Quase metade do c\u00f3digo produzido por assistentes de intelig\u00eancia artificial cont\u00e9m vulnerabilidades de seguran\u00e7a, mesmo quando parece funcional e pronto para produ\u00e7\u00e3o. N\u00e3o se trata de especula\u00e7\u00e3o: o relat\u00f3rio GenAI Code Security 2025 da Veracode, que testou mais de cem modelos de linguagem em 80 tarefas de codifica\u00e7\u00e3o, encontrou que 45% das amostras falharam em testes de seguran\u00e7a, com falhas em categorias cl\u00e1ssicas do OWASP Top 10. <\/p>\n\n\n\n
Em Java, a linguagem mais utilizada em ambientes corporativos, a taxa de falha chegou a 72%. Em paralelo, pesquisa da Stanford University publicada nos anais da ACM CCS demonstrou que desenvolvedores que usam assistentes de IA n\u00e3o apenas produzem c\u00f3digo menos seguro, mas tamb\u00e9m declararam acreditar na seguran\u00e7a do que geraram. <\/p>\n\n\n\n
O Gartner projeta que 75% dos engenheiros de software em grandes empresas utilizar\u00e3o assistentes de IA para codifica\u00e7\u00e3o at\u00e9 2028. No Brasil, pesquisa da GitHub com 500 respondentes em empresas de grande porte publicada em 2024 indicou que mais de 97% dos desenvolvedores j\u00e1 utilizam essas ferramentas no trabalho, percentual equivalente ao de economias como Estados Unidos, Alemanha e \u00cdndia. <\/p>\n\n\n\n
Limita\u00e7\u00f5es dos modelos de linguagem<\/strong><\/p>\n\n\n\n A raiz do problema est\u00e1 na natureza desses sistemas. Modelos de linguagem n\u00e3o \u201centendem\u201d seguran\u00e7a no sentido t\u00e9cnico. Eles operam por probabilidade, reproduzindo padr\u00f5es presentes nos dados de treinamento. Como esses dados incluem tanto boas pr\u00e1ticas quanto implementa\u00e7\u00f5es vulner\u00e1veis, o resultado tende a refletir essa ambiguidade.<\/p>\n\n\n\n Esse tipo de falha \u00e9 particularmente perigoso porque n\u00e3o se apresenta como erro evidente. Uma vulnerabilidade de seguran\u00e7a pode permanecer invis\u00edvel por meses. O sistema continua operando normalmente, enquanto exp\u00f5e dados, permite acessos indevidos ou cria caminhos para explora\u00e7\u00e3o futura.<\/p>\n\n\n\n Na pr\u00e1tica, o que se observa \u00e9 a amplia\u00e7\u00e3o de falhas j\u00e1 conhecidas, mas agora em escala maior. Entre as mais recorrentes est\u00e3o problemas de inje\u00e7\u00e3o, uso inadequado de queries, valida\u00e7\u00e3o insuficiente de entrada e constru\u00e7\u00e3o insegura de chamadas a APIs. Em muitos casos, o modelo sugere solu\u00e7\u00f5es que parecem padr\u00e3o, mas ignoram nuances de contexto, como origem dos dados, limites de confian\u00e7a ou regras espec\u00edficas de neg\u00f3cio.<\/p>\n\n\n\n Falhas de autentica\u00e7\u00e3o e autoriza\u00e7\u00e3o tamb\u00e9m aparecem com frequ\u00eancia. Fluxos gerados por IA tendem a simplificar processos, omitindo valida\u00e7\u00f5es intermedi\u00e1rias ou adotando permiss\u00f5es mais amplas do que o necess\u00e1rio. Em um ambiente corporativo, esse tipo de simplifica\u00e7\u00e3o pode abrir acesso indevido a dados sens\u00edveis ou fun\u00e7\u00f5es administrativas.