Aplicativos Criados com IA: Estudo Revela Dados Expostos em 7.403 Sites Feitos com Lovable

A facilidade de desenvolver sistemas com inteligência artificial traz novas oportunidades, mas também exige atenção à segurança, aos testes e à manutenção dos aplicativos.

Os aplicativos criados com inteligência artificial estão transformando a maneira como empresas e empreendedores desenvolvem soluções digitais. Com ferramentas como Lovable, já é possível criar sites, sistemas e aplicações funcionais usando apenas comandos em linguagem natural. Porém, um estudo recente revelou que essa facilidade também pode trazer riscos importantes: milhares de projetos apresentaram falhas que permitiam o acesso a informações privadas de usuários.

A investigação conduzida pela empresa de segurança Crissy Field, em colaboração com o jornal alemão Handelsblatt, analisou mais de 159 mil projetos desenvolvidos com Lovable. Os pesquisadores identificaram milhares de aplicações que disponibilizavam dados pessoais sem exigir autenticação adequada.

O episódio serve como um alerta para quem pretende desenvolver um aplicativo utilizando inteligência artificial: criar um software rapidamente não significa que ele esteja preparado para receber usuários reais, armazenar informações confidenciais ou operar com segurança.

O que revelou o estudo sobre os aplicativos criados com IA na plataforma Lovable?

O estudo identificou 7.403 sites nos quais foram encontrados registros contendo endereços de e-mail em tabelas acessíveis durante a investigação. Em alguns casos, os dados expostos incluíam informações extremamente sensíveis.

Segundo o relatório publicado pela Crissy Field, a investigação utilizou projetos encontrados em arquivos públicos da internet e analisou especialmente aplicações conectadas ao banco de dados Supabase.

Os pesquisadores identificaram situações envolvendo:

• Nome completo, endereço de e-mail e data de nascimento.
• Mensagens privadas e conversas entre usuários.
• Endereços residenciais e números de telefone.
• Informações relacionadas a compras, pagamentos e ingressos.
• Contratos, documentos e faturas.
• Números de passaporte e informações de documentos de identidade.
• Comunicações internas e informações comerciais confidenciais.

Em um dos casos mais graves, mais de mil registros continham informações de documentos de identidade, incluindo números de passaporte, nacionalidades e datas de validade.

É importante interpretar os números corretamente. A pesquisa não afirma que todos os sites analisados apresentavam vazamentos. Os 7.403 casos representam sites nos quais foram encontrados registros contendo e-mails em determinadas condições de acesso, dentro da amostra investigada.

Os pesquisadores também não conseguiram determinar se os dados encontrados haviam sido utilizados por criminosos.

O estudo completo pode ser consultado no relatório de segurança publicado pela Crissy Field.

Por que aplicativos criados com inteligência artificial podem apresentar falhas de segurança?

Aplicativos desenvolvidos com IA podem apresentar falhas porque a inteligência artificial não elimina a necessidade de configurar corretamente bancos de dados, autenticação, permissões e infraestrutura.

Ferramentas de desenvolvimento por conversa conseguem gerar interfaces, conectar serviços, criar bancos de dados e implementar funcionalidades em poucos minutos. Isso representa um avanço enorme, principalmente para quem não possui experiência em programação.

O problema aparece quando o desenvolvedor acredita que a aplicação está pronta simplesmente porque funciona visualmente.

Imagine um empreendedor que deseja criar um sistema para uma clínica médica. Ele solicita à IA uma aplicação com cadastro de pacientes, agendamento de consultas e histórico de atendimentos.

A ferramenta pode gerar uma interface bonita, funcional e aparentemente completa. Entretanto, se as permissões do banco de dados estiverem configuradas incorretamente, um usuário poderá visualizar informações pertencentes a outros pacientes.

O sistema pode funcionar perfeitamente para quem está desenvolvendo e, ao mesmo tempo, apresentar uma falha grave de segurança.

Esse é um dos principais riscos do chamado vibe coding, expressão utilizada para descrever o desenvolvimento de software por meio de instruções em linguagem natural, com forte participação da inteligência artificial na geração do código.

O que é vibe coding e quais são os riscos de desenvolver aplicativos dessa maneira?

Vibe coding é uma abordagem de desenvolvimento na qual o programador ou empreendedor descreve o que deseja construir e utiliza a IA para gerar grande parte do código necessário.

Em vez de escrever manualmente cada função, o usuário conversa com ferramentas como Lovable, Cursor e outras plataformas, solicitando ajustes, funcionalidades e correções.

