{"id":4719,"date":"2026-10-19T11:53:49","date_gmt":"2026-10-19T14:53:49","guid":{"rendered":"https:\/\/aiqon.com.br\/blog\/?p=4719"},"modified":"2026-10-19T11:53:49","modified_gmt":"2026-10-19T14:53:49","slug":"shadow-ai-apps-ia-sem-a-ti-saber","status":"publish","type":"post","link":"https:\/\/aiqon.com.br\/blog\/shadow-ai-apps-ia-sem-a-ti-saber\/","title":{"rendered":"Shadow AI: os funcion\u00e1rios que criam apps com IA sem a TI saber"},"content":{"rendered":"<div id=\"bsf_rt_marker\"><\/div><article><strong>Shadow AI<\/strong> j\u00e1 n\u00e3o \u00e9 s\u00f3 sobre colar dados no ChatGPT. Hoje \u00e9 sobre o gerente de marketing que monta um painel de campanhas, o l\u00edder de opera\u00e7\u00f5es que automatiza o cadastro de fornecedores ou o financeiro que prepara um dashboard para a reuni\u00e3o do conselho. Afinal, h\u00e1 dois anos, cada um desses pedidos virava um chamado para a TI e uma espera de meses. Hoje, em vez disso, vira um aplicativo funcionando antes do almo\u00e7o.<\/p><div id=\"ez-toc-container\" class=\"ez-toc-v2_0_89 ez-toc-wrap-left counter-hierarchy ez-toc-counter ez-toc-grey ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Nesse Artigo<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Alternar tabela de conte\u00fado\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/aiqon.com.br\/blog\/shadow-ai-apps-ia-sem-a-ti-saber\/#Em_resumo\" >Em resumo<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/aiqon.com.br\/blog\/shadow-ai-apps-ia-sem-a-ti-saber\/#De_Shadow_IT_para_Shadow_AI\" >De Shadow IT para Shadow AI<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/aiqon.com.br\/blog\/shadow-ai-apps-ia-sem-a-ti-saber\/#O_que_a_pesquisa_sobre_Shadow_AI_encontrou\" >O que a pesquisa sobre Shadow AI encontrou<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/aiqon.com.br\/blog\/shadow-ai-apps-ia-sem-a-ti-saber\/#Como_um_app_de_Shadow_AI_vira_um_vazamento_em_cinco_passos\" >Como um app de Shadow AI vira um vazamento, em cinco passos<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/aiqon.com.br\/blog\/shadow-ai-apps-ia-sem-a-ti-saber\/#Por_que_o_seu_stack_de_seguranca_nao_ve_o_Shadow_AI\" >Por que o seu stack de seguran\u00e7a n\u00e3o v\u00ea o Shadow AI<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"https:\/\/aiqon.com.br\/blog\/shadow-ai-apps-ia-sem-a-ti-saber\/#Os_atacantes_tambem_estao_usando_vibe_coding\" >Os atacantes tamb\u00e9m est\u00e3o usando vibe coding<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-7\" href=\"https:\/\/aiqon.com.br\/blog\/shadow-ai-apps-ia-sem-a-ti-saber\/#Sua_empresa_esta_exposta_ao_Shadow_AI_Cinco_perguntas\" >Sua empresa est\u00e1 exposta ao Shadow AI? Cinco perguntas<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-8\" href=\"https:\/\/aiqon.com.br\/blog\/shadow-ai-apps-ia-sem-a-ti-saber\/#O_que_fazer_a_partir_de_segunda-feira\" >O que fazer a partir de segunda-feira<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-9\" href=\"https:\/\/aiqon.com.br\/blog\/shadow-ai-apps-ia-sem-a-ti-saber\/#Onde_a_Red_Access_entra_no_combate_ao_Shadow_AI\" >Onde a Red Access entra no combate ao Shadow AI<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-10\" href=\"https:\/\/aiqon.com.br\/blog\/shadow-ai-apps-ia-sem-a-ti-saber\/#Perguntas_frequentes\" >Perguntas frequentes<\/a><\/li><\/ul><\/nav><\/div>\n\n<p>Isso acontece porque existe o <strong>vibe coding<\/strong>: plataformas de IA em que qualquer pessoa descreve o que quer em linguagem comum e recebe um app pronto, publicado na internet com um clique. Ou seja, \u00e9 \u00fatil, \u00e9 r\u00e1pido e n\u00e3o vai embora. Por outro lado, o problema \u00e9 justamente o que acontece depois do clique.