guia · vibe coding · fundamentos

O que é vibe coding?

Vibe coding é construir software descrevendo o resultado em linguagem natural e deixando um agente de IA escrever o código — avaliando o que foi entregue pelo que funciona na tela, e não lendo linha a linha. O termo nasceu em 2025 e virou o fluxo padrão de ferramentas como Cursor, Claude Code, Lovable, Bolt, v0, Windsurf e Replit AI.

O ganho é real: o que levava semanas sai em uma tarde. O custo também é real e chega depois — o modelo otimiza para código que funciona, não para código seguro. Este guia explica como o fluxo funciona, o que ele costuma deixar de fora e como checar isso antes de colocar usuários dentro.

Como funciona na prática

Você descreve o resultado, não a implementação

Em vez de escrever a função, você diz o que o app deve fazer: “tela de login com e-mail e senha, salvando no banco”. O agente escolhe bibliotecas, arquivos e estrutura.

O agente escreve e roda o código

Ferramentas como Cursor, Claude Code, Lovable, Bolt, v0, Windsurf e Replit AI editam vários arquivos, instalam dependências e sobem o preview sozinhas.

Você avalia pelo que aparece na tela

O critério de aceite vira o comportamento visível: funcionou, aprovado. É aqui que mora o risco — o que não aparece na tela também não é revisado.

Você itera em linguagem natural

Cada ajuste é um novo pedido. Em poucas horas existe um produto rodando, com dezenas de decisões técnicas que ninguém leu.

Quais ferramentas são usadas

Elas se dividem em dois grupos. Agentes de IDE e terminal — Cursor, Claude Code, Windsurf, GitHub Copilot — trabalham dentro do seu repositório, com acesso a arquivos e shell. Plataformas de app completo — Lovable, Bolt, v0, Replit AI — cuidam de front-end, banco e deploy num único fluxo.

A escolha muda a autonomia do agente e para onde vai o seu código-fonte. Não muda a qualidade de segurança do app gerado: as falhas abaixo aparecem em todas.

Os riscos que não aparecem na tela

acesso a dados

Tabelas sem RLS ou com policy permissiva

No Supabase, uma tabela criada sem Row Level Security (ou com uma policy `using (true)`) fica legível pela API pública. Na tela nada muda: o app continua funcionando igual.

segredos

Chaves de API no bundle do cliente

Service role keys e tokens de terceiros colados no front-end porque “assim funcionou mais rápido”. Qualquer visitante abre o DevTools e copia.

autorização

IDOR: endpoint devolve o registro sem checar o dono

A rota aceita um ID e retorna o dado. Trocando o número na URL, o usuário A lê o pedido do usuário B — o tipo de falha que nenhum scanner automático entende sozinho.

Prompt injection

Input do usuário concatenado direto no system prompt permite sobrescrever instruções, vazar o prompt ou acionar ferramentas indevidas.

abuso e custo

Sem rate limiting

entrada

Validação só no formulário

A regra existe no cliente e é ignorada no servidor. Um `curl` passa por cima de tudo que o formulário protegia.

O padrão é sempre o mesmo: o app funciona perfeitamente para quem usa direito. A falha só aparece para quem tenta quebrar.

Checklist antes de publicar

Toda tabela com RLS habilitada e policy escopada por usuário.
Nenhum segredo no código que vai para o navegador.
Cada endpoint responde: quem pode chamar isso e com quais dados?
Validação de entrada no servidor, com limite de tamanho e formato.
Input do usuário isolado das instruções do sistema nas chamadas de LLM.
Limite de uso em rotas caras, sensíveis ou de autenticação.

Esse checklist é o mínimo. O aprofundamento — com exemplos de código vulnerável e corrigido — está no ebook Vibe Coding Seguro, e a versão específica de banco de dados no checklist de Supabase RLS.

Perguntas frequentes

O que é vibe coding?+

Vibe coding é programar descrevendo o resultado desejado em linguagem natural e deixando um agente de IA escrever o código, avaliando o resultado pelo que funciona na tela em vez de revisar linha a linha. O termo foi popularizado em 2025 e hoje descreve o fluxo padrão de ferramentas como Cursor, Claude Code, Lovable, Bolt e Replit AI.

Vibe coding funciona para produto em produção?+

Funciona para chegar rápido a um produto real — muitos apps com usuários pagantes nasceram assim. O que não escala sem revisão é a parte invisível: autorização, RLS, validação no servidor e limites de uso, que o modelo só implementa se alguém pedir.

Preciso saber programar para fazer vibe coding?+

Não para construir algo que funcione. Mas sem alguém que leia o código, você não tem como saber o que não foi implementado — e falhas de segurança não aparecem na tela.

Qual ferramenta de vibe coding é mais segura?+

Nenhuma é intrinsecamente mais segura no código que gera; elas diferem em privacidade de dados e autonomia do agente. Comparamos Claude Code, Cursor e Windsurf sob essas óticas em um guia dedicado.

Como revisar a segurança de um app feito com IA?+

Comece pelo checklist deste guia (RLS, segredos, autorização por endpoint, validação no servidor, isolamento de prompt, rate limiting). Se o app já tem usuários reais, dados pessoais ou pagamentos, uma revisão externa paga por si mesma.

Construiu com IA? Revise antes dos usuários chegarem

Envie o repositório e receba um relatório de findings priorizado em 24–48h.

Solicitar revisão