Você cuida da segurança na era da IA?

Você cuida da segurança na era da IA?

Este é mais um texto para compartilhar algumas visões e aprendizados com quem também está criando coisas com IA, sistemas, sites, aplicativos ou automações.

Tenho estudado e trabalhado com IA já há um bom tempo. Nesse caminho, desenvolvi bastante coisa, desde projetos do portfólio da GrupoMidiaSystems até soluções específicas para problemas reais de empresas, processos internos, dashboards, automações e aplicativos.

E uma coisa vem ficando cada vez mais clara para mim: criar ficou muito mais fácil.

Mas publicar algo com segurança continua sendo outra história.

Hoje, com ferramentas como Lovable, Supabase e diversos modelos de IA, uma ideia pode virar um sistema em poucos dias. Às vezes em poucas horas. Isso é incrível, claro. Eu mesmo uso muito essas ferramentas e acho que elas abriram uma porta gigantesca para quem quer criar.

Mas existe um perigo aí.

Muita gente está confundindo "funcionou" com "está pronto".

E pior: está confundindo "ficou bonito" com "está seguro".

O sistema funciona. Mas ele está seguro?

Um sistema pode ter uma interface linda, login funcionando, banco de dados salvando informações, botão gerando relatório, integração com IA respondendo, painel administrativo aparecendo certinho…

E mesmo assim estar cheio de buracos.

Pode ter tabela do Supabase exposta. Pode ter RLS mal configurado. Pode permitir que um usuário veja dados de outro usuário. Pode ter chave de API vazando no frontend. Pode ter webhook de pagamento sem validação. Pode ter função aberta que qualquer pessoa consegue chamar e gerar custo. Pode ter área administrativa protegida só visualmente, mas não de verdade no servidor.

Para o usuário comum, tudo parece normal.

Para quem sabe onde olhar, pode ser uma porta aberta.

E é aqui que entra aquele ponto que eu já venho falando em outros textos: IA sem IH — inteligência humana — acaba sendo um martelo sem prego.

A IA ajuda muito. Mas ela ainda precisa de direção, lógica, revisão e responsabilidade.

Criar com IA não elimina o conhecimento

Acho que um dos maiores erros hoje é pensar assim:

"Vou pedir para a IA criar meu sistema e está resolvido."

Não é bem assim.

Você pode pedir para a IA criar um sistema. Ela vai criar. Vai montar telas, banco, botões, fluxos, autenticação, integrações e tudo mais.

Só que, se você não souber o mínimo do que precisa ser verificado, talvez nem perceba que o sistema nasceu com problemas graves.

É parecido com pedir para a IA construir uma casa.

Ela pode criar uma casa visualmente incrível. Você olha e pensa: "Nossa, ficou sensacional".

Mas depois descobre que não tem tomada onde precisa, o encanamento não chega em um cômodo, a porta abre para o lado errado, e a fundação talvez não aguente o peso.

A casa estava bonita.

Mas não estava bem pensada.

Com sistemas é a mesma coisa.

O layout pode estar bonito. O fluxo pode parecer pronto. Mas por trás existe banco de dados, permissão, autenticação, regra de acesso, validação de input, logs, APIs, webhooks, custos de IA, uploads, segurança de storage e várias outras coisas que não aparecem na tela.

E, muitas vezes, é justamente onde não aparece que mora o problema.

Segurança também é parte do produto

Quando falamos em experiência do usuário, muita gente pensa em layout, cor, botão, menu, animação e facilidade de uso.

Tudo isso importa.

Mas segurança também é experiência.

Um usuário confia mais em um sistema quando sabe que seus dados estão protegidos. Uma empresa confia mais em uma solução quando sabe que permissões e acessos foram pensados com cuidado. Um produto digital tem muito mais valor quando não depende só de uma interface bonita, mas de uma base bem estruturada.

Na era da IA, criar ficou mais fácil.

Mas publicar com responsabilidade ficou ainda mais importante.

Por que organizei um checklist público

Depois de trabalhar em diferentes projetos usando Lovable, Supabase, IA, autenticação, dashboards, sistemas internos, aplicativos e automações, comecei a perceber que muitos erros se repetem.

Principalmente em projetos criados rápido demais.

Então organizei um checklist público de auditoria de segurança para projetos Lovable + Supabase.

A ideia não é dizer que isso substitui uma auditoria profissional, um pentest ou uma revisão jurídica/LGPD. Não substitui.

Mas é uma camada prática para ajudar quem está criando a parar e revisar pontos importantes antes de publicar.

O checklist cobre coisas como: RLS no Supabase; secrets e chaves de API; autenticação; IDOR, que é quando um usuário consegue acessar dados de outro; Edge Functions; Storage e uploads; validação de inputs; SSRF; rate limiting; webhooks; Stripe; logs e dados sensíveis; dependências; IA e prompt injection; mobile e Capacitor; plano de incidente; testes reais com usuário anônimo, usuário A e usuário B.

E uma das partes que considero mais importantes: ele tenta fazer o Lovable olhar para o projeto com mais contexto, sem sair criando autenticação, pagamento ou complexidade onde não precisa.

Porque segurança também precisa ter lógica.

Um app pessoal sem login não precisa virar um SaaS completo. Mas também não deveria deixar uma tabela aberta para qualquer pessoa editar. Um app com IA não precisa ser travado ao extremo. Mas precisa ter limite de uso para não gerar custo infinito. Um sistema com usuários diferentes não pode confiar só no botão escondido na tela. Precisa validar permissão de verdade.

O ponto principal

A IA é uma ferramenta espetacular.

Ela acelera, ajuda, organiza, sugere, cria, questiona e permite que muita gente coloque ideias no mundo de uma forma que antes seria muito mais difícil.

Mas ela não elimina a necessidade de pensar.

Não elimina lógica. Não elimina segurança. Não elimina responsabilidade. Não elimina a inteligência humana.

Então, antes de publicar um sistema criado com IA, vale parar e perguntar:

"Isso só está funcionando ou está realmente pronto para ir ao ar?"

Foi pensando nisso que publiquei esse checklist

Está disponível gratuitamente no GitHub, sob licença CC BY 4.0:

github.com/grupomidiasystems/auditoria-seguranca-lovable-supabase

Pode usar, adaptar, melhorar e compartilhar.

Porque criar rápido é ótimo.

Mas criar rápido com segurança é o que transforma uma ideia em um produto confiável.

Até a próxima!