A IA acelerou os sistemas e os golpes. A segurança ficou para trás

Nunca foi tão rápido criar um sistema. Com ferramentas de inteligência artificial, alguém que mal programa consegue montar um painel, um cadastro de clientes ou uma loja virtual em poucos dias. O mercado chama isso de vibe coding: descrever o que se quer e deixar a IA escrever o código. A velocidade é real. O problema é que a segurança não acompanhou essa velocidade, e os mesmos furos de sempre estão sendo vendidos em embalagem nova.

Ao mesmo tempo, do outro lado, os golpistas também ganharam ferramentas. A IA que escreve código é a mesma família de tecnologia que clona vozes e cria perfis falsos convincentes. Este texto é sobre as duas pontas desse problema.

#O código: rápido, mas furado

A empresa de segurança Veracode testou o código gerado por mais de 100 modelos de linguagem, em Java, JavaScript, Python e C#. O resultado do relatório de 2025: o código gerado por IA introduziu falhas de segurança em 45% dos testes. Outro achado chama atenção: modelos maiores e mais novos não melhoraram a segurança.

Para quem desenvolve, isso faz sentido. A IA aprende com milhões de exemplos de código públicos, e boa parte desses exemplos foi escrita para funcionar, não para ser seguro. Tutoriais deixam senha no código "só para testar". Exemplos de login pulam a parte de limitar tentativas. A IA reproduz o padrão que mais viu.

#Os furos que eu mais vejo

Não são falhas exóticas. São os mesmos erros que a segurança de software combate há vinte anos:

• Senha e chave de API escritas direto no código. Vão parar no repositório, às vezes público.
• Usuário administrador com senha padrão, como o famoso admin123, que ninguém troca depois da instalação.
• Login sem limite de tentativas, aberto para robôs testarem senhas o dia inteiro.
• Dados de um cliente acessíveis por outro, porque o sistema não confere se aquele registro pertence a quem está pedindo.
• Dependências desatualizadas, com falhas já conhecidas e corrigidas pelos autores, mas nunca atualizadas no projeto.

A diferença é a escala. Antes, um sistema mal feito levava meses para ficar pronto. Hoje, leva um fim de semana, e pode ser vendido para dezenas de clientes na segunda-feira.

#Os golpes: a voz do seu filho pedindo dinheiro

Em dezembro de 2024, o FBI publicou um alerta direto: criminosos usam IA generativa para aplicar fraudes em escala maior e mais convincente. Entre os exemplos, um que já chegou ao Brasil: golpistas criam áudios curtos com a voz de um parente para simular uma emergência e pedir dinheiro na hora.

O roteiro é conhecido de quem acompanha os golpes de WhatsApp: urgência, um parente em apuros, um pedido de transferência imediata. A novidade é que agora o áudio pode ter a voz certa. Reportagens recentes no país mostram que o golpe da voz clonada já circula por aqui, inclusive com ligações em que o criminoso só quer gravar alguns segundos da sua voz.

A recomendação do FBI é simples e funciona: combine com a sua família uma palavra ou frase secreta para confirmar a identidade numa situação de emergência. Diante de qualquer pedido urgente de dinheiro, desligue e ligue de volta para o número que você já conhece.

#Por que as duas pontas se encontram

Um sistema mal protegido é o que alimenta o golpe. Quando um cadastro de clientes vaza, porque tinha senha padrão ou deixava um usuário ver os dados de outro, os criminosos ganham nomes, telefones e informações reais. Com IA, transformam esses dados em mensagens personalizadas e áudios convincentes. O sistema feito às pressas de hoje é a matéria-prima do golpe de amanhã.

#Se você compra um sistema

Não é preciso entender de código para fazer as perguntas certas:

• Quem revisou o código? "A IA fez tudo" não é resposta aceitável para um sistema que guarda dados de clientes.
• Foi feito algum teste de segurança? Um fornecedor sério sabe dizer quais verificações faz.
• Como as senhas são guardadas? O certo é hash com algoritmos próprios para senha (bcrypt, scrypt ou Argon2), nunca em texto.
• O sistema obriga trocar a senha inicial e oferece verificação em duas etapas?
• Quem atualiza o sistema quando uma falha é descoberta? Sistema sem manutenção acumula furo.

#Se você usa IA para programar

Uso IA no meu trabalho todos os dias e não pretendo parar. Mas aprendi a tratar o código gerado como o de um estagiário talentoso e apressado: rápido, útil e que precisa de revisão.

• Revise toda parte que lida com login, senha, pagamento e permissão. É onde mora o risco.
• Peça explicitamente por segurança no pedido: limite de tentativas, validação de entrada, consulta parametrizada no banco.
• Nunca cole segredos no código e use ferramentas que avisam quando uma chave vai parar no repositório.
• Teste como um atacante: tente acessar dados de outro usuário mudando um número na URL.
• Mantenha as dependências atualizadas.

#Se você é usuário

1. Palavra secreta com a família para emergências.
2. Desconfie de urgência. Pressa é a ferramenta número um do golpista.
3. Confirme por outro canal antes de transferir dinheiro.
4. Verificação em duas etapas em e-mail, banco e WhatsApp.
5. Fale menos com números desconhecidos. Alguns segundos de áudio podem bastar para uma clonagem.

#O que fica

A inteligência artificial não criou esses problemas. Senha padrão, código sem revisão e golpe por urgência existem há décadas. O que a IA fez foi acelerar tudo: quem cria, quem vende e quem ataca. A segurança precisa entrar nessa mesma velocidade, como parte do processo, e não como algo para "ver depois". Porque, no fim, quem paga a conta raramente é quem escreveu o código.

Fontes: Veracode: 2025 GenAI Code Security Report, FBI/IC3: alerta sobre fraudes com IA generativa, OWASP: Top 10 para aplicações com LLM, Agência Brasil: golpe do roubo da voz, Exame: como os golpes com IA mudaram no Brasil.