QUEM É RESPONSÁVEL QUANDO IA ESCREVE CÓDIGO INSEGURO?

A Inteligência Artificial hoje já participa ativamente do desenvolvimento de software e scripts de redes, gerando código, configurações e até arquiteturas inteiras. Isso aumentou muito a produtividade, mas trouxe uma pergunta importante:

Quando a IA escreve o código, quem é responsável pela segurança?

A resposta é direta: a responsabilidade continua sendo humana, dos desenvolvedores, arquitetos, times de segurança e da empresa que coloca o sistema em produção.

A IA não entende contexto de negócio, regras internas, riscos da infraestrutura ou requisitos regulatórios. Ela apenas gera a próxima solução mais provável com base em padrões.

Por isso, ela pode facilmente produzir algo funcional, mas inseguro.

Hoje em dia é cada vez mais comum ver desenvolvedores utilizando ferramentas como GitHub Copilot, ChatGPT, Claude, Gemini, Cursor, Windsurf e outras soluções de IA para auxiliar na criação de código, geração de testes unitários, desenvolvimento de APIs completas, construção de consultas SQL, produção de documentação e até na sugestão de arquiteturas inteiras.

A produtividade aumentou significativamente, especialmente quando essas ferramentas são usadas de forma consciente, atuando como um copiloto no processo.

Um exemplo comum está em configurações de rede. Uma IA pode sugerir regras que liberam acesso SSH ou serviços críticos para “qualquer origem”, o que funciona tecnicamente, mas expõe totalmente a infraestrutura.

Esse é o problema central: funcionalidade não significa segurança.

.

O viés de confiança e confirmação

Outro risco importante é o viés de confiança e confirmação. Quanto mais a IA acerta, mais as pessoas tendem a aceitar suas sugestões sem revisão, reduzindo o pensamento crítico e a validação técnica.

A IA sempre tende a concordar com você, e aí mora um perigo. Ela te entende, ela te confirma! As IAs são projetadas para concordar com o usuário, isso gera um grande problema cognitivo.

Parece fazer sentido, mas nem sempre deve ser feito! Por isso, experiência prática e estudo teórico sempre serão essenciais para profissionais!

Nesse cenário, o desenvolvedor / sys admin / adm de redes, passa a evoluir para um perfil híbrido, unindo conhecimento técnico tradicional com a capacidade de orquestrar e validar soluções geradas por inteligência artificial.

A responsabilidade continua sendo humana.

A IA não assina contratos.
A IA não responde por auditorias.
A IA não sofre sanções regulatórias.
A IA não participa de processos judiciais.

A responsabilidade continua sendo integralmente humana.

Isso significa que aceitar código gerado por IA sem validação é equivalente a copiar código de um blog ou site aleatório (Alo galera que copiava sem ser do StackOverflow, TechNet…) e enviar diretamente para produção. Estamos de olho! 👀

O impacto da IA no SSDLC

O SSDLC (Secure Software Development Lifecycle) nunca foi tão relevante.
Na verdade, a IA só aumenta ainda mais a sua importância.

Antes, uma vulnerabilidade podia ser inserida por um desenvolvedor.
Agora, ela pode ser replicada centenas de vezes por uma IA em questão de minutos.

Por isso, cada etapa do ciclo de desenvolvimento precisa ser ainda mais reforçada.

Requisitos

Definir requisitos de segurança desde o início.

Exemplos:
• MFA obrigatório
• Criptografia de dados
• Logs auditáveis
• Controle de acesso baseado em perfis

Design

Realizar Threat Modeling.

Perguntas importantes:
• O que pode falhar?
• Quem poderia atacar?
• Qual seria o impacto?

Implementação

Aplicar boas práticas da OWASP.

Utilizar:
• Parameterized Queries
• Validação de entradas
• Output Encoding
• Gestão correta de segredos

Verificação

Executar:
• SAST
• DAST
• SCA
• Code Review

A IA também pode ajudar a segurança

Hoje já existem soluções capazes de:

• Identificar padrões inseguros
• Revisar Pull Requests
• Criar testes de segurança
• Explicar vulnerabilidades
• Apoiar Threat Modeling
• Priorizar correções

Talvez a pergunta correta não seja: “A IA escreve código seguro?”

Mas sim:

“Estamos preparados para validar um código gerado por IA? Você se sente seguro quando aperta para dar o Deploy?”

Porque no final, quem quer que seja que alterou ou gerou o código, ou alterou uma Rota no Roteador, a responsabilidade pelo ato continua sendo HUMANA.

As imagens deste artigo foram geradas por IA, não cheguei a conferir se estavam corretas, e se estiverem com informações erradas? Imagina seu código gerado sem validação certeira, parece tudo ok, mas, e se não estiver? 🫨

Espero ter ajudado!

Até a próxima!