<\/p>\n<p>Foi exatamente esse risco que uma pesquisa publicada pela <strong>Red Access<\/strong> em maio de 2026 mapeou em escala global. Nesse caso, vale destacar, n\u00e3o houve invas\u00e3o: tudo o que os pesquisadores encontraram j\u00e1 estava acess\u00edvel a qualquer pessoa com um navegador.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Em_resumo\"><\/span>Em resumo<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<ul>\n<li><strong>380 mil apps expostos<\/strong> \u2014 a pesquisa encontrou mais de 380 mil aplica\u00e7\u00f5es web publicadas em plataformas de vibe coding. Cerca de 5 mil foram criadas para uso corporativo, e 2 mil delas (40%) continham dados sens\u00edveis sem controles b\u00e1sicos de seguran\u00e7a.<\/li>\n<li><strong>Funcion\u00e1rios, n\u00e3o hackers<\/strong> \u2014 quem cria o risco n\u00e3o \u00e9 um atacante. S\u00e3o funcion\u00e1rios competentes resolvendo problemas reais, que a pesquisa chama de <em>shadow builders<\/em>.<\/li>\n<li><strong>Ponto cego do stack<\/strong> \u2014 EDR, DLP, CASB e firewall veem peda\u00e7os da atividade, mas nenhum deles enxerga o app inteiro. Tudo acontece dentro da sess\u00e3o do navegador.<\/li>\n<\/ul>\n<h2><span class=\"ez-toc-section\" id=\"De_Shadow_IT_para_Shadow_AI\"><\/span>De Shadow IT para Shadow AI<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Esse problema de colar dados em ferramentas de IA continua existindo, mas n\u00e3o \u00e9 mais o \u00fanico. O que a pesquisa mostra, al\u00e9m disso, \u00e9 algo mais profundo: funcion\u00e1rios construindo aplica\u00e7\u00f5es com IA, conectando-as a sistemas de produ\u00e7\u00e3o e publicando-as na internet. Em outras palavras, a conversa saiu do prompt e virou produto.<\/p>\n<p>A diferen\u00e7a para o Shadow IT, por\u00e9m, \u00e9 grande. No Shadow IT, o time de marketing contratava um SaaS sem avisar a TI, mas os dados ficavam dentro de um fornecedor conhecido, com identidade e logs. J\u00e1 no Shadow AI, o app \u00e9 feito sob medida, os dados s\u00e3o carregados pelo pr\u00f3prio funcion\u00e1rio e as integra\u00e7\u00f5es v\u00e3o direto ao CRM, ao ERP e ao BI da empresa. Ou seja, a plataforma pode at\u00e9 ser auditada, mas o app criado em cima dela, n\u00e3o.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"O_que_a_pesquisa_sobre_Shadow_AI_encontrou\"><\/span>O que a pesquisa sobre Shadow AI encontrou<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>No total, a exposi\u00e7\u00e3o apareceu em seis continentes e em todos os setores analisados: servi\u00e7os financeiros, sa\u00fade, governo, educa\u00e7\u00e3o, varejo, ind\u00fastria, log\u00edstica, consultoria e software. Entre os casos, por exemplo, est\u00e3o um painel financeiro ao vivo de um dos maiores bancos da Am\u00e9rica Latina e dados de profissionais de sa\u00fade ligados a um grande sistema nacional de sa\u00fade.