Você não ficou 4x mais rápido. Ficou 10x mais inseguro — e agora existem os dados

O número que ninguém coloca no slide da apresentação

A Veracode testou mais de cem modelos de linguagem em tarefas de código sensíveis a segurança. O resultado: apenas 55% das gerações produzem código seguro. Nos outros 45%, o modelo introduz uma vulnerabilidade conhecida do OWASP Top 10.

Leia de novo, porque a formulação positiva engana. Não é "a IA às vezes erra". É: em quase metade das vezes em que você pede código sensível a segurança, o que volta já nasce com uma falha catalogada há vinte anos.

E ela não erra aleatoriamente. Erra com padrão: 41% do código de backend gerado por IA vem com permissão ampla demais, e as ferramentas geram acesso nível admin por padrão, sem restrição de papel. O modelo aprendeu com tutoriais da internet. Tutorial não tem controle de acesso.

4x mais commits, 10x mais achados

Aqui está o número que deveria ter parado a discussão em qualquer reunião de engenharia deste ano: desenvolvedores assistidos por IA produzem commits a uma taxa três a quatro vezes maior que a dos colegas — e introduzem achados de segurança a uma taxa dez vezes maior.

Faça a divisão. Você não está trocando velocidade por qualidade numa proporção de um para um. Está pagando duas a três vezes mais risco por unidade de velocidade ganha. Isso não é uma troca; é uma dívida com juro embutido que ninguém pactuou.

E não é sensação. GitClear e GitKraken analisaram 623 milhões de mudanças reais de código entre 2023 e 2026. Um quarto de todos os commits já é assistido por IA. Oito métricas de manutenibilidade pioraram no período. Duplicação de código subiu 81% em relação à era pré-IA.

Duplicação de 81% significa uma coisa muito concreta: quando você precisar corrigir aquela regra, ela está em oito lugares e você vai achar cinco.

As CVEs já têm data de nascimento

Se você acha que isso é preocupação de arquiteto pessimista, olhe a série temporal de vulnerabilidades atribuídas diretamente a código gerado por IA: 6 CVEs em janeiro de 2026. 15 em fevereiro. 35 em março.

Isso é uma curva, não um ponto. E é atrasada por definição — CVE é o que já foi descoberto, divulgado e catalogado. O que foi escrito em 2025 está sendo explorado agora.

Tem mais: existe pesquisa mostrando que a segurança degrada a cada iteração. Você pede o código, não gosta, pede pra melhorar, pede pra ajustar — e a cada rodada o resultado fica menos seguro, não mais. Exatamente o oposto do que a intuição diz. O loop que parece refinamento é, em segurança, erosão.

O mercado já está apostando contra você

O Gartner projeta o surgimento de um mercado inteiro de remediação: ferramentas e consultoria especializadas em auditar, identificar e refatorar dívida técnica gerada por IA.

Pare um segundo nesse ponto. Um mercado de bilhões está sendo formado para limpar o que você está escrevendo neste trimestre. Estimativas de custo apontam manutenção chegando a quatro vezes o nível tradicional no segundo ano quando o código gerado não é gerenciado.

Quando analistas começam a dimensionar o mercado de faxina, a bagunça já é consenso.

Não, a resposta não é parar de usar IA

Se você chegou até aqui esperando "volte a escrever tudo à mão", esse texto não é esse texto. Agentes entregam valor real, e já falamos aqui sobre onde eles ganham. O problema nunca foi a ferramenta. É que a velocidade de geração foi multiplicada e a capacidade de verificação ficou exatamente onde estava.

Você instalou um motor de avião num carro e manteve os freios originais.

O que separa quem vai pagar a conta de quem não vai:

1. SAST bloqueante no CI, hoje. Não "avisando", não "em modo relatório", não num dashboard que ninguém abre. Reprovando o PR. Se 45% das gerações trazem falha do OWASP, revisão humana por amostragem não é controle — é esperança.

2. Revisão de autorização como item obrigatório de checklist. Com 41% do backend gerado saindo com permissão excessiva, a pergunta "quem pode chamar isso e com qual escopo?" precisa estar escrita no template de PR. Toda vez.

3. Teste antes do código, não depois. Critério verificável por máquina é a única coisa que escala junto com a geração. Sem isso, você tem volume sem verificação — a definição literal do problema.

4. Meça duplicação e complexidade, não linhas entregues. Se a sua métrica de produtividade sobe enquanto a manutenibilidade cai, sua métrica está medindo o dano.

5. Ninguém faz merge do que não consegue explicar. Regra simples, cara de aplicar, e a única que impede a base de virar território estrangeiro. Se o autor do PR não sabe defender por que aquela linha existe, ninguém no time vai saber daqui a seis meses.

A última linha

O código gerado por IA não é pior por natureza. Ele é produzido mais rápido do que qualquer processo humano de verificação foi desenhado para aguentar — e a diferença entre essas duas frases é a única coisa que decide se, em 2028, você vai estar entregando produto ou contratando consultoria para limpar 2026.

A conta chega para todo mundo. A única escolha que você tem é se paga agora, em processo, ou depois, em incidente.