Código gerado por IA: o que os números de falha mostram?

Quase metade do código gerado por assistentes de inteligência artificial falha em testes básicos de segurança, segundo o relatório GenAI Code Security 2025, da Veracode, que avaliou mais de cem modelos em oitenta tarefas de programação. Em linguagens usadas em ambientes corporativos, como Java, a taxa de falha ultrapassou 70%. O dado expõe uma tensão que já chega às equipes de desenvolvimento: a IA acelera a escrita de código, mas nem sempre entrega o que promete.

Jean Pierre Lessa e Santos Ferreira, especialista em tecnologia, software e inteligência artificial, avalia que esse resultado não deveria surpreender quem acompanha times de engenharia de perto. A ferramenta mudou a velocidade de produção, mas não substituiu a necessidade de revisão crítica sobre o que é gerado.

Código escrito por IA já é mais confiável que o de um desenvolvedor humano?

Não, pelo menos não da forma como a tecnologia é usada hoje. Pesquisa da Universidade de Stanford, publicada nos anais da ACM CCS, mostrou que desenvolvedores que usam assistentes de IA produzem código com mais vulnerabilidades e, ainda assim, relatam mais confiança na segurança do que escreveram. A velocidade cria uma sensação de domínio que nem sempre corresponde à qualidade real do resultado.

O problema não está em usar a ferramenta, mas em tratar o resultado como produto final. Modelos generativos reproduzem padrões vistos em milhões de repositórios, incluindo falhas recorrentes de segurança. Sem revisão humana treinada para reconhecê-las, o código roda, passa nos testes funcionais e ainda carrega brechas que só aparecem em produção.

Por que um código que funciona pode estar cheio de falhas?

Testes funcionais verificam se a funcionalidade faz o que deveria, não se ela resiste a um ataque. Um sistema pode calcular corretamente, exibir a tela certa e responder no tempo esperado, enquanto ainda tem uma falha de injeção de dados ou de tratamento inseguro de entradas, categorias clássicas do OWASP Top 10.

Jean Pierre Lessa e Santos Ferreira frisa que é por isso que o Gartner projeta, em seu relatório Predicts 2026, um salto expressivo de defeitos em código gerado por IA até 2028, caso os processos de revisão não sejam redesenhados. O risco não está na tecnologia isolada, mas na distância entre a velocidade de geração e a capacidade da equipe de examinar o que foi produzido.

Jean Pierre Lessa e Santos Ferreira

Quais tarefas a inteligência artificial já resolve bem hoje?

Documentação, geração de testes e triagem inicial de erros estão entre as tarefas em que a inteligência artificial já mostra ganho real, sem abrir espaço para risco alto. Jean Pierre Lessa e Santos Ferreira destaca que começar por essas áreas de baixo risco permite à equipe aprender os limites da ferramenta antes de confiar nela em decisões mais sensíveis, como arquitetura ou lógica de negócio.

O padrão que se firma é de colaboração, não de substituição. Times humanos assumem funções de arquitetura, estratégia e validação, enquanto agentes de IA executam tarefas repetitivas, desde que fique claro o que cabe a cada lado garantir.

Como reduzir o risco sem abrir mão do ganho de velocidade?

Auditoria contínua do código gerado, políticas de zero trust e aprovação humana antes da produção formam a base do que especialistas chamam de supervisão de IA. Menos da metade das empresas que adotam IA no desenvolvimento possui hoje uma estrutura formal de gestão de risco, o que deixa boa parte da adoção sem rede de proteção equivalente à velocidade do avanço.

Para Jean Pierre Lessa e Santos Ferreira, o ponto de partida é tratar a adoção como decisão estratégica, não apenas como ganho de produtividade. Isso significa envolver segurança da informação e governança de tecnologia desde o piloto, não depois que o problema aparece.

O que muda na rotina de quem programa daqui para frente?

O papel de quem escreve código se desloca de produzir cada linha para validar o que uma máquina produziu primeiro. Isso exige uma leitura crítica que a formação tradicional de desenvolvedores nem sempre ensina: entender por que um trecho funciona é diferente de saber por que ele é seguro.

Em síntese, Jean Pierre Lessa e Santos Ferreira salienta que empresas que tratam essa mudança como treinamento contínuo, não como ajuste pontual, tendem a captar o ganho de produtividade sem herdar o volume de falhas que os números atuais mostram. A pergunta deixou de ser se a inteligência artificial vai escrever código. A pergunta é quem vai continuar checando cada linha.