Auditoria de segurança para apps criados com IA no Alto Tietê.
O app funciona, mas ninguém verificou o que está exposto. Revisamos SaaS, sistemas internos, Kanbans, sites e landing pages gerados com Lovable, Bolt, Replit, Cursor, Base44 e ferramentas similares.
Código gerado por IA nem sempre é seguro por padrão.
Três referências públicas ajudam a dimensionar o risco. Os números são dos autores de cada estudo.
Cerca de 56% de aprovação
No GenAI Code Security Report 2026, a taxa média de aprovação em testes de segurança ficou em torno de 56% em mais de 100 modelos, praticamente igual à de 2025. O estudo avaliou modelos, não aplicações em produção.
Apps públicos sem proteção
De cerca de 380 mil apps públicos feitos com ferramentas de vibe coding, a RedAccess identificou cerca de 5 mil acessíveis sem proteção ou com proteção mínima. Segundo a empresa, 40% desses expunham dados sensíveis.
Regras de acesso ao banco
O registro descreve política insuficiente de Row-Level Security em sites gerados pela Lovable, que permitiria leitura e escrita em tabelas. O fornecedor contesta o registro e afirma que cada cliente responde pela proteção dos dados do seu app.
As plataformas atribuem a responsabilidade pela segurança a quem cria o app. Quem publicou é quem responde pelo que está exposto.
Do site institucional ao sistema com login.
SaaS
Produtos com cadastro de clientes, planos e painel, geralmente com banco de dados em serviço gerenciado.
Sistemas internos
Painéis, cadastros e rotinas usados pela equipe, muitas vezes com dados de clientes e financeiros.
Kanban e listas de tarefas
Ferramentas de gestão feitas sob medida, em que cada usuário deveria ver apenas o que é seu.
Sites e landing pages com formulário
Páginas que coletam nome, telefone e e-mail e precisam tratar esses dados conforme a LGPD.
O que costuma ficar para trás.
- Chaves de API expostas no frontend
- Regras de acesso ao banco desativadas (por exemplo, RLS do Supabase)
- Autorização feita apenas no navegador
- Acesso a dados de outro usuário trocando o ID na URL
- Ausência de limite de tentativas
- CORS aberto
- Endpoints de debug ativos
- Dependências vulneráveis ou inexistentes
- Formulários que coletam dados pessoais sem base legal (LGPD)
Quatro etapas, do escopo à revalidação.
Triagem e escopo
Entendemos o app, a ferramenta usada, os dados tratados e definimos o que será revisado.
Análise
Revisão de código, de configuração e testes em ambiente de homologação.
Relatório e correções
Entrega do relatório e orientação para corrigir cada achado.
Revalidação
Reteste após as correções, para confirmar o que foi resolvido.
Escolha conforme o tipo de app.
Valor definido após triagem de escopo.
Raio-X
Para sites e landing pages: exposição de chaves, cabeçalhos, formulários e tratamento de dados pessoais.
Valor definido após triagem de escopo.
Auditoria de Aplicação
Para sistemas com login e banco de dados: autorização, regras de acesso, API, dependências e configuração.
Valor definido após triagem de escopo.
Revalidação
Reteste dos achados depois das correções, com atualização do relatório.
Valor definido após triagem de escopo.
O que você recebe.
Resumo executivo
Uma página, em linguagem de gestão, com o panorama e as prioridades.
Relatório técnico
Cada achado com severidade e referência ao OWASP Top 10 e ao OWASP ASVS nível 1.
Correções como prompt
A correção de cada achado escrita como prompt pronto para a ferramenta de IA que você já usa.
Não é pentest.
Exploração aprofundada, quando necessária, é realizada com parceiro especializado. Toda auditoria exige autorização por escrito, escopo definido e contrato com cláusulas de confidencialidade e de tratamento de dados, conforme a LGPD.
Dúvidas comuns.
Preciso entregar o código-fonte?
Depende do pacote. No Raio-X, a análise parte do que está publicado (site, formulários, cabeçalhos, exposição de chaves). Na Auditoria de Aplicação, a revisão de código e de configuração exige acesso ao repositório ou a uma exportação do projeto, definido no escopo e coberto por cláusulas de confidencialidade.
Vocês testam em produção?
Não por padrão. Os testes são feitos em ambiente de homologação. Qualquer verificação em produção só ocorre com autorização por escrito e escopo definido.
Quanto tempo leva?
O prazo depende do tamanho do app e do pacote contratado. Ele é informado na triagem de escopo, antes da contratação.
A minha ferramenta (Lovable, Bolt, Replit etc.) já não verifica a segurança?
Algumas plataformas oferecem verificações automáticas, mas elas não substituem a revisão do seu caso específico. No registro da CVE-2025-48757, a Lovable contesta o enquadramento e afirma que cada cliente é responsável por proteger os dados do seu aplicativo. Por isso a revisão independente faz sentido.
Vocês atendem fora do Alto Tietê?
Sim. A auditoria é feita remotamente, para empresas de qualquer região.
Isso é um pentest?
Não. A auditoria revisa código, configuração e exposição do app. Quando a exploração aprofundada é necessária, ela é realizada com parceiro especializado, sob autorização por escrito.
Conte sobre o seu app.
Responda o formulário e continuamos a conversa pelo WhatsApp, para definir o escopo.
Os dados são enviados por WhatsApp e usados apenas para o contato comercial. Política de privacidade.