<\/p>\n<p>Os casos se dividem em quatro tipos:<\/p>\n<table>\n<thead>\n<tr>\n<th>Tipo de exposi\u00e7\u00e3o<\/th>\n<th>O que estava aberto<\/th>\n<th>Exemplo da pesquisa<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Sistemas operacionais ao vivo<\/td>\n<td>Dashboards e portais conectados a Power BI, Jira e Notion, com dados em tempo real<\/td>\n<td>Painel financeiro de um grande banco da Am\u00e9rica Latina<\/td>\n<\/tr>\n<tr>\n<td>Dados pessoais regulados<\/td>\n<td>Informa\u00e7\u00f5es sujeitas a leis como GDPR e HIPAA, sem controle de acesso nem trilha de auditoria<\/td>\n<td>Nomes e telefones de m\u00e9dicos de um fornecedor do sistema de sa\u00fade<\/td>\n<\/tr>\n<tr>\n<td>Documentos estrat\u00e9gicos<\/td>\n<td>Planos comerciais, estudos para clientes e estrat\u00e9gia competitiva<\/td>\n<td>An\u00e1lise preparada por um fornecedor, com volumes e taxas de um cliente<\/td>\n<\/tr>\n<tr>\n<td>Credenciais e acesso de administrador<\/td>\n<td>Chaves de API expostas e apps que d\u00e3o perfil de admin a quem abre o link<\/td>\n<td>Ferramenta interna de atendimento chamada &#8220;Admin Panel&#8221;, com hist\u00f3rico de conversas<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Al\u00e9m disso, um detalhe importa especialmente para empresas grandes: parte da exposi\u00e7\u00e3o n\u00e3o veio dos pr\u00f3prios funcion\u00e1rios, mas de fornecedores e parceiros que criaram ferramentas com dados do cliente.<\/p>\n<p>No Brasil, os dados pessoais desse segundo tipo est\u00e3o sob a <a href=\"https:\/\/www.planalto.gov.br\/ccivil_03\/_ato2015-2018\/2018\/lei\/l13709.htm\">LGPD<\/a>. Portanto, um app desses aberto na internet j\u00e1 \u00e9 um incidente de seguran\u00e7a com dados pessoais, mesmo que ningu\u00e9m tenha &#8220;invadido&#8221; nada.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Como_um_app_de_Shadow_AI_vira_um_vazamento_em_cinco_passos\"><\/span>Como um app de Shadow AI vira um vazamento, em cinco passos<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Na pr\u00e1tica, a maior parte dos shadow builds fica pronta em menos de um dia. Vale notar que nenhum dos passos exige que o funcion\u00e1rio fa\u00e7a algo errado: a exposi\u00e7\u00e3o \u00e9, na verdade, a soma de cinco decis\u00f5es razo\u00e1veis:<\/p>\n<ol>\n<li><strong>Inten\u00e7\u00e3o<\/strong> \u2014 um problema real para resolver: &#8220;preciso de um painel para o time&#8221;.<\/li>\n<li><strong>Constru\u00e7\u00e3o<\/strong> \u2014 o funcion\u00e1rio descreve o app em linguagem comum e vai ajustando. Autentica\u00e7\u00e3o e controle de acesso raramente entram na conversa.<\/li>\n<li><strong>Conex\u00e3o<\/strong> \u2014 \u00e9 aqui que o projeto pessoal vira risco para a empresa. O app passa a ler dados do BI, do CRM ou de uma planilha colada no chat.<\/li>\n<li><strong>Publica\u00e7\u00e3o<\/strong> \u2014 um clique, uma URL p\u00fablica, sem aprova\u00e7\u00e3o nem revis\u00e3o de seguran\u00e7a.<\/li>\n<li><strong>Acesso<\/strong> \u2014 a pr\u00f3pria URL vira a credencial. Em v\u00e1rios casos, o link estava indexado no Google e dava acesso de administrador a quem o abria.<\/li>\n<\/ol>\n<p>Os passos 1 e 2, afinal, s\u00e3o produtividade pura, e voc\u00ea n\u00e3o quer bloque\u00e1-los. J\u00e1 os passos 3, 4 e 5 s\u00e3o onde a seguran\u00e7a precisa enxergar e agir.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Por_que_o_seu_stack_de_seguranca_nao_ve_o_Shadow_AI\"><\/span>Por que o seu stack de seguran\u00e7a n\u00e3o v\u00ea o Shadow AI<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>A maioria das empresas j\u00e1 tem EDR, DLP, CASB, firewall e, \u00e0s vezes, SSE. Cada ferramenta, isoladamente, faz bem o seu trabalho. Ainda assim, o Shadow AI fica justamente no espa\u00e7o entre elas.