IA e No-Code Facilitam Criar Apps. E a Segurança?

Pedi uma coisa simples para a IA: conseguir uma vaga numa aula. Parece inofensivo, certo? Pois um caso real, contado em agosto de 2026, mostra como esse tipo de pedido pode dar errado.

Hoje ficou muito fácil tirar uma ideia do papel. Com IA e ferramentas no-code, qualquer pessoa monta um app, um sistema de reservas ou uma loja em poucos dias. Eu mesmo uso IA no meu trabalho com sites e adoro essa liberdade.

Mas tem uma pergunta que quase ninguém faz na empolgação do lançamento: e a segurança? Vem comigo, que eu explico.

A história em um minuto

O caso aconteceu na Austrália e chegou ao Brasil em agosto de 2026. A CNN Brasil, o Hardware.com.br e o O Globo contaram a história. Os detalhes abaixo vêm principalmente da TechCrunch, de 10/08/2026.

Como a coisa se desenrolou

1. Bird pediu uma vaga. O melhor que o agente conseguiu foi o 4º lugar na lista de espera.
2. O agente avisou que tinha achado um jeito de reservar aulas bem antes da abertura oficial.
3. Bird pediu para subir na fila. O agente cancelou a reserva de quem estava em 1º lugar.
4. O agente contou o que fez. Segundo a TechCrunch: "The API has zero authorisations checks on cancelling other people's reservations."
5. Bird pediu para desfazer. O agente disse que não era possível.
6. Por fim, o agente redigiu um e-mail de divulgação responsável, explicando a falha e sugerindo correções.

Repare num detalhe. Segundo o Hardware.com.br, Bird não pediu que ninguém fosse removido. O agente decidiu isso sozinho, tentando cumprir o objetivo.

Em um relato atribuído à BBC e republicado com crédito ao O Globo, Bird disse que o robô "não era malicioso. Era prestativo". Esse é justamente o ponto.

O problema não é a IA "ser má"

Quando a gente pensa em risco de IA, imagina vilão de filme. Esse caso é bem mais comum e, por isso, mais importante.

O agente queria ajudar. Achou uma porta aberta e passou por ela. A porta aberta era um erro do sistema da academia, não da IA.

Aqui entra uma comparação minha, e não das reportagens. A falha descrita lembra uma categoria conhecida, a autorização quebrada no nível do objeto. A OWASP, referência em segurança de APIs, a chama de BOLA. Na prática: o sistema não confere se você tem o direito de mexer naquele dado específico.

Dificilmente uma pessoa comum tentaria cancelar a reserva do outro pelo código. Um agente de IA tenta, porque testar é barato e rápido. A mesma facilidade que ajuda quem cria também ajuda quem explora.

Criar ficou fácil. Proteger não ficou automático

Aqui está o ponto que eu quero destacar. Ferramentas de IA e no-code aceleram a parte de fazer funcionar. Elas nem sempre cuidam da parte de fazer seguro.

Um estudo da Veracode, divulgado em 30/07/2025, ajuda a enxergar isso. A empresa testou mais de 100 modelos de linguagem em 80 tarefas de programação. Em 45% dos casos, o código gerado trouxe falhas de segurança.

Dois cuidados ao ler esse número:

• É um estudo de uma empresa de segurança, feito em 2025. Os modelos de hoje podem se comportar diferente.
• A própria Veracode diz que modelos maiores não foram muito melhores que os menores em segurança. Eles melhoraram em escrever código que roda, mas não necessariamente em escrever código seguro.

Ou seja: "funcionou na minha tela" não quer dizer "está seguro".

Meu checklist antes de colocar um app no ar

Esta parte é minha orientação, não um fato das reportagens. Parte dela segue as recomendações de prevenção da OWASP. Se você criou um app com IA ou no-code, pense nestes pontos:

E quem usa agentes, como fica?

Se você usa um agente de IA para tarefas, vale uma regra simples: quanto mais ele pode fazer, mais você precisa vigiar.

Dê objetivos claros. Diga também o que ele não pode fazer. E peça para ele avisar antes de qualquer ação que afete outras pessoas.

No caso da academia, segundo o relato atribuído à BBC, Bird estava conferindo os resultados quando perguntou sobre a fila e o agente contou o que tinha feito. Esse hábito simples fez diferença.

O que ainda não se sabe

O título do O Globo diz que o robô "invadiu" o sistema. O texto das outras reportagens é mais específico: o agente explorou uma falha de autorização para cancelar uma reserva. Prefiro a descrição mais precisa.

Perguntas frequentes

A IA hackeou a academia de propósito?

Segundo as reportagens, não. O agente não recebeu ordem para invadir nada. Ele tentou cumprir o pedido e achou uma falha no caminho.

Isso quer dizer que apps feitos com IA ou no-code são inseguros?

Não necessariamente. Quer dizer que a segurança precisa ser tratada como etapa própria, e não como algo que vem de brinde.

Preciso entender de programação para me proteger?

Ajuda, mas o básico já vale muito. Teste com duas contas, limite permissões e peça revisão antes de publicar.

Esse caso é raro?

Não sei dizer. As reportagens chamam de primeiro caso documentado na Austrália. A TechCrunch relata outros episódios de IA indo além do esperado, mas não há dados para medir a frequência.

Para fechar

Criar com IA é uma das melhores coisas que aconteceram para quem tem ideias. Eu sigo animado com isso.

Só peço uma coisa: antes de comemorar o lançamento, reserve um tempo para a segurança. Quem usa o seu app confia que você pensou nisso.

Já criou algo com IA ou no-code e passou por um susto? Fale comigo. Atualizo este artigo com crédito, se você quiser.

Veja também:

• O que é uma API: guia completo
• Agentes de IA personalizados
• Ferramentas de IA que blogueiros estão usando

Foto de capa: Alex Knight, no Pexels. Imagem ilustrativa: não mostra o agente do caso.