Vibe Coding em 2026: O Que os Dados Mostram Após 16 Meses

Resumo Rápido

• Andrej Karpathy cunhou o termo "vibe coding" em 2 de fevereiro de 2025. Em meados de 2026, ele considera o termo ultrapassado e já adotou um novo framework.
• Um estudo da METR de julho de 2025 constatou que desenvolvedores experientes ficam 19% mais lentos com ferramentas de IA, apesar de preverem ganhos de 24%.
• 91,5% dos apps criados com vibe coding apresentam ao menos uma vulnerabilidade de segurança, segundo pesquisa do primeiro trimestre de 2026 com cinco estudos independentes.
• O vibe coding funciona bem para: MVPs, ferramentas internas e não-desenvolvedores que querem validar ideias rapidamente.
• Ele falha de forma recorrente em: qualquer coisa que envolva autenticação, pagamentos ou dados de usuários sem revisão especializada.
• A evolução profissional é o "agentic engineering" — as mesmas ferramentas, mas com o engenheiro lendo cada diff e mantendo a responsabilidade.

Em 2 de fevereiro de 2025, Andrej Karpathy publicou o que ele mesmo chamou de um "tweet descartável, um fluxo de pensamentos": "Existe um novo tipo de programação que eu chamo de 'vibe coding', onde você se entrega completamente às vibrações, abraça os exponenciais e esquece que o código sequer existe."

Esse tweet virou a Palavra do Ano de 2025 do Collins Dictionary. O mercado que se formou em torno dele já vale US 4,7 bilhões. A Lovable, uma das ferramentas líderes, chegou a US 200 milhões de ARR e uma avaliação de US$ 6,6 bilhões em meados de 2026. A turma de inverno de 2025 do Y Combinator tinha 25% das startups rodando em bases de código com 95% gerado por IA.

Dezesseis meses são suficientes para parar de perguntar "isso vai funcionar?" e começar a perguntar "o que os dados dizem?". A resposta é mais complexa do que o hype, mais útil do que a rejeição, e genuinamente diferente dependendo de quem você é.

Os Números de Produtividade Não Contam Toda a História

As estatísticas mais divulgadas são fáceis de encontrar: conclusão de projetos 55% mais rápida, desenvolvimento de aplicativos 5,8 vezes mais ágil, 74% dos desenvolvedores relatando ganhos de produtividade. O que esses resumos omitem consistentemente é o estudo da METR de julho de 2025.

Ele testou engenheiros de software experientes em tarefas reais com e sem ferramentas de IA. O resultado: eles ficaram 19% mais lentos com assistência de IA, apesar de preverem com confiança que seriam 24% mais rápidos. A diferença entre expectativa e realidade foi de 43 pontos percentuais na direção errada.

Isso não é um argumento contra as ferramentas de IA. É um sinal sobre quem realmente se beneficia. Os ganhos de produtividade são reais, mas muito desiguais:

• Desenvolvedores sênior com mais de 3 anos de experiência relatam ganhos de 40% a 81% em tarefas medidas por terceiros
• Desenvolvedores júnior não apresentam melhoria estatisticamente significativa no resultado
• Não-desenvolvedores, que representam 63% dos usuários ativos de vibe coding (gerentes de produto, fundadores, designers), ganham algo completamente diferente: acesso que antes não tinham

O resultado da METR faz sentido quando você pensa no que as ferramentas de IA realmente fazem. Elas reduzem o atrito em tarefas bem definidas e modulares. Engenheiros experientes passam a maior parte do tempo em arquitetura, depuração e decisões de julgamento — não digitando código. Digitar código mais rápido não ajuda quando o gargalo é o raciocínio. Enquanto isso, um fundador que antes não conseguia criar um protótipo agora consegue construir um em um fim de semana.

A ferramenta é genuinamente útil. Ela simplesmente não é universalmente útil da mesma forma para as mesmas pessoas.

O Problema de Segurança É Estrutural, Não Acidental

As estatísticas de vulnerabilidade vêm de múltiplas fontes independentes e convergem para a mesma conclusão. A OX Security reporta que 62% do código gerado por IA é lançado com falhas de segurança. Uma análise do primeiro trimestre de 2026 publicada pela SoftwareSeni revelou que 91,5% dos aplicativos criados com vibe coding apresentam ao menos uma vulnerabilidade em cinco estudos independentes. A Escape.tech escaneou 5.600 aplicativos de vibe coding disponíveis publicamente e documentou mais de 2.000 vulnerabilidades de alto impacto, mais de 400 segredos expostos e 175 casos de dados pessoais expostos em sistemas de produção ativos.