<\/p>\n<table>\n<thead>\n<tr>\n<th>Camada<\/th>\n<th>O que v\u00ea<\/th>\n<th>O que n\u00e3o v\u00ea<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Dispositivo (EDR)<\/td>\n<td>Um processo de navegador rodando<\/td>\n<td>Que esse navegador est\u00e1 publicando um app com dados da empresa<\/td>\n<\/tr>\n<tr>\n<td>Rede (firewall e SSE)<\/td>\n<td>Acesso ao dom\u00ednio da plataforma<\/td>\n<td>Que um subdom\u00ednio espec\u00edfico \u00e9 um app com dados de clientes<\/td>\n<\/tr>\n<tr>\n<td>Cat\u00e1logo SaaS (CASB)<\/td>\n<td>A plataforma de vibe coding<\/td>\n<td>Os milhares de apps criados dentro dela<\/td>\n<\/tr>\n<tr>\n<td>Canal (DLP)<\/td>\n<td>Uploads para destinos conhecidos<\/td>\n<td>A conex\u00e3o OAuth que liga o app ao CRM<\/td>\n<\/tr>\n<tr>\n<td>Navegador gerenciado<\/td>\n<td>O que acontece na sess\u00e3o<\/td>\n<td>Notebooks pessoais, de terceiros e BYOD<\/td>\n<\/tr>\n<tr>\n<td>Sess\u00e3o<\/td>\n<td>Todo o caminho, em qualquer navegador e dispositivo<\/td>\n<td>\u2014<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>N\u00e3o \u00e9 falta de investimento. Na verdade, \u00e9 que os sinais ficam espalhados: um log no firewall, uma autoriza\u00e7\u00e3o OAuth aqui, um upload ali. Como resultado, ningu\u00e9m junta as pe\u00e7as.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Os_atacantes_tambem_estao_usando_vibe_coding\"><\/span>Os atacantes tamb\u00e9m est\u00e3o usando vibe coding<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Al\u00e9m do risco interno, a pesquisa tamb\u00e9m encontrou p\u00e1ginas de phishing hospedadas nas pr\u00f3prias plataformas de vibe coding, imitando Bank of America, FedEx e Costco. Como herdam o dom\u00ednio leg\u00edtimo da plataforma, essas p\u00e1ginas passam pelos filtros de reputa\u00e7\u00e3o de e-mail e web.<\/p>\n<p>Diante disso, o risco seguinte j\u00e1 tem todas as condi\u00e7\u00f5es para acontecer: um e-mail que parece vir de um colega, dizendo &#8220;criei uma ferramenta de IA para o time, fa\u00e7a login para usar&#8221;. Como apps internos realmente circulam assim hoje, o funcion\u00e1rio n\u00e3o desconfia. Ou seja, \u00e9 phishing que n\u00e3o parece phishing, justamente porque parece trabalho.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Sua_empresa_esta_exposta_ao_Shadow_AI_Cinco_perguntas\"><\/span>Sua empresa est\u00e1 exposta ao Shadow AI? Cinco perguntas<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Por isso, se alguma resposta for um chute, o risco provavelmente j\u00e1 est\u00e1 no seu ambiente.<\/p>\n<ol>\n<li>Voc\u00ea sabe quais plataformas de vibe coding est\u00e3o em uso, inclusive em contas pessoais, por terceiros e por fornecedores?<\/li>\n<li>Dos apps j\u00e1 criados, voc\u00ea sabe quais est\u00e3o conectados a sistemas da empresa, e por qual caminho (OAuth, chave de API, upload manual)?<\/li>\n<li>Voc\u00ea sabe quais desses apps est\u00e3o abertos na internet, sem exigir login da empresa?<\/li>\n<li>Se algu\u00e9m compartilhar amanh\u00e3 um link de &#8220;app que eu criei&#8221; no Teams ou no e-mail, o seu time saberia dizer se \u00e9 real?<\/li>\n<li>Se um app desses j\u00e1 estiver expondo dados, como voc\u00ea descobriria antes de virar um incidente?<\/li>\n<\/ol>\n<h2><span class=\"ez-toc-section\" id=\"O_que_fazer_a_partir_de_segunda-feira\"><\/span>O que fazer a partir de segunda-feira<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>A pesquisa prop\u00f5e cinco frentes, em ordem:<\/p>\n<ol>\n<li><strong>Descobrir o que j\u00e1 existe (esta semana)<\/strong> \u2014 pe\u00e7a aos times que informem os apps que criaram com IA. Deixe claro que n\u00e3o \u00e9 auditoria, \u00e9 invent\u00e1rio.