A Inteligência Artificial Está Mudando Quem Decide Qual Software Entra em Sua Organização

A inteligência artificial (IA) se tornou parte integrante do desenvolvimento de software diário. Desde a geração de APIs e escrita de testes até a criação de aplicativos inteiros, os assistentes de codificação estão ajudando as equipes de engenharia a resolver problemas e entregar software mais rápido do que nunca. Os ganhos de produtividade são inegáveis, e as organizações estão rapidamente adotando a IA em todo o ciclo de vida do desenvolvimento de software.

Muito da conversa se concentrou no código gerado pela IA. Os desenvolvedores podem confiar no código gerado pela IA? Ele introduz vulnerabilidades? Como as equipes de segurança devem revisá-lo? Essas perguntas são importantes, mas não são a maior mudança que a IA está trazendo para o desenvolvimento de software. A IA ultrapassou a capacidade de gerar apenas código e está cada vez mais influenciando as primeiras decisões de seleção de software que moldam quais softwares entram em uma organização.

Os assistentes de codificação da IA raramente constroem aplicativos do zero e compõem soluções usando frameworks existentes, bibliotecas de código aberto, SDKs, imagens de contêiner e ecossistemas de pacotes. Cada recomendação molda a fundação de software sobre a qual um aplicativo é construído, muitas vezes antes de um desenvolvedor revisar a primeira linha de código gerado.

Por décadas, a primeira decisão de confiança no desenvolvimento de software pertenceu quase inteiramente aos desenvolvedores, mas agora essa suposição começa a mudar. Cada vez mais, a IA está fazendo a primeira recomendação, enquanto os desenvolvedores validam o resultado posteriormente. Essa mudança sutil tem implicações significativas para a segurança da cadeia de suprimento de software, pois cada recomendação carrega uma decisão de confiança implícita.

As organizações passaram anos governando como o software é construído, testado e implantado. O próximo desafio é governar como o software é selecionado em um ambiente de desenvolvimento nativo da IA.

A Primeira Decisão de Confiança

Cada aplicativo depende de software criado por milhares de contribuintes em inúmeros projetos de código aberto. Antes de introduzir uma nova dependência, os desenvolvedores normalmente avaliavam a documentação, comparavam frameworks, revisavam a adoção da comunidade, examinavam a frequência de lançamento e consideravam se um projeto era maduro o suficiente para produção. Os desenvolvedores nem sempre tomaram a decisão certa, mas cada dependência foi introduzida deliberadamente.

Hoje, um desenvolvedor pode simplesmente solicitar a um assistente de IA que “crie uma API REST segura com autenticação e suporte ao PostgreSQL.” Em segundos, a IA gera um projeto funcionando. Ao longo do caminho, ela recomenda um tempo de execução, seleciona um framework, referencia uma imagem de contêiner base, importa bibliotecas de autenticação, escolhe SDKs e gera manifestos de dependência, como package.json, requirements.txt ou pom.xml. Os gerenciadores de pacotes subsequentemente resolvem essas dependências e suas dependências transitivas durante o processo de compilação.

A maioria dos desenvolvedores revisa o aplicativo que a IA produz, mas apenas alguns param para examinar cada decisão de software que a IA toma ao longo do caminho. A IA compactou a seleção de software que antes levava horas de pesquisa em segundos e cada vez mais faz a primeira recomendação em nome dos desenvolvedores.

Toda Recomendação é uma Decisão de Confiança

Cada artefato de software carrega sua própria cadeia de confiança. Uma biblioteca tem mantenedores, contribuintes, processos de lançamento, práticas de assinatura, dependências e proveniência. Uma imagem de contêiner herda software de distribuições upstream e um SDK introduz pacotes adicionais, cada um estendendo essa cadeia de confiança.

Uma recomendação da IA pode rapidamente expandir-se em centenas de artefatos de software que se tornam parte de um aplicativo. O código aberto sempre funcionou dessa maneira. O que está mudando é quem toma essas decisões de confiança primeiro. Historicamente, os desenvolvedores avaliavam e selecionavam os componentes que confiavam. Cada vez mais, os sistemas de IA fazem as recomendações iniciais, enquanto os desenvolvedores validam o resultado posteriormente.