<\/p>\n\n\n\n Outro vetor relevante \u00e9 o uso de depend\u00eancias. Modelos frequentemente sugerem bibliotecas externas para resolver problemas espec\u00edficos, mas nem sempre consideram a seguran\u00e7a ou a maturidade desses componentes. Em alguns casos, indicam pacotes desatualizados ou at\u00e9 inexistentes, o que cria espa\u00e7o para ataques de cadeia de suprimentos, como o registro malicioso de bibliotecas com nomes sugeridos pelo pr\u00f3prio modelo.<\/p>\n\n\n\n Como incorporar a IA com seguran\u00e7a<\/strong><\/p>\n\n\n\n A quest\u00e3o central n\u00e3o \u00e9 mais decidir se a organiza\u00e7\u00e3o vai usar IA no desenvolvimento. A quest\u00e3o \u00e9 construir controles proporcionais \u00e0 velocidade com que esse c\u00f3digo entra em produ\u00e7\u00e3o. Tratar todo output de modelos de linguagem como c\u00f3digo de terceiro n\u00e3o confi\u00e1vel, integrando an\u00e1lise est\u00e1tica e din\u00e2mica calibrada para os padr\u00f5es de vulnerabilidade espec\u00edficos da IA diretamente no pipeline de CI\/CD, \u00e9 o ponto de partida. <\/p>\n\n\n\n Mapear e controlar o shadow AI antes que ele exponha os ativos da organiza\u00e7\u00e3o \u00e9 o segundo passo, e nenhum invent\u00e1rio de ferramentas aprovadas substitui controles t\u00e9cnicos efetivos de preven\u00e7\u00e3o de vazamento de dados para provedores externos. <\/p>\n\n\n\n O que se consolida, portanto, \u00e9 uma mudan\u00e7a no pr\u00f3prio conceito de desenvolvimento. A IA n\u00e3o substitui o engenheiro de software, mas altera o papel desse profissional. O foco deixa de ser apenas escrever c\u00f3digo e passa a ser validar, interpretar e garantir que aquilo que foi gerado atende aos requisitos de seguran\u00e7a, qualidade e conformidade.<\/p>\n\n\n\n O Gartner estimou em seu relat\u00f3rio Predicts 2026 que abordagens baseadas em gera\u00e7\u00e3o de c\u00f3digo por IA aumentar\u00e3o os defeitos de software em 2.500% at\u00e9 2028 se os processos de revis\u00e3o n\u00e3o forem redesenhados. N\u00e3o \u00e9 uma previs\u00e3o catastr\u00f3fica, \u00e9 uma proje\u00e7\u00e3o de escala com base nas taxas atuais de ado\u00e7\u00e3o e nas taxas documentadas de vulnerabilidade. <\/p>\n\n\n\n No fim, o risco n\u00e3o est\u00e1 na tecnologia em si, mas na forma como ela \u00e9 incorporada ao processo. Organiza\u00e7\u00f5es que tratam a IA como um acelerador sem ajustar seus controles tendem a acumular vulnerabilidades em ritmo superior \u00e0 sua capacidade de resposta. J\u00e1 aquelas que estruturam governan\u00e7a, observabilidade e disciplina de engenharia conseguem capturar ganhos de produtividade sem abrir m\u00e3o da seguran\u00e7a.<\/p>","protected":false},"excerpt":{"rendered":" Quase metade do c\u00f3digo produzido por assistentes de intelig\u00eancia artificial cont\u00e9m vulnerabilidades de seguran\u00e7a, mesmo quando parece funcional e pronto para produ\u00e7\u00e3o. N\u00e3o se trata de especula\u00e7\u00e3o: o relat\u00f3rio GenAI […]<\/p>\n","protected":false},"author":257,"featured_media":85371,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[35,36],"tags":[47,68,43],"class_list":["post-102055","post","type-post","status-publish","format-standard","has-post-thumbnail","category-artigos","category-dicas-artigos","tag-artigos","tag-dicas","tag-e-commerce"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\n\n\t\t\n