O número de 91,5% parece alarmante. E é. Mas entender o porquê é mais útil do que apenas se alarmar.

A IA gera código com base no que você descreve no prompt. Quando você escreve "crie um aplicativo de tarefas com contas de usuário", a IA escreve uma autenticação funcional. Mas ela não vai adicionar proteção contra injeção de SQL, limitação de taxa em tentativas de login ou tokens CSRF a menos que você peça especificamente. Essas camadas de segurança exigem conhecimento do domínio para que você saiba que elas existem.

A Escape.tech nomeou esse padrão diretamente: as falhas de vibe coding tendem a ser estruturais, ou seja, camadas inteiras de segurança que nunca foram implementadas porque a IA nunca foi orientada a implementá-las. Isso é diferente de a IA escrever código com bugs. A IA escreveu exatamente o que foi pedido. As peças que faltam simplesmente nunca foram solicitadas.

Isso é corrigível por pessoas que sabem o que perguntar. Não é corrigível esperando que a IA resolva por conta própria.

A análise da CodeRabbit de dezembro de 2025 constatou que o código cogerado por IA contém aproximadamente 1,7 vez mais problemas "graves" em comparação com código escrito por humanos, incluindo uma taxa 2,74 vezes maior de vulnerabilidades de segurança. Esses dados abrangem todo o código assistido por IA, não apenas apps de vibe coding puro, o que sugere que o problema escala conforme você remove a supervisão humana.

Entendendo o Espectro de Ferramentas

"Vibe coding" se tornou um atalho para qualquer desenvolvimento orientado por prompts, o que gera confusão porque as ferramentas atendem a usuários muito diferentes.

Construtores de IA sem código (Lovable, Bolt.new, Replit Agent) permitem que você descreva o que quer em linguagem natural. A plataforma gera, hospeda e gerencia o código. Você nunca vê os arquivos por baixo. São projetados para não-desenvolvedores e para validação rápida de ideias.

Editores de código com IA (Cursor, Windsurf, Claude Code) exigem conhecimento de programação. Eles geram código dentro do seu ambiente de desenvolvimento, onde você lê e revisa cada mudança antes de confirmar. A IA é um colaborador muito rápido e às vezes não confiável — não um construtor autônomo.

O modo de falha mais comum em equipes: começar com a Lovable, chegar a 80% de um MVP funcional, e depois tentar transformá-lo em um sistema de produção sem entender o que foi construído por baixo. Bases de código geradas sem código frequentemente têm padrões otimizados para o gerador, não para manutenção a longo prazo.

Um framework prático de decisão:

Karpathy Já Seguiu em Frente

A pessoa que cunhou o termo agora diz que ele está ultrapassado.

No Sequoia Ascent 2026, Karpathy apresentou um framework que ele chama de "agentic engineering". Seu argumento: em dezembro de 2025, a confiabilidade dos modelos melhorou o suficiente para que o gargalo real mudasse. A questão não é mais se a IA consegue escrever código. É se os humanos conseguem manter uma supervisão significativa dos sistemas escritos por IA.

A distinção que ele traça:

O vibe coding eleva o piso. Qualquer pessoa pode construir algo funcional. A qualidade do código costuma ser o que Karpathy chama de "inchada, com muito copiar e colar, abstrações desajeitadas que são frágeis". Funciona, e isso tem valor. A baixa responsabilidade é adequada porque os riscos são baixos.

O agentic engineering eleva o teto. Desenvolvedores profissionais orquestram agentes de IA mantendo plena responsabilidade. Eles elaboram especificações antes de criar prompts, revisam diffs antes de fazer merges, escrevem testes, constroem loops de avaliação e gerenciam permissões com cuidado.

A frase mais citada da palestra: "Você pode terceirizar o seu raciocínio, mas não pode terceirizar o seu entendimento."

Na prática, a linha entre as duas abordagens não está na ferramenta que você usa. Está no que você faz depois que a IA gera o código. Um desenvolvedor usando Cursor que aceita todas as sugestões sem lê-las está fazendo vibe coding. Um desenvolvedor que trata cada diff gerado como um PR de um engenheiro júnior, lê linha por linha e se recusa a fazer merge de qualquer coisa que não consiga explicar, está fazendo agentic engineering. A mesma ferramenta. Uma disciplina diferente.