Essa abordagem pode acelerar muito o desenvolvimento, mas exige cuidados quando o aplicativo começa a lidar com informações reais.

Entre os principais riscos estão:

• Falta de compreensão do código: o responsável pode não entender completamente o funcionamento da aplicação que está publicando.
• Permissões incorretas: usuários podem acessar informações que deveriam permanecer privadas.
• Exposição de credenciais: chaves de API e senhas podem acabar incluídas em arquivos acessíveis pelo navegador.
• Dependência excessiva da IA: correções automáticas podem resolver um problema e introduzir outro.
• Ausência de testes: funcionalidades são publicadas sem verificar situações inesperadas.
• Falta de manutenção: o aplicativo é lançado e posteriormente abandonado.

O problema não está em utilizar inteligência artificial para programar. O problema está em acreditar que a IA pode substituir todas as responsabilidades envolvidas na criação de um software profissional.

O principal problema: confundir um aplicativo funcional com um aplicativo seguro

Um aplicativo funcional é aquele que executa as tarefas esperadas. Um aplicativo seguro é aquele que também protege seus usuários, seus dados e suas operações contra acessos indevidos e outras ameaças.

Essas duas características não são equivalentes.

Uma tela de login pode funcionar corretamente, permitindo que cada usuário entre com seu e-mail e senha. Entretanto, isso não significa que o banco de dados esteja preparado para impedir que um usuário consulte informações de outra conta.

Veja um exemplo simples:

Imagine um sistema de gestão financeira desenvolvido para pequenas empresas. Cada cliente possui seus próprios lançamentos, despesas e faturamento.

Se o sistema verifica apenas se o usuário está autenticado, mas não verifica se ele realmente tem autorização para consultar determinada informação, uma pessoa pode conseguir visualizar os dados financeiros de outra empresa.

Esse tipo de problema é conhecido como falha de controle de acesso.

O controle de acesso quebrado aparece como o principal risco na edição 2025 do OWASP Top 10, uma referência internacional sobre segurança de aplicações web.

Confira a publicação oficial: OWASP Top 10 2025.

Como uma configuração incorreta do banco de dados pode expor informações privadas?

Uma configuração incorreta do banco de dados pode permitir que pessoas não autorizadas consultem, alterem ou excluam informações que deveriam estar protegidas.

Esse problema merece atenção especial em aplicativos desenvolvidos com plataformas que utilizam serviços como Supabase.

O Supabase oferece recursos importantes para autenticação e controle de acesso, mas essas ferramentas precisam ser configuradas corretamente.

Um dos mecanismos mais importantes é o Row Level Security (RLS), ou segurança em nível de linha.

Esse recurso permite definir quais registros cada usuário pode consultar ou modificar. Por exemplo, um cliente pode visualizar somente os próprios pedidos, enquanto um administrador autorizado pode acessar informações de diferentes clientes.

Quando essas regras não são implementadas corretamente, a aplicação pode permitir que usuários visualizem registros de outras pessoas.

Uma situação comum seria um aplicativo de delivery que possui uma tabela com todos os pedidos realizados. Se as permissões estiverem abertas, um cliente poderia consultar pedidos de outros consumidores, incluindo endereços e informações de contato.

Para entender como proteger bancos de dados, consulte a documentação oficial do Supabase sobre Row Level Security.

Quais cuidados tomar antes de publicar um aplicativo criado com IA?

Antes de publicar um aplicativo criado com inteligência artificial, é necessário verificar sua segurança, funcionamento, permissões e comportamento em situações inesperadas.

Uma aplicação não deve ser considerada pronta apenas porque todas as funcionalidades solicitadas foram implementadas.

Algumas verificações importantes incluem:

• Testar o sistema utilizando contas diferentes.
• Verificar se um usuário consegue acessar dados de outra conta.
• Revisar as permissões de leitura, gravação e exclusão do banco de dados.
• Confirmar que informações confidenciais não estão disponíveis no código enviado ao navegador.
• Verificar se senhas, tokens e chaves privadas estão protegidos.
• Testar formulários com informações inválidas e inesperadas.
• Verificar se o aplicativo continua funcionando após falhas de conexão.
• Revisar as configurações de autenticação e recuperação de senha.
• Verificar dependências e bibliotecas utilizadas pelo projeto.
• Confirmar que os backups podem ser recuperados.

Um exemplo prático é tentar acessar uma conta utilizando o identificador de outro usuário. Esse teste pode revelar problemas de autorização que não aparecem durante o uso normal do sistema.

