Você cria um SaaS com inteligência artificial em poucas horas, coloca no ar, conquista os primeiros usuários e o faturamento começa a entrar. Parece o cenário perfeito, certo? Até o dia em que alguém hackeia sua plataforma, os dados dos usuários ficam expostos e a performance entra em colapso. Essa é a realidade que muitos empreendedores estão descobrindo ao usar ferramentas de vibe coding sem o devido cuidado com a produção.
Neste artigo, vamos analisar um caso real: a construção de um SaaS com Lovable, os mais de 40 erros críticos encontrados após uma auditoria com agentes de IA no Claude Code, e o que isso significa para quem quer transformar MVPs em produtos profissionais.
Do Delphi ao Lovable: a jornada até o vibe coding
A história começa com um programador experiente, vindo do Delphi, passando pelo no-code com Bubble, até chegar ao Lovable. O primeiro teste foi o ImplantaWeb, um SaaS de gerenciamento de implantação construído em apenas 8 horas. Em poucos dias, já havia usuários pagantes e o software funcionava.
Mas com aproximadamente 15 usuários, alguém conseguiu hackear a plataforma. A pessoa acessou a base de dados completa e comunicou a vulnerabilidade. O problema? As regras de segurança no Supabase estavam todas desativadas, algo que o Lovable gerou sem configuração adequada.
Esse cenário não é isolado. Segundo pesquisa da Superblocks, a vulnerabilidade CVE-2025-48757 do Lovable expôs 303 endpoints em 170 aplicações testadas, permitindo que atacantes não autenticados lessem e escrevessem nos bancos de dados das aplicações.
A Expax Play: um dia para criar, uma hora para corrigir
Após o sucesso do ImplantaWeb e de várias ferramentas internas (RH, marketing, financeiro), veio o projeto mais ambicioso: a Expax Play, maior plataforma para empresas de software do Brasil, com mais de 3.000 alunos e centenas de cursos importados da plataforma anterior via API.
O MVP ficou pronto em um dia. Das 9h às 18h, a plataforma estava no ar, com todos os cursos, alunos e funcionalidades básicas migradas. Nos dias seguintes, ajustes de UX, integração de IA para responder alunos e gerar thumbnails foram adicionados.
Mas a intuição de programador acendia alertas. Havia algo errado no código gerado. A decisão foi trazer o projeto para o Claude Code e criar um squad de agentes especializados: arquiteto de software, DBA e frontend developer, para auditar toda a aplicação.
47 arquivos, 40+ erros: o relatório que assusta
O relatório da auditoria revelou a extensão dos problemas escondidos sob a superfície funcional do MVP:
- 47 arquivos modificados, 8 novos criados
- 2.600 linhas removidas (código desnecessário), 1.400 inseridas
- Saldo líquido: 1.176 linhas a menos no sistema final
- Zero erros de compilação após as correções
Problemas de performance
O primeiro problema crítico era a ausência total de code splitting. As 42 páginas da aplicação eram importadas de forma síncrona no arquivo principal (app.tsx). Isso significava que um aluno baixava todo o código de administradores, professores e organizações ao acessar a plataforma, consumindo banda e processamento desnecessariamente.
A página de cursos executava 50 queries por carregamento: trazia todos os cursos, todos os módulos e todas as lições de uma vez. O dashboard buscava a plataforma inteira sem filtros. A página de portais fazia queries sequenciais com blocos de 100 registros, ao invés de uma consulta única otimizada.
Segundo a The New Stack, esse tipo de problema de performance é tão comum em aplicações vibe-coded que especialistas alertam para potenciais “explosões catastróficas” à medida que essas aplicações escalam em 2026.
Problemas de segurança
Tabelas sem regras de Row-Level Security (RLS), transferência de dados sem filtro entre roles, e endpoints expostos completavam o quadro. Dados da Autonoma mostram que 53% das equipes que colocaram código gerado por IA em produção descobriram vulnerabilidades que passaram pela revisão inicial. Em uma análise de 5.600 aplicações vibe-coded, pesquisadores encontraram mais de 2.000 vulnerabilidades, 400 segredos expostos e 175 instâncias de dados pessoais vazados.
Problemas de UX
Qualquer erro de JavaScript causava tela branca sem fallback. React Query estava instalado mas não era utilizado. Dependências mortas aumentavam o tamanho do bundle. O favicon estava 10 vezes maior do que o necessário.
A solução: agentes de IA revisando código de IA
O processo de correção utilizou seis agentes especializados no Claude Code, trabalhando em paralelo por aproximadamente uma hora. A abordagem de multi-agentes para revisão de código está ganhando força no mercado. A Anthropic lançou recentemente uma ferramenta oficial de code review que utiliza múltiplos agentes examinando o código de diferentes perspectivas antes de um agente final agregar e priorizar os achados.
O resultado foi um sistema 1.176 linhas mais enxuto, com queries otimizadas, code splitting implementado, RLS configurado e tratamento de erros adequado. A plataforma ficou mais rápida, mais segura e mais barata de manter.
A lição para software houses: MVP não é produção
O caso da Expax Play ilustra com precisão o momento que o mercado de software vive. Ferramentas como Lovable, Bolt.new e similares são extraordinárias para validação rápida de ideias. Em horas, você tem um produto funcional que pode gerar receita.
Mas existe uma linha clara entre MVP e software de produção. Segundo pesquisa da Sainam Tech, 45% do código gerado por IA contém vulnerabilidades conhecidas da lista OWASP Top-10, e código gerado por IA tem 2,74 vezes mais probabilidade de introduzir vulnerabilidades de XSS do que código escrito por humanos.
O programador não perdeu relevância com a chegada da IA. Pelo contrário: seu papel mudou de “escrever código” para “revisar, auditar e garantir qualidade do código gerado”. É exatamente nesse ponto que profissionais com experiência técnica se diferenciam de quem apenas “pede para a IA fazer”.
O que fazer na prática
Se você está construindo com vibe coding, siga esta sequência:
- MVP rápido: use Lovable, Bolt.new ou similar para validar a ideia em horas
- Auditoria técnica: antes de escalar, traga o código para uma revisão com ferramentas como Claude Code, usando agentes especializados
- Performance: implemente code splitting, otimize queries, elimine dependências mortas
- Segurança: configure RLS no Supabase, valide inputs no servidor, remova dados sensíveis de respostas de erro
- Capacitação: entenda o código que a IA gera. Plataformas como a Expax Play oferecem mais de 280 treinamentos técnicos gratuitos para desenvolver essa capacidade
Conclusão
Lovable é bom. Acelera. Funciona para MVP. Mas 40 erros críticos em uma aplicação funcional mostram que “funcionar” não é sinônimo de “estar pronto para produção”. O futuro pertence aos profissionais que sabem criar rápido com IA e, ao mesmo tempo, têm a capacidade técnica de auditar, corrigir e escalar o que foi gerado.
O mercado não está pedindo menos programadores. Está pedindo programadores que entendam o jogo novo: deixar a IA escrever, mas saber exatamente o que ela escreveu.
Este artigo foi baseado no vídeo “Encontrei MAIS DE 40 ERROS CRÍTICOS em um SaaS feito em Lovable” do canal Software House Exponencial no YouTube. Assista ao vídeo completo para ver o relatório detalhado.
