Um Distinguished Engineer da Microsoft decidiu, num post no X em 03/09/2026, que ninguém mais precisa digitar código. Três semanas antes, um relatório que testou mais de 100 modelos de IA tinha achado vulnerabilidade de segurança em quase metade das tarefas de geração de código. As duas coisas são verdade ao mesmo tempo, e é isso que muda o trabalho de quem programa com IA todo dia.
O que a Microsoft disse sobre digitar código?
David Fowler, engenheiro distinto da Microsoft há 18 anos (cocriador do SignalR, fundador do NuGet e do Kudu, hoje à frente do .NET Aspire), publicou em 03/09/2026: "Typing code is absolutely over" ("digitar código acabou de vez"). Ele não disse que a profissão de dev acabou. Disse que o ato de escrever linha por linha, sim.
A declaração não é só opinião solta. A Microsoft já move a própria ferramenta nessa direção: as versões 13.1 e 13.2 do Aspire adicionaram suporte a agentes e ao protocolo MCP, deixando a IA iniciar serviços, ler logs e reiniciar aplicações sozinha. Segundo Satya Nadella, entre 20% e 30% do código escrito internamente na Microsoft hoje já sai de modelo de IA, não de teclado humano.
O que os dados de segurança mostram sobre esse código?
O 2026 GenAI Code Security Report da Veracode testou mais de 100 modelos e achou vulnerabilidade de segurança em 44% das tarefas de geração de código. A taxa média de aprovação em segurança ficou em 56%, praticamente parada frente aos 55% do relatório anterior. O melhor modelo do teste, GPT-5.5, aprovou 68% das tarefas. Nenhum modelo passou de 7 em cada 10.
O problema não é distribuído igual. Os modelos escrevem código que compila quase sempre (taxa de sintaxe perto de 100%), mas compilar não é o mesmo que ser seguro:
| Categoria testada | Taxa de aprovação em segurança |
|---|---|
| Criptografia | 87% |
| SQL injection | 83% |
| Média geral (100+ modelos, todas as categorias) | 56% |
| Cross-site scripting (XSS) | 15% |
| Log injection | 12% |
Fonte: Veracode, 2026 GenAI Code Security Report.
Dá para acreditar nas duas coisas ao mesmo tempo?
Dá, e elas não são contraditórias: a IA está mesmo escrevendo mais código a cada mês, e esse código falha em segurança quase na metade das vezes em categorias inteiras, como XSS e log injection. A parte que Fowler descreve como "não precisa mais digitar" e a parte que a Veracode mede como "não confie sem checar" são a mesma mudança, vista de dois ângulos.
Isso muda o que conta como produtividade. Não é mais o tempo até o primeiro código funcionar. É quantas rodadas de revisão e correção cabem no seu orçamento antes de você confiar no que foi gerado. Se cada rodada de "acha a falha, pede a correção, testa de novo" consome uma cota que está acabando, a tentação real é aceitar o primeiro resultado e seguir em frente.
Os números da Veracode mostram onde vale mais a pena gastar essa segunda rodada. As categorias mais fracas viram um checklist mínimo antes de aceitar código gerado por IA:
- Entrada de usuário virou query sem tratamento? É a falha mais comum em SQL injection, quando o modelo monta a query por concatenação de string em vez de parâmetro.
- Dado de usuário vai direto pro HTML ou pro DOM? Cross-site scripting foi a categoria com pior resultado do relatório, 15% de aprovação.
- O log grava o dado bruto, sem mascarar? Log injection teve a pior taxa entre todas, 12%.
Pedir pro próprio agente responder essas três perguntas sobre o que ele acabou de escrever, antes de aceitar, custa menos que descobrir a falha em produção.
Rodar a bateria de correção até o agente resolver de verdade, não só até a mensagem acabar, é por isso que a Verboo Code não cobra por token. Quando revisar e pedir de novo não tem custo extra, a segunda, a terceira e a quinta rodada de correção custam o mesmo que a primeira.
