Editorial

Os riscos de plataformas
feitas por IA e as cinco perguntas antes de contratar

O vibe coding acelera o desenvolvimento, mas código gerado por IA e publicado sem revisão pode expor dados de alunos. Saiba o que perguntar ao fornecedor.

Equipe Edumetrics

· 5 min de leitura

Quem trabalha com educação conhece a diferença entre uma aula que parece boa e uma aula que ensina. Com software acontece algo parecido. Uma plataforma pode ter telas bonitas, painéis coloridos e relatórios que carregam rápido, e ainda assim estar mal construída por dentro.

Isso importa agora por causa do vibe coding. Nessa prática, a pessoa descreve o que quer em linguagem natural e uma inteligência artificial escreve o código. Para criar protótipos e testar ideias, a técnica acelera muito o trabalho. O ponto de atenção aparece quando o resultado vai direto para o uso real, sem que engenheiros leiam, testem e revisem o que foi gerado.

Os números por trás do alerta

Segundo a Kaspersky, os principais modelos já geram código que compila e executa em cerca de 90% dos casos. Há dois anos, eram menos de 20%. A segurança não acompanhou esse avanço: cerca de 45% desse código ainda traz falhas da lista OWASP Top 10, o índice que reúne os dez maiores riscos de segurança de aplicações. Uma das razões é que os modelos aprendem com código público, que inclui muitos exemplos inseguros.

A IBM cita uma análise em que equipes entregaram código 4 vezes mais rápido com IA, mas com 10 vezes mais falhas de segurança. As alterações também ficam maiores: as que passam de mil linhas subiram de 8% para 13,9% do total entre janeiro de 2025 e maio de 2026, o que dificulta uma revisão cuidadosa. A Kaspersky acrescenta que, em um estudo com GPT-4o, bastaram cinco rodadas de modificação para o código ter 37% mais vulnerabilidades críticas. Uma plataforma educacional muda o tempo todo, então revisar apenas no começo não basta.

Quais são os erros mais comuns

Os especialistas descrevem um padrão. Entre os problemas mais recorrentes estão:

  • permitir que um usuário veja dados de outra pessoa só mudando o endereço da página;
  • não guardar o registro de quem acessou o quê;
  • deixar chaves de acesso escritas em um código que qualquer pessoa consegue ler;
  • conferir quem pode entrar apenas na tela do usuário, o que facilita burlar o acesso;
  • misturar testes e uso real no mesmo lugar, expondo dados verdadeiros a erros;
  • deixar a LGPD fora do projeto, sem mapear os dados, definir o prazo de guarda, controlar acessos e listar os terceiros envolvidos.

O que isso significa para uma escola

Imagine um aluno que abre o próprio painel e vê as redações e os resultados dos colegas. Ou um responsável que acessa o cadastro de outra família. Esses sistemas guardam nome de menores, turma e desempenho, o tipo de dado que a LGPD trata com mais cuidado. Se algo acontece e não há registros de acesso, a escola nem sabe quem precisa ser avisado. A lei prevê multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, e quem contrata responde pelos dados dos seus alunos mesmo quando a tecnologia é de terceiros.

Há também a questão da consistência. A IA não considera, por conta própria, regras de cada área, como os arredondamentos exigidos em finanças ou os registros de acesso exigidos na saúde. Na educação, uma média, uma proficiência estimada ou o desempenho por eixo cognitivo dependem de cálculo correto, e um erro pequeno aparece na tela com toda a aparência de certeza.

Cinco perguntas para fazer antes de contratar

Você não precisa entender de programação para se proteger. Leve estas perguntas ao fornecedor:

  1. Quem revisou o código que guarda os dados dos meus alunos? Espere ouvir sobre um processo de revisão por engenheiros.
  2. Cada perfil (aluno, professor e responsável) só vê o que deve, e isso já foi testado? Peça evidências.
  3. Se houver um incidente, vocês sabem dizer quem acessou o quê e quando? Para isso, deve haver registros de acesso.
  4. Onde ficam guardados os dados, quem tem acesso e quais terceiros participam? A LGPD pede esse mapeamento desde o projeto.
  5. Como os cálculos de nota e desempenho são validados? Espere que haja regras de cálculo documentadas.

A própria OWASP recomenda que quem coloca um código no ar consiga compreendê-lo e revisá-lo, tenha ele sido escrito por pessoas ou por IA. Um fornecedor que responde a essas perguntas com clareza e sem rodeios já mostra muito sobre a maturidade do que entrega.

Como a Edumetrics trabalha

Na Edumetrics, o vibe coding é uma das ferramentas que usamos eventualmente para criar protótipos, testar ideias com rapidez e validar o design do produto. Mas tudo o que professores e estudantes acessam é projetado, programado e revisado por engenheiros, com segurança desde o começo.

Fontes

  • BERGMANN, Dave. Vibe coding security risks aren’t like ordinary security risks. IBM Think, [S. l.], 18 jun. 2026.
  • KAMINSKY, Stan. Os perigos ocultos da codificação com IA. Blog oficial da Kaspersky, [S. l.], 18 nov. 2025.

Quer conhecer o ecossistema?

Conhecer a plataforma Leia também: A engenharia por trás da Edumetrics