Semana passada encontrei uma vulnerabilidade num módulo que já tinha passado por code review. Sem um flag, sem um alerta. O código era limpo, bem estruturado, seguia os padrões da casa — você olhava e parecia certo. Só que não foi escrito por uma pessoa. Foi gerado por IA. E o sênior que aprovou não foi descuidado: estava afogado num volume de pull requests três vezes acima do normal. Quando o volume sobe assim, a revisão deixa de ser revisão. Vira carimbo.

Esta é a Bancada #009 — agora em áudio. Quinze minutos sobre por que quase metade dos desenvolvedores commita código que eles mesmos dizem não confiar, e por que nem a Anthropic, dona do agente de código mais bem-sucedido do mercado, escapou disso.

Não é um episódio sobre desacelerar a IA. É sobre o que ninguém combinou quando ela chegou: gerar código ficou barato, verificar continuou caro, e a distância entre esses dois custos virou o maior risco silencioso da engenharia em 2026.

Aperte o play. Ou leia a versão escrita, com todas as fontes linkadas, no arquivo da Sala.

Neste episódio

Começo na cicatriz — o módulo que passou na revisão sem um flag — e sigo direto para os números do State of Code 2026: 96% dos desenvolvedores não confiam plenamente no código que a IA gera, mas só 48% sempre verificam antes de commitar. Dali, o caso que derruba o argumento de que isso é problema de time imaturo: os dois vazamentos da Anthropic em cinco dias, 512 mil linhas do Claude Code expostas por um “plain developer error” — o mesmo bug que já tinha vazado treze meses antes. Depois, o que o vazamento revelou sobre arquitetura (construir um agente confiável é 80% infraestrutura e 20% IA), os dados de segurança da Veracode, o prazo do AI Act europeu, e os três movimentos que considero urgentes para quem constrói software financeiro.

Capítulos

(timestamps aproximados — ajuste ao corte final)

* 00:00 — A cicatriz: uma vulnerabilidade que passou no code review

* 02:30 — 96% não confiam, 48% verificam: o gargalo que ninguém combinou

* 04:30 — O paradoxo da Anthropic: 512 mil linhas, duas vezes

* 06:00 — Quem fala aqui — e o que é a Sala das Máquinas

* 07:00 — O nome do problema: gargalo de verificação, ou a industrialização do descuido

* 08:30 — O segredo de um produto de US$ 2,5 bilhões é o encanamento, não o modelo

* 10:30 — Código plausível não é código seguro

* 12:30 — A regulação chegou: o AI Act exige evidência, não promessa

* 14:00 — Três movimentos para sair da zona de risco

* 16:00 — Da Sala

Os números que ancoram o episódio

96% dos desenvolvedores não confiam plenamente na correção do código gerado por IA; só 48% sempre verificam antes do commit (State of Code 2026, Sonar).

Pull requests com co-autoria de IA têm 1,7× mais defeitos de lógica, correção e segurança (CodeRabbit).

45% do código gerado por IA falha em verificação de segurança — XSS com 86% de falha; Java, mais de 70% (Veracode, 2025).

2.130 vulnerabilidades relacionadas a IA divulgadas em 2025 — 34,6% a mais que no ano anterior, quase metade classificada como alta ou crítica.

512 mil linhas do Claude Code vazadas; produto com receita anualizada estimada em US$ 2,5 bilhões.

AI Act da União Europeia em vigor completo a partir de agosto de 2026.

Fontes

As referências citadas no episódio — o State of Code 2026 (Sonar), o relatório da CodeRabbit, o estudo da Veracode, a cobertura dos dois vazamentos da Anthropic, o EchoLeak (CVE-2025-32711) e a análise de Nate B. Jones — estão linkadas na versão escrita desta Bancada.

Da Sala. A IA não reduz o custo de estar errado. Ela só multiplica a velocidade com que você chega lá.

Sala das Máquinas é uma publicação mantida pelos leitores. Para receber novas postagens e apoiar meu trabalho, considere se tornar um assinante gratuito ou pago.

