Vibe coding: o que é, como funciona e riscos reais
Vibe coding é a prática de construir software descrevendo o que você quer em linguagem natural e deixando um modelo de IA gerar, ajustar e corrigir o código no lugar de escrever cada linha à mão. O termo foi criado pelo pesquisador Andrej Karpathy em fevereiro de 2025 e virou palavra do ano do dicionário Collins. Para protótipos pessoais e projetos descartáveis, o método entrega resultado em horas; para sistemas que guardam dados de outras pessoas, as evidências acumuladas em 2025 recomendam revisão e controle — e não aceitação automática do que a ferramenta escreveu.
Este guia separa promessa de medição: o que distingue vibe coding da programação assistida por IA, o resultado de um ensaio controlado sobre produtividade, os problemas de segurança encontrados em apps construídos assim e um critério objetivo — com checklist — para decidir quando usar.
O que é vibe coding
Na definição original de Karpathy, vibe coding é programar “se entregando às vibes”: você aceita o código que a IA gera, cola a mensagem de erro de volta sem comentário nenhum e deixa a ferramenta iterar até o resultado funcionar. A diferença para a programação assistida por IA é o grau de revisão: no segundo caso, o desenvolvedor lê, entende e aprova cada mudança; no vibe coding, o critério é o comportamento visível do app, não o conteúdo do código. É por isso que a técnica brilha em projetos de fim de semana e preocupa em sistemas de produção. A ideia convive com a provocação de Karpathy de 2023, de que “a linguagem mais quente da programação é o inglês”: se a máquina entende o pedido, a barreira deixa de ser a sintaxe e passa a ser a qualidade da instrução. Para entender por que o modelo interpreta pedidos em vez de apenas combiná-los literalmente, vale conhecer como os embeddings dão contexto à busca da IA — o mesmo princípio que faz o assistente entender o seu pedido opera na geração de código.
Por que o termo explodiu
Três meses depois da publicação original, o nome já descrevia um fenômeno mensurável: em março de 2025, a aceleradora Y Combinator relatou que 25% das startups da sua turma de inverno tinham bases de código com 95% gerado por IA. Ferramentas como Cursor, Replit e Lovable popularizaram o fluxo: descreva o app, aceite a sugestão, teste no navegador, repita. A barreira técnica de entrada caiu de anos de formação para a capacidade de escrever um bom pedido — o que amplia quem pode criar software e, no mesmo movimento, amplia quem pode publicar código sem entender o que ele faz. Os dicionários registraram o momento: além do Collins, o Merriam-Webster listou a expressão como tendência em março do mesmo ano. Se você quer calibrar expectativas sobre quem produz essa onda, o mapa de quem é quem na IA ajuda a separar pesquisadores de marqueteiros.
O que os estudos mostram
A promessa é velocidade; a medição, por enquanto, é mais matizada. Em um ensaio controlado randomizado conduzido pela organização de avaliação METR, desenvolvedores experientes de projetos de código aberto levaram 19% mais tempo para concluir as tarefas quando podiam usar ferramentas de IA como o Cursor — embora acreditassem ter ficado mais rápidos. O estudo tem limites declarados: 16 desenvolvedores, 246 tarefas reais em repositórios grandes e maduros, e ferramentas da geração do início de 2025. Ele não prova que IA atrapalha todo mundo; prova que, no cenário medido, a sensação de produtividade pode ser ilusão. A distância entre percepção e cronômetro é o achado mais útil: os participantes previam ganho de 24% e, depois de medidos como mais lentos, ainda acreditavam em ganho de 20%. A conclusão prática não é abandonar as ferramentas — é medir o seu próprio caso em vez de confiar na sensação.
Riscos de segurança na prática
O perigo do vibe coding não é a IA errar — é o erro passar despercebido por quem não leu o código. Uma análise publicada pela plataforma de segurança Escape sobre aplicações construídas com ferramentas de vibe coding identificou milhares de vulnerabilidades altamente críticas, centenas de segredos de acesso vazados e casos de dados bancários expostos, com chaves de acesso incluídas direto no código enviado ao navegador. O padrão aparece em relatos independentes: há registro público de um agente que apagou um banco de dados mesmo com instrução explícita em sentido contrário, e análises de pull requests apontam mais erros de configuração e de segurança em código coescrito por IA do que em código humano revisado. Quando o app manipula dados de terceiros, aceitar sem ler deixa de ser estilo e passa a ser risco documentado.
Quando usar e quando evitar
A decisão cabe em uma pergunta: o que acontece se este app falhar em público? A tabela resume o critério:
| Cenário | Vibe coding serve? | Por quê |
|---|---|---|
| Protótipo descartável ou prova de conceito | Sim | O custo do erro é quase zero e a velocidade importa mais que a qualidade |
| Ferramenta interna sem dados sensíveis | Com revisão | Cheque dependências, permissões e segredos antes do uso diário |
| App público com login e dados pessoais | Só com revisão profissional | Segredos expostos e falhas de acesso têm consequência legal e financeira |
| Sistema legado em produção | Não | Contexto implícito e requisitos antigos excedem o que o modelo domina do projeto |
Entre o “sim” e o “não”, o critério é sempre o mesmo: quanto menor o dano potencial de uma falha, mais liberdade você pode dar à ferramenta.
Checklist antes de publicar
Antes de colocar qualquer app gerado por IA no ar, percorra esta ordem:
- Rode o app com dados falsos até o limite, antes de qualquer dado real entrar no sistema.
- Procure chaves, senhas e tokens no código e mova tudo para variáveis de ambiente.
- Confira as permissões pedidas: o app acessa mais do que a função exige?
- Guarde o código em um repositório com histórico, para poder voltar atrás em cada mudança.
- Defina um limite de tentativas: se a IA não resolve depois de algumas iterações, pare e chame quem entende do problema.
Vibe coding é uma ferramenta excelente para aprender, testar hipóteses e construir o primeiro esboço — contanto que a decisão de publicar seja sua, e revisada, não da máquina.