<\/li>\n<li><strong>Mapear conex\u00f5es e exposi\u00e7\u00e3o (semanas 1 e 2)<\/strong> \u2014 para cada app, registre a que sistema ele se conecta, como, e se est\u00e1 aberto na internet. Os apps p\u00fablicos s\u00e3o os primeiros a revisar.<\/li>\n<li><strong>Definir regras e um caminho oficial (semanas 2 a 4)<\/strong> \u2014 quais plataformas s\u00e3o permitidas, que dados podem entrar nelas e que login \u00e9 obrigat\u00f3rio. E um canal simples para o funcion\u00e1rio registrar o que criou.<\/li>\n<li><strong>Incluir fornecedores e parceiros (semanas 4 a 8)<\/strong> \u2014 coloque vibe coding no question\u00e1rio de risco de terceiros e avise formalmente quem trabalha com os seus dados.<\/li>\n<li><strong>Manter a visibilidade (cont\u00ednuo)<\/strong> \u2014 o invent\u00e1rio deste m\u00eas estar\u00e1 incompleto no m\u00eas que vem. O que funciona \u00e9 descoberta cont\u00ednua, n\u00e3o um levantamento \u00fanico.<\/li>\n<\/ol>\n<h2><span class=\"ez-toc-section\" id=\"Onde_a_Red_Access_entra_no_combate_ao_Shadow_AI\"><\/span>Onde a Red Access entra no combate ao Shadow AI<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Todo o caminho de um shadow build acontece no navegador: abrir a plataforma, digitar o prompt, autorizar a conex\u00e3o com o CRM, colar os dados e clicar em publicar. Por isso, o ponto que v\u00ea tudo \u00e9 a sess\u00e3o do usu\u00e1rio.<\/p>\n<p>A <a href=\"https:\/\/aiqon.com.br\/redaccess\/\">Red Access<\/a> atua exatamente nessa camada, sem instalar agente e sem trocar o navegador. Na pr\u00e1tica, ela:<\/p>\n<ul>\n<li><strong>Mostra o uso de IA<\/strong> \u2014 quais plataformas de IA e de vibe coding o time usa, e por quem.<\/li>\n<li><strong>Bloqueia o envio de dados sens\u00edveis<\/strong> \u2014 impede que dados pessoais, financeiros e c\u00f3digo sejam colados ou enviados para ferramentas de IA.<\/li>\n<li><strong>Bloqueia o que n\u00e3o foi liberado<\/strong> \u2014 impede o uso de plataformas de IA n\u00e3o liberadas e de contas pessoais.<\/li>\n<li><strong>Bloqueia phishing<\/strong> \u2014 detecta p\u00e1ginas falsas, inclusive as hospedadas em dom\u00ednios leg\u00edtimos.<\/li>\n<li><strong>Vale para qualquer dispositivo<\/strong> \u2014 funciona em qualquer navegador e tamb\u00e9m em notebooks de terceiros e BYOD.<\/li>\n<\/ul>\n<p>Ainda assim, a defini\u00e7\u00e3o das regras continua sendo do time de seguran\u00e7a \u2014 a Red Access apenas d\u00e1 a visibilidade e o bloqueio no lugar onde o risco de fato acontece.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Perguntas_frequentes\"><\/span>Perguntas frequentes<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<h3>O que \u00e9 Shadow AI?<\/h3>\n<p>\u00c9 o uso de intelig\u00eancia artificial fora do controle da \u00e1rea de seguran\u00e7a. Hoje inclui tanto colar dados em ferramentas de IA quanto criar aplicativos com IA, conect\u00e1-los a sistemas da empresa e public\u00e1-los sem aprova\u00e7\u00e3o.<\/p>\n<h3>O que \u00e9 vibe coding?<\/h3>\n<p>\u00c9 criar um aplicativo descrevendo o que voc\u00ea quer em linguagem comum para uma plataforma de IA, sem escrever c\u00f3digo. O app costuma ser publicado com um clique, em um endere\u00e7o p\u00fablico da pr\u00f3pria plataforma.