Desenvolver com IA virou o caminho natural para tirar uma ideia do papel rápido. O problema é que a maior parte das falhas em aplicações criadas dessa forma não nasce de um erro do modelo, e sim de uma suposição do desenvolvedor.
A IA entrega o que foi pedido, e segurança quase nunca está no pedido. Cinco pontos concentram a maioria dos problemas.
1. Descreva o que a aplicação não pode fazer
Prompts costumam detalhar funcionalidades e ignorar restrições. A IA implementa o fluxo feliz com precisão, mas não imagina o usuário mal-intencionado por conta própria. Ao pedir uma funcionalidade, especifique também quem não pode acessá-la, quais valores são inválidos e o que deve acontecer quando alguém tentar burlar o fluxo. Restrição não declarada é restrição inexistente.
2. Autenticação e autorização não são a mesma coisa
A IA implementa login sem dificuldade, e é justamente aí que mora a armadilha. Autenticação confirma quem é o usuário, autorização define o que ele pode acessar. Sem instrução explícita, é comum a aplicação verificar se alguém está logado e não verificar se aquele registro pertence a ele. Trocar um número na URL e enxergar o dado de outro cliente é a falha mais encontrada em aplicações novas.
3. Revise as dependências que a IA escolheu
Cada biblioteca sugerida entra no seu projeto carregando o próprio histórico de vulnerabilidades. Modelos tendem a indicar pacotes populares nos dados de treino, o que nem sempre significa mantidos ou atualizados. Vale conferir a última atualização de cada dependência e rodar uma verificação automatizada antes de publicar, porque a falha herdada é tão explorável quanto a que você escreveu.
4. Segredo removido continua no histórico
Apagar uma chave de API do código não a remove do repositório. Ela permanece no histórico de commits e continua acessível para qualquer pessoa com acesso, além de ser alvo de varreduras automatizadas que rastreiam repositórios públicos em busca exatamente disso. Quando uma credencial vaza, o único caminho seguro é revogar e gerar outra, não editar o arquivo.
5. Lógica de negócio é o ponto cego
Nenhum modelo conhece as regras do seu negócio. A IA não sabe que um cupom não pode ser aplicado duas vezes, que um saldo não deveria aceitar valor negativo ou que um pedido cancelado não pode gerar estorno repetido. Essas falhas passam por qualquer varredura automática porque, tecnicamente, o código está correto. Só quem entende o fluxo do negócio consegue identificá-las.
Aplicações desenvolvidas com IA já entraram no radar dos cibercriminosos, principalmente por repetirem falhas que podem ser identificadas e exploradas em escala. Por isso, além das boas práticas durante o desenvolvimento, vale submeter a aplicação a um pentest antes de colocá-la em produção.
Nesse cenário, a Plataforma de Pentest da HackerSec, tem sido uma alternativa utilizada por desenvolvedores e vibe coders que buscam testar a cibersegurança de suas aplicações com qualidade, agilidade e um modelo mais acessível. Afinal, desenvolver rápido faz parte dessa nova forma de criar software.