Parece uma mudança pequena, mas fundamentalmente muda a forma como as organizações devem pensar sobre a segurança da cadeia de suprimento de software.

A IA Otimiza para Software Funcional, Não para Confiança Organizacional

Nada disso significa que a IA está fazendo recomendações ruins. Pelo contrário.

Os assistentes de codificação da IA são bons em recomendar software porque aprenderam com milhões de exemplos de como os desenvolvedores resolvem problemas semelhantes. Como resultado, frameworks populares, bibliotecas bem suportadas e padrões de implementação familiares naturalmente aparecem em suas sugestões, e é exatamente isso que torna essas ferramentas tão valiosas.

Mas esses objetivos de otimização são fundamentalmente diferentes das perguntas que as equipes de segurança de empresa precisam responder. A IA não avalia intrinsicamente se um pacote está alinhado com as políticas de software de uma organização, se uma imagem de contêiner foi reconstruída a partir da fonte, se a proveniência do software foi verificada ou se uma dependência origina de uma fonte de software aprovada.

Funcionalidade, popularidade e probabilidade são sinais úteis para gerar código, mas nunca devem ser usados como substitutos para verificação.

Por Que Precisamos Integrar à Esquerda

Por anos, a segurança da cadeia de suprimento de software se concentrou em identificar riscos após o software ter entrado no processo de desenvolvimento. Os scanners de vulnerabilidades, a Análise de Composição de Software e os SBOMs melhoraram dramaticamente a visibilidade do software que os aplicativos contêm.

Essas ferramentas permanecem essenciais, mas abordam uma parte diferente do problema.

A IA move a seleção de software muito mais cedo no ciclo de vida do desenvolvimento, então, no momento em que os controles de segurança tradicionais começam sua análise, o projeto gerado pode já referenciar dezenas de dependências que agora exigem avaliação, remediação ou substituição. As organizações ainda reagem às escolhas de software que já entraram no fluxo de trabalho de desenvolvimento.

É por isso que acredito que as organizações precisam Integrar à Esquerda.

A ideia por trás da Integração à Esquerda é simples: a confiança deve ser estabelecida antes que o software se torne parte de um aplicativo, não depois. À medida que a IA se torna um participante ativo no desenvolvimento de software, esse princípio se torna ainda mais importante. A governança deve se mover para o ponto em que o software é selecionado, não onde é eventualmente digitalizado.

As organizações precisam definir fontes de software confiáveis, estabelecer quais artefatos de software a IA é permitida recomendar e verificar esses artefatos antes que se tornem parte do fluxo de trabalho de desenvolvimento. O objetivo é garantir que a IA acelere a entrega de software dentro de limites que refletem os padrões de segurança, conformidade e engenharia da organização.

Governando a Seleção de Software na Era da IA

As organizações já definem onde o software pode ser executado, como é implantado e quem está autorizado a liberá-lo. Cada vez mais, elas também precisarão definir quais softwares a IA é permitida recomendar.

É aqui que a Postura da Cadeia de Suprimento de Software se torna cada vez mais importante. As organizações precisam ter confiança não apenas no software que constroem, mas também no software que a IA recomenda em seu nome. Essa confiança vem da verificação, de fontes de software confiáveis e da governança que começa antes que o software entre no pipeline de desenvolvimento.

A IA continuará a transformar o desenvolvimento de software, e com razão. Os ganhos de produtividade são significativos demais para serem ignorados, mas à medida que as organizações adotam o desenvolvimento nativo da IA, elas devem reconhecer que a seleção de software está se tornando cada vez mais automatizada.

As organizações que terão sucesso serão aquelas que estabelecem fontes de software confiáveis, verificam os artefatos de software que a IA recomenda e integram a governança na seleção de software desde o início.

A IA está mudando como o software é escrito, mas agora, mais importante, está mudando como o software é escolhido. Porque na era da IA, o software em que você confia depende cada vez mais do software que a IA escolhe primeiro.