É importante realizar essas verificações em um ambiente controlado, com autorização e utilizando dados de teste. Testes de segurança não devem envolver a tentativa de acessar informações reais de terceiros.

Testes de segurança com IA: como tentar encontrar problemas antes dos usuários

Uma das melhores maneiras de melhorar a segurança de um aplicativo é realizar testes adversariais, tentando identificar situações nas quais o sistema pode apresentar comportamentos inesperados.

Em vez de perguntar apenas à IA se o aplicativo está funcionando, é possível solicitar que ela procure falhas e tente identificar problemas no código e na lógica de funcionamento.

Por exemplo, um desenvolvedor pode solicitar uma análise com perguntas como:

• Um usuário consegue visualizar dados de outro usuário?
• Existe alguma rota que permite acessar informações sem autenticação?
• As permissões do banco de dados estão configuradas corretamente?
• Alguma chave privada está sendo enviada ao navegador?
• Existe alguma funcionalidade que pode ser utilizada sem autorização?
• O sistema permite modificar informações que deveriam ser somente leitura?
• O que acontece quando uma requisição recebe informações inesperadas?

Também é possível utilizar agentes de IA especializados em revisão de código, testes automatizados e análise de segurança.

Esses agentes podem ajudar a identificar falhas, criar testes e até sugerir correções. Em fluxos mais avançados, podem abrir solicitações de alteração de código para revisão da equipe.

Entretanto, existe uma diferença importante entre encontrar problemas e garantir que o sistema esteja seguro.

Uma IA pode deixar passar vulnerabilidades, sugerir correções incompletas ou modificar uma parte do sistema de maneira que afete outra funcionalidade. Por isso, testes automatizados e revisões humanas continuam sendo fundamentais.

Desenvolvimento com IA versus desenvolvimento profissional: quais são as diferenças?

A principal diferença está no processo de desenvolvimento, validação e manutenção, e não simplesmente na ferramenta utilizada para escrever o código.

É perfeitamente possível utilizar inteligência artificial em um projeto profissional. O que diferencia uma aplicação bem desenvolvida é a existência de planejamento, testes, revisão técnica e acompanhamento após a publicação.

Aspecto	Desenvolvimento sem processo de revisão	Desenvolvimento profissional com IA
Criação do código	IA gera código e publica rapidamente.	IA auxilia na criação com revisão técnica.
Segurança	Confiança nas configurações padrão.	Permissões e vulnerabilidades são verificadas.
Testes	Testes básicos ou inexistentes.	Testes funcionais, automatizados e de segurança.
Banco de dados	Configuração baseada apenas no funcionamento.	Regras de acesso e proteção de dados revisadas.
Publicação	Aplicativo disponibilizado assim que funciona.	Publicação após validação e preparação operacional.
Manutenção	Aplicativo pode ser abandonado após o lançamento.	Monitoramento, correções e atualizações contínuas.

Isso não significa que todo aplicativo desenvolvido por IA seja inseguro ou que todo projeto tradicional esteja protegido.

Um software profissional também pode apresentar vulnerabilidades. A diferença está na existência de processos para reduzir riscos, identificar problemas e corrigir falhas antes que causem prejuízos.

Por que a manutenção de aplicativos é tão importante depois do lançamento?

A manutenção é essencial porque um aplicativo continua exposto a riscos, mudanças e problemas mesmo depois de ser publicado.

Esse é um dos pontos que muitos empreendedores acabam ignorando quando utilizam ferramentas de desenvolvimento por IA.

O software não termina no momento em que é publicado. Ele precisa continuar funcionando, recebendo atualizações e sendo acompanhado.

Depois do lançamento, podem surgir situações como:

• Novas vulnerabilidades em bibliotecas utilizadas pelo sistema.
• Alterações em APIs de terceiros.
• Problemas causados por atualizações do servidor.
• Falhas que aparecem somente quando muitos usuários acessam simultaneamente.
• Erros em pagamentos, notificações ou integrações.
• Novas tentativas de invasão ou exploração de vulnerabilidades.
• Problemas relacionados ao crescimento do volume de dados.

Imagine um aplicativo de vendas que funciona perfeitamente durante os primeiros dias. Depois de uma atualização, o sistema começa a duplicar pedidos ou apresentar problemas no processamento dos pagamentos.

Sem monitoramento, o empreendedor pode descobrir o problema somente quando os clientes começarem a reclamar.

Com registros de eventos, alertas e acompanhamento técnico, a equipe pode identificar o problema mais rapidamente e reduzir os impactos.

