Uma aplicação desenvolvida com apoio de inteligência artificial pode funcionar corretamente, atender aos requisitos do projeto e passar pelos testes previstos. Ainda assim, pode conter vulnerabilidades capazes de comprometer informações corporativas ou permitir acessos indevidos.

Isso acontece porque a validação do funcionamento de um código não comprova sua segurança. Uma funcionalidade pode executar exatamente o que foi solicitado e apresentar falhas que só se tornam evidentes diante de tentativas de exploração.

A gravidade desse risco fica mais evidente diante dos dados do Verizon Data Breach Investigations Report (DBIR) 2026: a exploração de vulnerabilidades ultrapassou o uso de credenciais comprometidas e se tornou o principal vetor conhecido de acesso inicial nas violações analisadas.

Por que a inteligência artificial pode gerar código vulnerável?

Ferramentas de IA generativa produzem código a partir de padrões aprendidos e das instruções fornecidas pelos usuários. Embora consigam entregar implementações funcionais, podem reproduzir práticas inseguras quando requisitos de proteção não são considerados.

Entre as vulnerabilidades que podem aparecer no código gerado estão:

• Falhas de validação e injeção: entradas manipuladas podem provocar consultas indevidas ou operações não autorizadas.
• Credenciais expostas: senhas, tokens e chaves incorporados ao código podem permitir acessos indevidos quando compartilhados ou comprometidos.
• Controles de acesso insuficientes: falhas de autorização podem permitir que usuários consultem ou modifiquem informações além de suas permissões.

Imagine um portal desenvolvido com apoio de IA que autentica usuários e apresenta documentos normalmente. Uma falha na verificação de permissões, porém, permite acessar registros de outras contas.

Nesse caso, o código atende à funcionalidade solicitada, mas contém uma vulnerabilidade que pode expor informações confidenciais.

Por que essas vulnerabilidades passam pela revisão e chegam à produção?

A chegada de código vulnerável à produção está relacionada à forma como as organizações incorporam implementações geradas por IA aos seus processos de desenvolvimento.

Testes funcionais verificam se uma aplicação executa as tarefas previstas. Entretanto, podem deixar de identificar fragilidades relacionadas à proteção de informações, às permissões de acesso e à comunicação entre sistemas.

Em uma integração corporativa, por exemplo, o código pode transferir dados corretamente, mas utilizar credenciais com permissões excessivas ou aceitar solicitações sem validação adequada.

Se a aprovação considerar apenas o funcionamento da integração, a falha pode ser incorporada ao ambiente produtivo e expor sistemas conectados.

O aumento da velocidade de desenvolvimento torna esse processo mais sensível. Quanto maior o volume de implementações, maior a necessidade de estabelecer critérios claros sobre quais verificações devem ocorrer antes da publicação.

Para CIOs, CTOs e CISOs, o desafio está em assegurar que a produtividade proporcionada pela IA não reduza o rigor da validação de segurança, especialmente em aplicações que processam dados sensíveis ou sustentam operações críticas.

O que o DBIR 2026 revela sobre os riscos dessas falhas em produção?

O Verizon DBIR 2026 identifica a exploração de vulnerabilidades como o principal vetor conhecido de acesso inicial, representando 31% dos casos no recorte analisado.

O dado reforça a importância de impedir que falhas exploráveis permaneçam disponíveis em sistemas e aplicações corporativas.

O relatório também documenta o uso de inteligência artificial em atividades ofensivas, incluindo pesquisa sobre vulnerabilidades e desenvolvimento de recursos utilizados em ataques.

Isso amplia a pressão sobre as equipes de segurança: enquanto aplicações são publicadas em ciclos mais curtos, atacantes utilizam automação para acelerar determinadas atividades.

O DBIR não estabelece uma relação causal direta entre código gerado por IA e o crescimento da exploração de vulnerabilidades. Entretanto, seus resultados evidenciam a gravidade de permitir que aplicações sejam disponibilizadas com falhas conhecidas.

Incidentes envolvendo vulnerabilidades críticas em tecnologias amplamente utilizadas demonstram como problemas em componentes de aplicações podem exigir medidas urgentes de avaliação e correção.

Shadow AI pode dificultar a identificação dos riscos no desenvolvimento

A utilização de ferramentas de IA fora dos processos autorizados acrescenta outra dificuldade: a organização pode não ter visibilidade suficiente sobre como o código está sendo produzido e quais informações são compartilhadas durante esse processo.

O DBIR 2026 identifica a Shadow AI como a terceira ação interna não maliciosa mais frequente no conjunto de eventos de prevenção contra perda de dados analisado, com crescimento de quatro vezes em participação percentual.

No desenvolvimento, esse comportamento pode envolver o envio de código-fonte, informações sobre sistemas internos e detalhes de integrações para plataformas externas não homologadas.

Além da possível exposição de informações, o uso não supervisionado dessas ferramentas dificulta a aplicação consistente de critérios de segurança sobre o código gerado.

A necessidade de governança sobre o uso de inteligência artificial se torna relevante para estabelecer responsabilidades e dar visibilidade à utilização dessas tecnologias.

Como identificar vulnerabilidades antes que sejam exploradas?

Quando códigos vulneráveis chegam à produção, a organização precisa identificar as falhas existentes e avaliar sua exposição a possíveis ataques.

O Pentest permite realizar testes controlados para identificar vulnerabilidades exploráveis em aplicações, sistemas e infraestrutura. Os resultados contribuem para compreender os riscos e priorizar correções conforme a criticidade dos ambientes.

Esse trabalho complementa a gestão de vulnerabilidades, especialmente em aplicações sujeitas a atualizações e integrações frequentes.

O Firewall as a Service acrescenta controles de proteção e inspeção de tráfego, conforme a arquitetura e os recursos contratados, apoiando a restrição de acessos indevidos e a aplicação de políticas de segurança.

Em aplicações web, mecanismos específicos, como o Web Application Firewall (WAF), podem complementar essa proteção contra determinados padrões de requisições maliciosas.

Esses recursos ajudam a identificar e reduzir a exposição de ambientes corporativos, mas precisam atuar em conjunto com práticas de desenvolvimento seguro e correção de falhas no código.

A Penso oferece soluções de Pentest e Firewall as a Service para apoiar organizações na identificação de riscos e na proteção de aplicações e infraestrutura.

O que as empresas precisam mudar para evitar a publicação de código vulnerável?

Para as lideranças de tecnologia, a prioridade está em estabelecer critérios de segurança que orientem a avaliação e a aprovação de aplicações antes de sua entrada em produção, independentemente de terem sido desenvolvidas com apoio de IA.

Essa responsabilidade também exige visibilidade sobre as ferramentas utilizadas pelas equipes e as informações compartilhadas com plataformas externas. 

Sem esse controle, a organização pode ter dificuldades para identificar exposições, aplicar suas políticas de segurança e avaliar os riscos associados ao desenvolvimento assistido por inteligência artificial.

Penso, a gente resolve.