Seu copilot acabou de commitar uma vulnerabilidade — e ninguém revisou

Semana passada encontrei uma vulnerabilidade num módulo que já tinha passado por code review. Sem um flag, sem um alerta. O código era limpo, bem estruturado, seguia os padrões da casa — você olhava e parecia certo. Só que não foi escrito por uma pessoa. Foi gerado por IA. E o sênior que aprovou não foi descuidado: estava afogado num volume de pull requests três vezes acima do normal. Quando o volume sobe assim, a revisão deixa de ser revisão. Vira carimbo. Esta é a Bancada #009 — agora em áudio. Quinze minutos sobre por que quase metade dos desenvolvedores commita código que eles mesmos dizem não confiar, e por que nem a Anthropic, dona do agente de código mais bem-sucedido do mercado, escapou disso. Não é um episódio sobre desacelerar a IA. É sobre o que ninguém combinou quando ela chegou: gerar código ficou barato, verificar continuou caro, e a distância entre esses dois custos virou o maior risco silencioso da engenharia em 2026. Aperte o play. Ou leia a versão escrita, com todas as fontes linkadas, no arquivo da Sala. Neste episódio Começo na cicatriz — o módulo que passou na revisão sem um flag — e sigo direto para os números do State of Code 2026: 96% dos desenvolvedores não confiam plenamente no código que a IA gera, mas só 48% sempre verificam antes de commitar. Dali, o caso que derruba o argumento de que isso é problema de time imaturo: os dois vazamentos da Anthropic em cinco dias, 512 mil linhas do Claude Code expostas por um “plain developer error” — o mesmo bug que já tinha vazado treze meses antes. Depois, o que o vazamento revelou sobre arquitetura (construir um agente confiável é 80% infraestrutura e 20% IA), os dados de segurança da Veracode, o prazo do AI Act europeu, e os três movimentos que considero urgentes para quem constrói software financeiro. Capítulos (timestamps aproximados — ajuste ao corte final) * 00:00 — A cicatriz: uma vulnerabilidade que passou no code review * 02:30 — 96% não confiam, 48% verificam: o gargalo que ninguém combinou * 04:30 — O paradoxo da Anthropic: 512 mil linhas, duas vezes * 06:00 — Quem fala aqui — e o que é a Sala das Máquinas * 07:00 — O nome do problema: gargalo de verificação, ou a industrialização do descuido * 08:30 — O segredo de um produto de US$ 2,5 bilhões é o encanamento, não o modelo * 10:30 — Código plausível não é código seguro * 12:30 — A regulação chegou: o AI Act exige evidência, não promessa * 14:00 — Três movimentos para sair da zona de risco * 16:00 — Da Sala Os números que ancoram o episódio 96% dos desenvolvedores não confiam plenamente na correção do código gerado por IA; só 48% sempre verificam antes do commit (State of Code 2026, Sonar). Pull requests com co-autoria de IA têm 1,7× mais defeitos de lógica, correção e segurança (CodeRabbit). 45% do código gerado por IA falha em verificação de segurança — XSS com 86% de falha; Java, mais de 70% (Veracode, 2025). 2.130 vulnerabilidades relacionadas a IA divulgadas em 2025 — 34,6% a mais que no ano anterior, quase metade classificada como alta ou crítica. 512 mil linhas do Claude Code vazadas; produto com receita anualizada estimada em US$ 2,5 bilhões. AI Act da União Europeia em vigor completo a partir de agosto de 2026. Fontes As referências citadas no episódio — o State of Code 2026 (Sonar), o relatório da CodeRabbit, o estudo da Veracode, a cobertura dos dois vazamentos da Anthropic, o EchoLeak (CVE-2025-32711) e a análise de Nate B. Jones — estão linkadas na versão escrita desta Bancada. Da Sala. A IA não reduz o custo de estar errado. Ela só multiplica a velocidade com que você chega lá. Sala das Máquinas é uma publicação mantida pelos leitores. Para receber novas postagens e apoiar meu trabalho, considere se tornar um assinante gratuito ou pago. Get full access to Sala das Máquinas at saladasmaquinas.substack.com/subscribe