Security Reviewis dead.O vibe-coding reescreveu as regras.

O problema não é a IA escrever código.
É que já ninguém consegue lê-lo .

Um dev sénior não conseguia auditar 200 linhas por dia. Agora o agente entrega 5.000. Não precisas de melhor revisão. Precisas de segurança no momento da criação.

• CWE-639

  Fuga multi-tenant

  Dados entre tenants acessíveis via lookup direto por ID.

  −
  Apanhado em agent-time · Claude Code
  antes5 linhas

  1-

  // GET /api/orders/:id

  2-

  const order = await db.order.findUnique({

  3-

    where: { id: req.params.id },

  4-

  });

  5-

  return res.json(order);

  depois6 linhas

  1+

  // GET /api/orders/:id

  2+

  const order = await db.order.findUnique({

  3+

    where: { id: req.params.id, tenantId: req.user.tenantId },

  4+

  });

  5+

  if (!order) return res.status(404).end();

  6+

  return res.json(order);

  Scope de tenant ao nível da linha aplicado antes do lookup.

• CWE-840

  Bypass de reembolso

  A falta de um teto de autorização deixa os agentes reembolsarem valores ilimitados.

  +
  Apanhado em agent-time · Cursor
• CWE-837

  Idempotência em falta

  Repetir o webhook cobra o cliente duas vezes.

  +
  Apanhado em agent-time · Windsurf
• CWE-532

  PII nos logs

  Os logs estruturados incluem emails, nomes e números de telefone em texto simples.

  +
  Apanhado em agent-time · Copilot
• CWE-306

  Middleware de auth ignorado

  Nova rota de admin montada no router público por engano.

  +
  Apanhado em agent-time · Cline
• CWE-1188

  Rollout de feature flag

  Nova flag fica ON por defeito em produção antes do gate de auditoria estar ligado.

  +
  Apanhado em agent-time · Continue
• CWE-307

  Rate limit ausente

  O endpoint de login aceita pedidos ilimitados, um parque de credential stuffing.

  +
  Apanhado em agent-time · Gemini
• CWE-285

  Exportação ao nível do tenant

  O endpoint de export do admin lê todos os tenants, não só o do chamador.

  +
  Apanhado em agent-time · Zed

A stack AppSec dos anos 2010 nunca foi feita para um mundo em que a IA escreve metade do código.

Compara linha por linha: quem são, o que entregam e onde os substituímos.