Fiz um app no Lovable. Preciso me preocupar com segurança?

Você descreveu o que queria, a inteligência artificial montou o app em uma tarde, e agora ele está no ar e funcionando. Aí bate a dúvida honesta: preciso me preocupar com segurança, ou a IA já cuidou disso pra mim?

A resposta curta é sim, vale se preocupar, mas você não precisa virar especialista. A IA é ótima em fazer o app funcionar. Acontece que funcionar e estar seguro são coisas diferentes, e o que costuma faltar é saber onde essas ferramentas normalmente deixam uma porta aberta.

O que a IA faz muito bem

Não dá pra negar o avanço. Você fala o que precisa e ela gera código de verdade, conecta a tela ao banco de dados, monta a tela de login e resolve toda aquela parte repetitiva que antes exigia um programador e várias semanas. Para tirar uma ideia do papel e colocar no ar, é uma ajuda de verdade. O app abre, o cadastro funciona, os dados aparecem. Até aqui, tudo certo.

O que ela costuma deixar aberto

O problema é que a IA é treinada para entregar algo que funciona, não algo que resista a uma pessoa agindo de má fé. E isso aparece nas pesquisas. Um estudo da Universidade de Nova York, apresentado no IEEE Symposium on Security and Privacy de 2022, gerou 1.689 pequenos programas com um assistente de IA em situações ligadas a segurança e encontrou alguma falha em cerca de 40% deles.

Mais revelador ainda foi um estudo da Universidade de Stanford, publicado em 2023: as pessoas que usaram um assistente de IA escreveram um código menos seguro e, ao mesmo tempo, ficaram mais confiantes de que ele estava seguro. É a combinação perigosa. O app parece pronto, você se sente tranquilo, e a brecha continua lá.

Na prática, as portas que costumam ficar abertas em apps feitos assim são quase sempre as mesmas:

• A regra de acesso ao banco de dados, que é o que decide quem pode ler e escrever cada informação. Sem ela, qualquer pessoa pode acabar enxergando os dados de todos os usuários. Não por acaso, o controle de acesso falho é o primeiro item da lista das falhas mais comuns da web, a OWASP Top 10.
• Uma chave que deveria ser secreta, deixada dentro do próprio app, onde qualquer visitante mais curioso consegue ver.
• Uma configuração liberada demais, que deixa outro site qualquer conversar com os seus dados como se fosse você.

Como rodar um raio-X antes de publicar

A boa notícia é que conferir isso não exige saber programar. Antes de divulgar o link pra valer, vale checar quatro coisas: se existe mesmo uma regra de acesso protegendo os dados, e não um simples "qualquer um pode ler"; se nenhuma chave secreta está aparecendo no app; se o site abre com cadeado, o tal do https; e se pastas que deveriam ser privadas, como os arquivos de configuração, não ficaram expostas na internet.

Construir com IA é um superpoder de verdade. Você saiu de uma ideia para um app no ar sem precisar de um time inteiro. O passo que fica faltando é um segundo olhar rápido, focado não em "funciona?" e sim em "o que está aberto?". Foi pra isso que o Vigil existe: ele roda esse raio-X de segurança no seu app e lista, em português de gente, o que está exposto, de preferência antes que o seu cliente, ou alguém de má fé, encontre o problema primeiro.