O Que Sempre Escrever ou Revisar Você Mesmo

Com base nos padrões de falha documentados, algumas categorias nunca devem ir para produção sem revisão humana, independentemente da abordagem:

• Lógica de autenticação: Hashing de senhas, gerenciamento de sessões, validação de tokens
• Processamento de pagamentos: Tratamento de webhooks, chaves de idempotência, recuperação de estados de erro
• Consultas de banco de dados com entrada do usuário: Qualquer código que construa queries a partir de dados externos
• Verificações de autorização: Quem pode ler, escrever ou excluir quais registros
• Gerenciamento de segredos: Variáveis de ambiente, rotação de chaves de API, armazenamento de tokens

Todo o resto é candidato razoável para geração assistida por IA com revisão. Essas cinco categorias são onde as falhas estruturais se concentram.

Perguntas Frequentes

Não-desenvolvedores conseguem realmente lançar apps em produção com vibe coding?

Sim, com uma distinção importante sobre o que "produção" significa. Uma ferramenta interna usada por 5 pessoas é diferente de um aplicativo para consumidores que armazena dados de pagamento de 5.000 pessoas. Não-desenvolvedores estão construindo e lançando a primeira categoria com sucesso. Para a segunda, o consenso dos pesquisadores de segurança em 2026 é: valide sua ideia com vibe coding e depois peça a um desenvolvedor para auditar os caminhos críticos de segurança antes de atender usuários reais com dados reais.

Qual é a diferença real entre Lovable e Cursor?

A Lovable abstrai completamente o código. Você descreve, ela constrói, você lança, você nunca toca nos arquivos. O Cursor é um editor de código onde a IA ajuda você a escrever mais rápido, mas você permanece na base de código, lendo e confirmando cada mudança. A escolha certa depende de você saber ou não ler código, não de qual ferramenta tem melhores avaliações. Para desenvolvedores, Cursor. Para quem está começando sem experiência técnica, Lovable ou Bolt.

O vibe coding está morto?

Como prática, não — é mainstream. O GitHub reporta que 46% do novo código agora é gerado por IA. Como termo que descreve com precisão o que engenheiros experientes fazem com essas ferramentas, está perdendo espaço. O próprio Karpathy seguiu em frente. As ferramentas são as mesmas; a expectativa profissional de supervisão mudou.

Quanto custa para começar com vibe coding?

O plano pago da Lovable começa em US 25/mês (em junho de 2026). O Cursor Pro custa US 20/mês. O Bolt.new tem um nível gratuito com tokens limitados por dia. O Claude Code é baseado em uso de API, cobrado pela API da Anthropic. Um fundador solo construindo um MVP normalmente fica abaixo de US 50/mês com uso baixo. Cargas de trabalho em produção em bases de código grandes podem chegar a US 200–500/mês dependendo de quanto você usa operações que consomem muitos tokens.

O Veredicto Real

O vibe coding não é uma fraude e não é um substituto para a engenharia de software. É um espectro: em uma extremidade, pessoas sem conhecimento técnico construindo coisas reais pela primeira vez; na outra, engenheiros experientes usando IA como um colaborador de alta velocidade enquanto mantêm responsabilidade pelo que é lançado.

As falhas são previsíveis. Elas seguem um padrão: aceitar grandes quantidades de código gerado sem lê-lo, pular camadas de segurança que nunca foram solicitadas no prompt, e tentar escalar um protótipo sem código para um sistema de produção sem entender a arquitetura subjacente.

As pessoas que estão tirando mais proveito dessas ferramentas em meados de 2026 não são as que "se entregam completamente às vibrações". São as que entendem exatamente quando delegar para a IA e exatamente o que inspecionar quando o resultado chega de volta.

Para uma visão geral do cenário mais amplo de ferramentas de programação com IA, nosso guia dos melhores assistentes de código com IA cobre o espectro completo, do Cursor ao GitHub Copilot, com preços atualizados para 2026.

Se você está começando a construir fluxos de trabalho orientados por agentes além da simples geração de código, como usar agentes de IA explica os padrões práticos de orquestração que separam a geração pontual de sistemas automatizados repetíveis.