Vibe coding é criar software pedindo tudo a um modelo de IA em linguagem natural e aceitando o código que ele gera sem ler nem revisar. Você descreve o que quer, testa se funciona e, quando dá erro, cola a mensagem de volta no chat. Funciona bem para um protótipo de fim de semana, mas pode sair caro quando o sistema guarda dados de outras pessoas ou vai para produção.
A seguir, você vê de onde veio o termo, como a prática funciona no dia a dia, quando ela faz sentido e quais riscos aparecem quando ninguém olha o código.
De onde veio o termo
A expressão foi criada por Andrej Karpathy, programador experiente, em um post na rede X em fevereiro de 2025. Ele descreveu um jeito de programar em que você se entrega às "vibes" e esquece que o código existe: aceita as mudanças sugeridas pelo modelo sem ler o código. O próprio Karpathy disse que achava isso aceitável para projetos descartáveis de fim de semana.
Martin Fowler, autor conhecido na área de engenharia de software, traz um critério útil para separar as coisas. Para ele, quem usa IA para escrever todo o código, mas continua revisando e cuidando da estrutura, não está fazendo vibe coding. Isso é outra prática, que ele chama de engenharia agêntica.
Como funciona na prática
Imagine que você quer um app para controlar os gastos da casa. No vibe coding, o roteiro costuma ser este: você escreve "crie um app web com login onde eu cadastro despesas e vejo um gráfico por mês", a ferramenta gera dezenas de arquivos, você roda, algo quebra, você cola o erro, a IA corrige, e assim por diante até a tela parecer certa. Em nenhum momento você abre o código para entender o que ele faz.
Ferramentas usadas
No post original, Karpathy citou o Cursor, um editor de código com IA, usando o recurso Composer, e um app de ditado por voz para falar com ele quase sem tocar no teclado. Hoje o mesmo estilo aparece em três tipos de ferramenta:
- editores de código com assistente de IA embutido, que sugerem e aplicam mudanças em vários arquivos;
- agentes de programação que rodam no terminal e executam comandos, instalam pacotes e alteram o projeto sozinhos;
- plataformas que geram um app inteiro a partir de uma descrição em texto.
O que define o vibe coding é o modo de uso, não a ferramenta. Qualquer uma delas pode ser usada com ou sem revisão. Recursos e nomes de produtos mudam rápido, então vale conferir a documentação oficial de cada um antes de escolher.
Quando faz sentido
Fowler resume bem: vibe coding combina com software descartável, usado só por quem o criou ou por um grupo pequeno que entende os riscos. Alguns exemplos:
- um protótipo para mostrar uma ideia ao time antes de investir tempo de desenvolvimento;
- um script pessoal que renomeia fotos ou organiza planilhas no seu computador;
- um experimento para aprender como uma biblioteca funciona;
- uma ferramenta interna simples, sem dados pessoais e sem acesso à internet.
Nesses casos, se o código quebrar ou ficar bagunçado, o prejuízo é pequeno e você joga fora e recomeça.
Quando fica arriscado
O risco cresce quando o sistema é complexo, tem muitos usuários ou guarda informação que não é sua. Fowler aponta problemas frequentes de manutenção, correção e segurança, e considera a segurança o mais grave.
Segurança do código gerado
Um estudo da Veracode publicado em julho de 2025 testou mais de 100 modelos de linguagem em 80 tarefas de programação ligadas a falhas conhecidas. Em 45% dos casos, o código gerado trazia vulnerabilidades. Contra cross-site scripting (XSS), os modelos falharam em 86% dos testes; contra injeção em logs, em 88%. Em Java, a taxa de falha passou de 70%. E modelos maiores não se saíram muito melhor que os menores.
Na prática, isso significa que um formulário gerado pela IA pode aceitar um script malicioso e exibi-lo para outros usuários. Se você não lê o código, não percebe.
Chaves de API e dados expostos
Quando você pede "conecte com o serviço de pagamento" e cola sua chave no chat, a IA pode colocá-la direto no código, inclusive no lado do navegador, onde qualquer visitante consegue ver. O mesmo vale para regras de banco de dados abertas demais, que deixam qualquer pessoa ler a tabela de usuários. São erros simples de achar numa revisão e fáceis de passar batido quando ninguém revisa.
