Se você caiu aqui, provavelmente viu alguém dizer que "fez um app inteiro em um fim de semana só conversando com a IA". A busca pelo termo "vibe coding" mais que dobrou no Brasil no último ano, e a pergunta "o que é vibe coding?" cresceu ainda mais. Este artigo explica o que é, por que virou moda, onde esses apps costumam quebrar e o que separa quem brinca de quem coloca algo seguro no ar.
O que é vibe coding, em uma frase
Vibe coding é construir software descrevendo o que você quer em português para uma IA, aceitando o código que ela gera e seguindo "no embalo", sem ler o que foi escrito. O termo foi cunhado no início de 2025 por Andrej Karpathy, um dos pesquisadores mais conhecidos da área, e pegou porque descreve bem a experiência: você pede, ela faz, você testa clicando, pede de novo.
Ferramentas como Lovable, Bolt, Cursor e Claude Code tornaram isso possível para quem nunca programou. Em poucas horas sai uma tela de cadastro, um painel, um site com login. E é real: funciona.
Por que todo mundo está falando disso
Porque pela primeira vez a barreira de entrada caiu de verdade. Antes, para ter um sistema simples do seu negócio, você contratava alguém ou passava meses estudando sintaxe. Hoje, uma descrição boa e uma tarde de trabalho entregam algo usável.
Isso é uma notícia boa, e é a razão de a NCK Labs existir. O problema não é o vibe coding em si. O problema é parar nele.
Onde o app "no embalo" quebra
No fim de 2025, uma empresa de segurança chamada Escape analisou mais de 5.600 aplicativos publicados por plataformas de vibe coding, sem invadir nada, só olhando o que estava exposto na internet. Encontrou mais de 2.000 vulnerabilidades graves, mais de 400 chaves e senhas de serviço à mostra, e 175 casos de dados pessoais acessíveis a qualquer um, incluindo registros médicos e dados bancários.
Outro estudo, da Veracode, testou mais de 100 modelos de IA em tarefas de programação e viu que em quase metade dos casos (45%) o código gerado trazia uma falha de segurança conhecida, mesmo quando havia um jeito seguro de fazer a mesma coisa.
Os erros se repetem, e são sempre os mesmos quatro:
1. A chave do banco foi parar na parte visível do site
Um sistema tem duas metades: o frontend, que roda no navegador da pessoa, e o backend, que roda no servidor. Tudo o que está no frontend qualquer pessoa consegue ler, basta apertar F12. A IA, com pressa, costuma colocar a chave de acesso ao banco de dados direto na tela. Resultado: quem souber onde olhar tem a mesma permissão que você sobre todos os dados.
2. O banco aceita qualquer pedido
Bancos como o Supabase têm uma proteção chamada política de acesso por linha (RLS), que diz "este usuário só vê os próprios registros". Ela vem desligada ou mal configurada em boa parte dos apps feitos no embalo, porque ninguém pediu. A tela mostra só os seus pedidos, mas o banco entrega os de todo mundo para quem perguntar diretamente.
3. Trocar um número na URL mostra os dados de outra pessoa
O app abre /pedido/41. A pessoa digita /pedido/42 e vê o pedido de outro cliente, porque a IA criou a tela sem conferir de quem é o registro. É a falha mais comum e a mais fácil de evitar, desde que alguém peça.
4. Senhas e tokens foram para o GitHub
Quem usa Git sem entender o que é o arquivo .gitignore acaba enviando para o repositório o arquivo que guarda as senhas do projeto. Robôs varrem o GitHub o tempo todo procurando exatamente isso. Em minutos a chave está sendo usada por outra pessoa, às vezes gerando conta em serviço pago no seu nome.
Repare que nenhum desses erros é "a IA programou mal". Em todos, a IA fez o que foi pedido. O que faltou foi alguém que soubesse o que pedir e onde conferir.
Vibe coding não é o fim da história
O próprio Karpathy, um ano depois de criar o termo, disse que vibe coding puro já ficou para trás e que o próximo passo é o que ele chama de engenharia com agentes: a IA continua escrevendo o código, mas a pessoa passa a agir como quem dirige a obra. Define a estrutura, revisa o que importa, testa como usuário e decide o que entra.
Isso não exige virar programador no sentido antigo. Exige entender um punhado de conceitos e criar alguns hábitos.
O que separa quem brinca de quem publica com segurança
- Saber a diferença entre frontend e backend. Não para escrever cada um, mas para saber que chave, senha e regra de negócio nunca podem ficar na parte que roda no navegador.
- Pedir a proteção explicitamente. "Cada usuário só pode ver e alterar os próprios registros" precisa estar no pedido. A IA não assume isso sozinha.
- Ler o plano antes de aprovar. Ferramentas como o Claude Code mostram o que vão fazer antes de mexer nos arquivos. É ali que você vê a chave indo para o lugar errado.
- Testar como invasor, não só como dono. Abra o app deslogado. Troque o número da URL. Tente ver o pedido de outra conta. O que abrir vira o próximo pedido para a IA.
- Usar Git desde o primeiro dia, com .gitignore configurado. Para voltar quando algo quebrar, e para nunca mandar senha para o GitHub.
- Publicar pequeno e cedo. Colocar no ar com dez registros de teste ensina mais sobre segurança do que um mês de vídeo, e quebra barato.
Como isso aparece nos cursos da NCK Labs
Nos cursos de programação com IA da NCK Labs, em Juiz de Fora, o aluno faz vibe coding desde a primeira aula, porque é assim que se constrói hoje. A diferença está no que vem junto: Git e .gitignore antes de publicar qualquer coisa, a separação entre frontend e backend explicada no projeto do próprio aluno, e um especialista ao lado na hora de configurar o banco e testar o que não pode vazar.
Cada aluno sai com um sistema próprio no ar, e com o hábito de conferir o que a IA fez antes de aceitar. Se quiser ver as próximas turmas, elas estão na página de cursos. E se a sua dúvida ainda é anterior a essa, "eu consigo mesmo sem saber programar?", a resposta está no artigo sobre como programar com IA sem saber programar.
Resposta curta
Vibe coding é pedir e aceitar. Funciona para começar e é a forma mais rápida de ver uma ideia de pé. O que não funciona é publicar assim, com dados de outras pessoas dentro. A diferença entre as duas coisas não é saber digitar código: é saber onde olhar antes de clicar em publicar.