O que é vibe coding: quando funciona e quando vira problema

O que é vibe coding, de onde veio o termo, quando funciona bem (protótipos) e quando vira problema em produção, com checklist para lançar.

Vibe coding é criar software descrevendo o que você quer para uma IA, em linguagem natural, e aceitando o código que ela gera sem ler nem entender cada linha. Você testa o resultado na tela, cola os erros de volta na conversa e vai ajustando "no feeling". O termo foi cunhado por Andrej Karpathy em fevereiro de 2025 e virou o nome popular de ferramentas como Lovable, Bolt.new, v0, Replit Agent e do uso mais solto de Cursor e similares.

Funciona muito bem para protótipos, testes de ideia, ferramentas internas e projetos descartáveis. Vira problema quando o protótipo vai para produção sem revisão: dados expostos, chaves vazadas, custos fora de controle e um código que ninguém consegue manter.

De onde veio o termo

Em 2 de fevereiro de 2025, Andrej Karpathy (um dos fundadores da OpenAI e ex-diretor de IA da Tesla) publicou no X uma descrição de um "novo tipo de programação" que ele chamou de vibe coding: você "se entrega às vibes" e esquece que o código existe. Ele descreveu o processo de falar com a IA, aceitar todas as mudanças sem ler as diferenças e, quando aparece um erro, colar a mensagem de volta e ver se resolve.

Um detalhe que muita gente esquece: no mesmo texto, ele disse que isso não era tão ruim para projetos descartáveis de fim de semana. Ou seja, o próprio criador do termo estava falando de brincadeira séria, não de sistema de banco.

O termo pegou tão rápido que o dicionário Collins escolheu "vibe coding" como palavra do ano de 2025. Hoje ele é usado de forma mais ampla, para quase qualquer desenvolvimento guiado por conversa com IA.

Vibe coding x programar com IA

Vale separar duas coisas que muita gente mistura:

Os dois usam as mesmas ferramentas. A diferença está em quem assume a responsabilidade pelo código.

Quando vibe coding funciona muito bem

• Validar uma ideia: você monta em dias algo clicável para mostrar a clientes, sócios ou investidores.
• Protótipos de interface: testar fluxo, layout e textos antes de investir em desenvolvimento.
• Ferramentas internas simples: um painel que lê uma planilha, um formulário para a equipe, sem dados sensíveis.
• Landing pages: com cuidado de SEO, o resultado muitas vezes já basta. Veja o que é uma landing page.
• Aprender: ver como a IA resolve algo e depois estudar o porquê é um bom atalho para quem está aprendendo a programar, desde que você realmente vá estudar o porquê.
• Projetos pessoais e de fim de semana: exatamente o caso de uso original.

Quando vira problema

O ponto de virada é quando o projeto passa a receber usuários reais, dados pessoais ou dinheiro. A partir daí, aparecem os problemas que a tela não mostra:

Segurança invisível

Muitos apps gerados por IA usam o Supabase como backend, e quem protege os dados são as regras de acesso (RLS). Regra faltando ou permissiva demais significa que qualquer pessoa com o DevTools lê a tabela inteira. Em 2025, uma análise de apps publicados com Lovable encontrou vários com tabelas expostas (o caso virou o CVE-2025-48757). Explicamos em Supabase RLS explicado.

Chaves no lugar errado

Pedir "conecta com a OpenAI" e a IA colocar a chave direto no código do navegador. Funciona, e qualquer um pode copiar e gastar na sua conta.

Regras só na tela

O botão de admin escondido, o cupom validado só no formulário. Tudo isso pode ser contornado por quem envia a requisição direto para o servidor.

Custos

Créditos da ferramenta consumidos em ciclos de "conserta isso, quebrou aquilo", APIs sem limite de uso, consultas ineficientes que só aparecem com volume.

Manutenção

Depois de muitas iterações, o código vira uma colcha de retalhos: componentes enormes, lógica duplicada, nenhum teste. A própria IA começa a se perder. É o sinal de que mais prompts vão custar mais do que parar e organizar.

O quadro completo está em problemas de sites e apps feitos com IA.

Atenção: "funciona" e "está pronto" são coisas diferentes. Um app pode funcionar perfeitamente para você e, ao mesmo tempo, deixar os dados de todos os usuários abertos.

Sinais de que o seu projeto passou do ponto

Nem sempre é óbvio quando o "protótipo" virou "produto". Fique atento se:

• Pessoas que você não conhece estão se cadastrando.
• O app guarda dados pessoais, documentos ou informações de saúde.
• Existe cobrança, assinatura ou integração com meio de pagamento.
• Um cliente ou investidor perguntou sobre segurança ou LGPD.
• Cada nova correção pedida à IA quebra outra coisa.
• A fatura da ferramenta, do banco ou da API de IA subiu sem você entender por quê.

Se marcou dois ou mais, é hora de parar de pedir funcionalidades novas e fazer uma rodada de revisão. Comparamos os caminhos possíveis (continuar na ferramenta, contratar, híbrido) em Lovable, Bolt, v0 ou contratar um desenvolvedor.

Como usar vibe coding do jeito certo

Algumas práticas que reduzem muito a dor lá na frente:

1. Desde o primeiro dia, código no GitHub da empresa e contas (banco, domínio, hospedagem) no nome da empresa. Se Git é novidade, comece pelo tutorial de Git para iniciantes.
2. Peça para a IA explicar o que fez, principalmente em autenticação, banco e pagamentos. Se a explicação não fizer sentido, pare.
3. Peça mudanças pequenas. "Refaz o app inteiro" gera bugs novos em lugares que já funcionavam.
4. Use dados de teste, nunca dados reais de clientes, enquanto estiver prototipando.
5. Configure limites de gasto em todos os serviços pagos antes de divulgar.
6. Marque o momento da revisão: "antes de colocar o primeiro cliente real, alguém técnico revisa". Defina isso cedo.

Checklist para levar a produção

Se o seu projeto foi feito no Lovable, veja também os erros comuns ao publicar um app no Lovable e o checklist de segurança para apps do Lovable.

E a carreira de desenvolvedor, como fica?

Vibe coding não acabou com a programação; mudou onde está o valor. Gerar código ficou barato. Entender, revisar, proteger e manter código continua caro e escasso. Para quem está entrando na área, isso é uma boa notícia: saber o que é front-end, back-end, banco de dados e segurança é exatamente o que separa quem usa a IA bem de quem só aceita o que ela sugere.

Seu protótipo virou produto?

Se você construiu algo com Lovable, Bolt, v0, Replit ou Cursor e agora precisa colocar no ar com segurança, a Mobgeek faz o resgate de projetos feitos com IA: auditoria de segurança, correções, deploy, custos e SEO. A auditoria começa em R$ 1.990. Se fizer sentido, descreva o projeto no orçamento.