Em 23 de fevereiro deste ano, um post de blog apagou US$ 40 bilhões do valor de mercado da IBM em uma tarde — a maior queda diária da ação em 25 anos. O gatilho foi um texto técnico mostrando que uma ferramenta de IA ajuda a modernizar COBOL. O mercado leu, fez a conta de cabeça e fechou o caso: a IA matou o mainframe.

Os dois lados dessa leitura estão errados. Quem comemorou a morte do COBOL e quem disse que nada mudou cometeram o mesmo erro — acharam que a parte difícil era o código. Nunca foi.

Nesta Bancada eu conto por que o COBOL nunca foi o gargalo, e o que a IA de fato mudou: não o problema, mas a economia do problema. Também não escondo o que deu errado no caminho — a primeira tentativa dos meus times de transformar legado com IA foi inútil, e explico por quê, e o que passou a funcionar quando paramos de pedir tradução e começamos a extrair regra de negócio.

É uma conversa para quem lidera tecnologia em banco e já sabe que a decisão de modernizar não é técnica — é de sequência, de convivência e de talento que está indo embora. Sem o hype de “trimestres em vez de anos”, e sem o luto precoce pelo mainframe.

O erro não é ter COBOL. O erro é não saber em que ordem desmontá-lo.

A Bancada escrita completa está na Sala das Máquinas, no Substack — com as Notas Marginais, a versão anotada onde mostro a fonte por trás de cada número que você ouve aqui, inclusive os que eu acho que estão inflados.

Diego Gabriel Cardoso passou mais de vinte anos construindo software para banco no Brasil, nos Estados Unidos e na Inglaterra. Trabalhamos quase dez anos juntos. Neste Convés a conversa começa na sala de virada de um cutover financeiro — a tensão, o teste de centavo que falhou antes da produção — e termina no debate sobre o que a inteligência artificial muda de verdade para quem constrói. No meio, a travessia internacional vista pelo avesso, a virada da consultoria para o lado do produto na Microsoft, e a tese que os dois defendem: a profundidade técnica não virou commodity, virou o que separa quem conduz de quem só executa.

Sem roteiro de relações públicas. Só a conversa.

Sala das Máquinas é uma publicação mantida pelos leitores. Para receber novas postagens e apoiar meu trabalho, considere se tornar um assinante gratuito ou pago.

A primeira vez que você lidera uma war room internacional, ninguém te avisa que o trabalho mudou de função. Você ainda acha que vai fazer engenharia. Vai fazer tradução.

Novembro, Nova York, noite de cutover. De um lado, os executivos do cliente esperando apertar o botão. Do outro, o time conectado de Chicago e de São Paulo. E eu na lateral da mesa — não na cabeceira, não no centro. Era ponte. Este episódio é o relato do que aconteceu naquela sala, e das três traduções que só se aprendem ali: a técnica para o executivo, a pressão executiva para o time, e o código cultural entre o “that’s interesting” americano e o “deu ruim” brasileiro.

Esta é uma Travessia — a série da Sala das Máquinas sobre carreira internacional em tecnologia, narrada na íntegra na voz do autor.

Carlos Mattos é CTO regional para a América Latina em uma consultoria global de tecnologia focada em serviços financeiros, autor de O Código Invisível e Microsoft Regional Director desde 2017. Escreve da Cidade do México.

Clareza não é dom de comunicação. É a forma mais avançada de entender — e talvez a habilidade mais subestimada da senioridade técnica.

Bruno Tinoco construiu carreira sendo o arquiteto que entra num sistema emaranhado e faz a sala inteira enxergar o desenho. Do primeiro framework web em J2EE numa companhia aérea, aos vinte e poucos, até a mesa de negócios em Nova York, essa clareza foi o fio condutor — e o que permitiu a travessia do quadro branco para o cliente.

Uma conversa sobre o ofício de tornar o complexo legível: como se lê uma arquitetura pela primeira vez, o que uma migração de event sourcing em mercado de capitais ensina que o padrão nunca conta, e o que um arquiteto que foi estudar redes neurais no MIT enxerga sobre IA dentro de um banco regulado — que a manchete não vê.