Dependências que não existem (ou que são armadilhas)
A OWASP, comunidade aberta de referência em segurança de aplicações, lista no seu Top 10 de riscos para aplicações com LLM (edição 2025) a geração de código inseguro e a sugestão de bibliotecas que não existem. O cenário descrito é concreto: atacantes testam assistentes de programação para descobrir nomes de pacotes que a IA costuma inventar e publicam pacotes maliciosos com esses nomes em repositórios populares. Quem instala sem conferir leva o malware junto.
Qualidade, manutenção e dívida técnica
Sem atenção ao código, o vibe coding produz muito código de baixa qualidade em pouco tempo, como observa Fowler. O app funciona hoje, mas ninguém sabe explicar por que, e cada correção pedida à IA pode quebrar outra parte. Essa é a dívida técnica: um custo que você paga depois, quando precisa mudar algo e descobre que é mais fácil reescrever do que entender.
Privacidade e LGPD
Se o seu app coleta nome, e-mail, CPF ou qualquer dado de pessoas, a Lei Geral de Proteção de Dados (Lei 13.709/2018) se aplica. O artigo 46 exige medidas de segurança técnicas e administrativas para proteger esses dados de acessos não autorizados, e o parágrafo 2º diz que elas devem ser observadas "desde a fase de concepção do produto ou do serviço até a sua execução". O artigo 48 obriga o controlador a comunicar à autoridade nacional e aos titulares incidentes que possam causar risco ou dano relevante. "A IA escreveu" não muda quem responde pelo sistema.
Boas práticas para usar sem se expor
Você não precisa abrir mão da IA. Precisa trocar o "aceitar tudo" por alguns hábitos:
- Leia o código antes de publicar. Se não entende um trecho, peça à própria IA para explicar e confira.
- Nunca cole chaves de API, senhas ou dados reais de clientes no chat. Guarde segredos em variáveis de ambiente e fora do repositório.
- Confira cada pacote sugerido no repositório oficial antes de instalar: veja se existe, quem mantém e se tem uso real.
- Rode ferramentas de análise de segurança e de dependências no projeto, como faria com código escrito por uma pessoa.
- Escreva testes para as partes que lidam com login, pagamento e dados pessoais.
- Separe protótipo de produto. O que nasceu no improviso deve ser revisado ou reescrito antes de receber usuários reais.
- Se houver dados pessoais, pense na LGPD desde o início: colete só o necessário e proteja o acesso.
As recomendações da OWASP vão na mesma linha: supervisão humana, checagem cruzada com fontes confiáveis e práticas de código seguro para não incorporar falhas vindas de sugestões erradas.
Perguntas frequentes
Vibe coding é a mesma coisa que programar com IA?
Não. Vibe coding é aceitar o código sem revisar. Usar IA e revisar o resultado é outra prática, que Martin Fowler chama de engenharia agêntica.
Quem nunca programou pode fazer vibe coding?
Pode, e muita gente faz para ferramentas pessoais. O problema começa quando o app guarda dados de outras pessoas ou vai para a internet sem que alguém entenda o código.
Modelos de IA mais novos resolvem o problema de segurança?
Não dá para contar com isso. No estudo da Veracode de 2025, modelos maiores não tiveram desempenho de segurança muito melhor que os menores.
Se a IA errou, a responsabilidade é de quem?
A LGPD cobra medidas de segurança dos agentes de tratamento, ou seja, de quem coleta e usa os dados. A ferramenta usada para escrever o código não muda isso.
Próximos passos
Pegue um projeto que você criou com IA e faça uma revisão rápida: procure chaves no código, liste as dependências e confirme que cada uma existe no repositório oficial. Para aprofundar fundamentos de programação e segurança, explore a plataforma de cursos da Hcode.
Fontes
Vibe Coding, Martin Fowler (martinfowler.com), 21 de maio de 2026.
AI-Generated Code Poses Major Security Risks in Nearly Half of All Development Tasks, Veracode Research Reveals, Veracode, 30 de julho de 2025.
LLM09:2025 Misinformation, OWASP Gen AI Security Project, atualizado em 17 de abril de 2025.
Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), Presidência da República, consultado em 27 de outubro de 2026.