Ferramentas como Copilot, Claude Code, Codex, Cursor e outras reduziram drasticamente o custo de produzir código. O problema é que o custo de gerar código caiu, mas o custo de revisar código continua humano.
Grande parte dos softwares comerciais utilizados atualmente depende de componentes Open Source.
Seja uma startup, um e-commerce, um banco ou uma grande empresa de tecnologia, é comum que uma única aplicação utilize dezenas ou até centenas de bibliotecas de terceiros.
Frameworks, bibliotecas de autenticação, clientes HTTP, ORMs, ferramentas de observabilidade, componentes de interface e sistemas de mensageria são apenas alguns exemplos de dependências amplamente utilizadas.
Em muitos projetos, essas dependências são atualizadas automaticamente por ferramentas como Dependabot, Renovate e pipelines de CI/CD. Isso significa que uma alteração aprovada em um projeto Open Source pode, direta ou indiretamente, chegar a milhares de sistemas em produção ao redor do mundo.
Por esse motivo, a saúde e a segurança do ecossistema Open Source não são apenas um problema dos mantenedores. Elas impactam toda a indústria de software.
Ferramentas como GitHub Copilot, Claude Code, Codex, Cursor e outras reduziram drasticamente o custo de produzir código.
Hoje é possível gerar uma correção, uma refatoração ou até uma funcionalidade inteira em poucos minutos.
O resultado é previsível:
O problema é que o custo de gerar código caiu drasticamente, enquanto o custo de revisar código continua sendo essencialmente humano.
O gargalo mudou de lugar.
Antes o desafio era escrever software.
Agora o desafio é validar se o software gerado merece confiança.
Uma característica observada por diversos mantenedores é o aumento de contribuições que parecem corretas à primeira vista, mas não demonstram compreensão real do projeto.
Frequentemente esses Pull Requests:
O código compila.
Os testes passam.
Mas isso não significa que a alteração seja correta.
Outro efeito colateral é a duplicação de trabalho.
Quando um problema é identificado, diversos desenvolvedores podem utilizar IA para gerar soluções semelhantes e enviar múltiplos Pull Requests para a mesma questão.
Isso gera:
O resultado é que os mantenedores passam mais tempo triando contribuições do que efetivamente evoluindo o projeto.
Existe uma percepção equivocada de que projetos Open Source amplamente utilizados possuem grandes equipes dedicadas.
Na prática, muitos deles dependem de:
Enquanto o número de contribuições cresce, a quantidade de revisores especializados permanece praticamente a mesma.
Esse desequilíbrio gera um problema conhecido por qualquer equipe de engenharia:
fadiga de revisão.
Quanto maior o volume de mudanças, mais difícil se torna analisar cada contribuição com o nível de profundidade necessário.
A segurança de software depende fortemente da qualidade das revisões.
Uma equipe sobrecarregada tende a:
É justamente nesse cenário que vulnerabilidades podem passar despercebidas.
Alguns exemplos incluem:
O problema não é necessariamente a IA gerar código inseguro.
O problema é a combinação de:
Mais código sendo produzido + mesma capacidade humana de revisão.
A cadeia de dependências moderna é extremamente conectada. Uma única biblioteca pode ser utilizada por:
Quando uma vulnerabilidade é introduzida em uma dependência amplamente utilizada, o impacto pode se espalhar rapidamente por toda a cadeia de software.
É justamente por isso que ataques à cadeia de suprimentos (Supply Chain Attacks) se tornaram uma das maiores preocupações da indústria nos últimos anos.
A tendência é que a geração de código fique cada vez mais barata. Ao mesmo tempo, a validação continuará exigindo conhecimento humano especializado.
Por isso, nos próximos anos, a indústria provavelmente precisará investir mais em:
A produtividade proporcionada pela IA é real. Mas confiança não pode ser gerada automaticamente.