<\/p>\n<h3>Quem s\u00e3o os shadow builders?<\/h3>\n<p>S\u00e3o funcion\u00e1rios, fornecedores ou parceiros que criam apps com IA para resolver problemas do dia a dia, sem envolver a TI. N\u00e3o agem de m\u00e1 f\u00e9: est\u00e3o sendo produtivos.<\/p>\n<h3>Bloquear as plataformas de vibe coding resolve?<\/h3>\n<p>N\u00e3o sozinho. Os funcion\u00e1rios usam contas pessoais e dispositivos pr\u00f3prios, e os apps j\u00e1 publicados continuam no ar. O caminho \u00e9 descobrir o que existe, definir regras e manter visibilidade cont\u00ednua.<\/p>\n<h3>Isso tem rela\u00e7\u00e3o com a LGPD?<\/h3>\n<p>Sim. Um app aberto na internet com dados pessoais de clientes, pacientes ou funcion\u00e1rios \u00e9 um incidente de seguran\u00e7a com dados pessoais, mesmo sem invas\u00e3o.<\/p>\n<p><!-- INICIO CTA CANAL AIQON \u2014 bloco espec\u00edfico deste post (Red Access) --><\/p>\n<div>\n<p><strong>Fale com a AIQON<\/strong><\/p>\n<p>A AIQON distribui a <a href=\"https:\/\/aiqon.com.br\/redaccess\/\"><strong>Red Access<\/strong><\/a> no Brasil. Se voc\u00ea quer saber quais ferramentas de IA o seu time usa e o que est\u00e1 indo para elas, <a href=\"https:\/\/aiqon.com.br\/redaccess\/\">solicite uma demonstra\u00e7\u00e3o<\/a>.<\/p>\n<p>\u00c9 revenda ou integrador? <a href=\"https:\/\/aiqon.com.br\/parcerias\/\">Conhe\u00e7a o Partner Program da AIQON \u00bb<\/a><\/p>\n<\/div>\n<p><!-- FIM CTA CANAL AIQON --><\/p>\n<p><em>Fonte: <a href=\"https:\/\/thehackernews.com\/2026\/05\/what-2000-exposed-vibe-coded-apps.html\">Red Access Research, &#8220;The Shadow Builders Inside Your Organization&#8221;<\/a>, volume 01, maio de 2026.<\/em><\/p>\n<\/article>\n<p>&nbsp;<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Shadow AI j\u00e1 n\u00e3o \u00e9 s\u00f3 sobre colar dados no ChatGPT. Hoje \u00e9 sobre o gerente de marketing que monta um painel de campanhas, o l\u00edder de opera\u00e7\u00f5es que automatiza o cadastro de fornecedores ou o financeiro que prepara um dashboard para a reuni\u00e3o do conselho. Afinal, h\u00e1 dois anos, cada um desses pedidos virava [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":4728,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_feature_clip_id":0,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_post_was_ever_published":false},"categories":[101],"tags":[1439,1433,1436],"class_list":["post-4719","post","type-post","status-publish","format-standard","has-post-thumbnail","category-web-security","tag-red-access","tag-shadow-ai","tag-vibe-coding","czr-hentry"],"jetpack_sharing_enabled":true,"jetpack_likes_enabled":true,"jetpack_featured_media_url":"https:\/\/aiqon.com.br\/blog\/wp-content\/uploads\/2026\/10\/shadow-ai-hero-banner.png","_links":{"self":[{"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/posts\/4719","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/comments?post=4719"}],"version-history":[{"count":1,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/posts\/4719\/revisions"}],"predecessor-version":[{"id":4727,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/posts\/4719\/revisions\/4727"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/media\/4728"}],"wp:attachment":[{"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/media?parent=4719"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/categories?post=4719"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/tags?post=4719"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}