve ser analisado automaticamente antes de ser confiado a um desenvolvedor humano ou promovido para o próximo estágio.
Nossa consultoria de Segurança de Aplicações na IBLISS integra a expertise de quem audita código gerado por IA todos os dias às soluções de SAST de nossos parceiros, desenhando o ponto exato em que a varredura entra na sua pipeline, ajustando as regras ao seu Stack Tecnológico e à sua tolerância ao risco, e treinando seus times para operar com IA sem herdar suas falhas. Não vendemos uma ferramenta para você configurar sozinho; entregamos o programa de AppSec que faz a ferramenta valer o investimento. A diferença está na capacidade de transformar tecnologia em um processo efetivo de segurança. É exatamente nesse ponto que atuamos: conectando pessoas, processos e ferramentas para que a segurança acompanhe a velocidade do desenvolvimento sem comprometer a produtividade.