É por isso que existe uma expressão bastante conhecida no desenvolvimento de software: never ship on a Friday, ou seja, evite publicar mudanças importantes na sexta-feira.

A ideia não é que publicar na sexta-feira seja necessariamente errado. O alerta é sobre lançar alterações sem equipe disponível para acompanhar possíveis problemas, especialmente antes de um período em que ninguém estará trabalhando.

Como monitorar um aplicativo e identificar problemas automaticamente?

O monitoramento permite identificar falhas, acompanhar o funcionamento do aplicativo e agir antes que um problema se transforme em prejuízo para o negócio.

Atualmente, é possível utilizar ferramentas tradicionais e agentes de inteligência artificial para automatizar parte desse trabalho.

Um sistema de monitoramento pode acompanhar:

• Erros de execução e falhas inesperadas.
• Disponibilidade do servidor.
• Tempo de resposta das páginas e APIs.
• Falhas em integrações externas.
• Problemas em processos de pagamento.
• Comportamentos anormais em determinadas funcionalidades.

Um agente de IA pode ser configurado para analisar registros de erros, executar testes automatizados e identificar funcionalidades que deixaram de funcionar após uma atualização.

Em um cenário mais avançado, esse agente pode criar uma solicitação de alteração de código com uma possível correção para que um desenvolvedor revise e aprove.

Essa automação é útil, mas precisa ser implementada com responsabilidade. Alterações automáticas diretamente no ambiente de produção, sem testes e aprovação, podem causar problemas ainda maiores.

O ideal é que correções sejam testadas em um ambiente separado antes de serem disponibilizadas aos usuários.

Quando vale a pena utilizar ferramentas de IA para desenvolver aplicativos?

Ferramentas de IA são excelentes para acelerar o desenvolvimento, validar ideias e construir aplicações com menor custo inicial, desde que sejam utilizadas de acordo com a complexidade e os riscos do projeto.

Elas podem ser especialmente úteis para:

• Criar protótipos para validar ideias de negócio.
• Desenvolver páginas e interfaces iniciais.
• Automatizar tarefas internas simples.
• Criar ferramentas de uso pessoal ou interno.
• Testar funcionalidades antes de investir em uma versão completa.
• Auxiliar programadores na criação e revisão de código.

Por outro lado, aplicações que trabalham com dados financeiros, informações médicas, documentos pessoais, pagamentos ou operações empresariais importantes exigem atenção muito maior.

Nesses casos, é recomendável contar com profissionais que compreendam arquitetura de software, segurança, banco de dados e infraestrutura.

O objetivo não precisa ser abandonar a IA, mas utilizar seus recursos com o conhecimento técnico necessário para garantir que a aplicação seja confiável.

Aplicativos profissionais precisam de segurança, planejamento e acompanhamento

O episódio envolvendo milhares de projetos Lovable demonstra que a facilidade de desenvolver software não elimina os riscos relacionados à segurança e à manutenção.

A inteligência artificial está tornando o desenvolvimento de aplicativos mais acessível, permitindo que empresas e empreendedores transformem ideias em soluções digitais com muito mais rapidez.

Entretanto, um aplicativo profissional precisa ir além de uma interface bonita e funcionalidades que aparentemente funcionam.

É necessário considerar segurança, experiência do usuário, arquitetura, testes, infraestrutura, escalabilidade e manutenção.

Na Dynamica Soft, entendemos que desenvolver um aplicativo é muito mais do que entregar código ou colocar uma ideia no ar. Uma solução digital precisa ser planejada para atender às necessidades reais do negócio, considerando sua evolução e os desafios que podem surgir ao longo do tempo.

A inteligência artificial é uma ferramenta poderosa e pode contribuir muito para o desenvolvimento de sistemas. Mas ela deve fazer parte de um processo profissional, com responsabilidade técnica e acompanhamento adequado.

Se você está pensando em desenvolver um aplicativo para sua empresa, o melhor caminho é começar com um planejamento claro e contar com profissionais que possam transformar sua ideia em uma solução segura, funcional e preparada para crescer.

Precisa desenvolver um aplicativo profissional ou um sistema sob medida para sua empresa? Conheça os serviços da Dynamica Soft e entre em contato para conversar sobre seu projeto.

Fonte principal: Crissy Field – Lovable: Many Apps Built on the Platform Expose Sensitive Data.

Referências complementares:

• OWASP Top 10 2025
• Supabase – Row Level Security
• Google Search Central – Conteúdo útil e confiável