Longe do palco. Perto da máquina.

Pedro Castelo Branco Lourenço parou de escrever código em 8 de fevereiro de 2026 — e passou a resolver mais problema do que quando escrevia.

CTO da GFT na Alemanha, brasileiro que saiu da engenharia florestal e foi parar no mercado financeiro europeu, ele conversa com Carlos Mattos sobre o que muda quando o código vira commodity e o julgamento vira o trabalho: harness engineering, o gargalo que saiu da produção e foi parar na validação, e por que ele ainda contrata júnior.

Primeiro episódio do Convés, a série de entrevistas da Sala das Máquinas. Transcript e versão em vídeo em saladasmaquinas.substack.com.

Em 2017 parei de gostar de escrever código. Levou três meses pra entender o motivo.

Quem trabalha com software por tempo suficiente conhece a sensação. Você abre o editor, olha pra tela, e o que era prazer virou tarefa. O código sai, os testes passam, o cliente aceita. Mas a coisa que te trazia pra mesa todo dia, sem precisar de café nem reunião de motivação, sumiu.

Naquele ano eu estava liderando entregas pesadas. Projetos grandes, equipes em três fusos, prazo apertado. Achei que era cansaço. Tirei alguns dias de folga, voltei. Não mudou nada. Achei que era idade. Naquela altura eu já tinha quase vinte anos de carreira. Mas idade não explica perder o gosto pelo que você sempre amou fazer.

A virada veio numa sexta à noite, sem cerimônia.

Eu queria entender como rodava o Cosmos DB com a API do MongoDB. Não tinha cliente cobrando, não tinha sprint correndo, não tinha apresentação na semana seguinte. Só curiosidade. Atualizei o Visual Studio, instalei o SDK, abri o navegador e fui caçar exemplos. Quebrou na primeira tentativa. Quebrou na segunda. Na terceira rodou. Eu fiquei feliz que nem criança que acabou de armar um quebra-cabeça.

Foi ali que entendi.

Eu não tinha parado de gostar de código. Tinha parado de aprender. Os projetos do trabalho, por mais difíceis que fossem, estavam no meu repertório. Não tinham mais surpresa. E surpresa é o combustível, não o produto da escrita de código. Quem programa sabe disso desde o primeiro hello world: o barato é descobrir como a coisa funciona, não fazer a coisa funcionar pela milésima vez.

Aquela noite com o Cosmos DB me devolveu o gosto. Voltei pro hábito de reservar tempo, toda semana, pra mexer em alguma coisa que eu não dominava. Pequeno. Sem pressão. Sem obrigação de virar palestra, post ou apresentação interna.

Em 2026, o problema é o oposto

Nove anos depois, tudo mudou. A pergunta que me preocupava em 2017 era “como mantenho a curiosidade num trabalho que virou repetição?”. Em 2026 a pergunta é outra: “como decido o que aprender quando todo dia sai uma ferramenta nova?”.

Quem trabalha com tecnologia hoje vive afogado em novidade. O LinkedIn cospe lançamentos a cada hora. Toda semana tem um modelo novo, um framework novo, um SDK novo, um benchmark novo, um agente novo. A indústria inteira entrou em modo de gritaria. Não dá pra acompanhar tudo. E tentar acompanhar é o caminho mais curto pra outra crise: o esgotamento.

Resolvi inverter o método. Em vez de correr atrás do que está em alta, voltei à pergunta que sempre funcionou. O que me deixa curioso de verdade?

A resposta nem sempre é a tendência da semana. Às vezes é uma coisa antiga que eu nunca entendi direito. Às vezes é um problema do trabalho que merecia atenção e eu adiava. Às vezes é uma ferramenta que apareceu há dois anos e só agora faz sentido testar. Curiosidade não tem cronograma de release.

O que aprendi nesses vinte e cinco anos é simples. A bateria do programador não recarrega com férias. Férias resolvem cansaço, e cansaço é um problema diferente. O que recarrega a bateria é descobrir alguma coisa nova, mesmo que pequena, mesmo que ninguém vá ver.

Se você está nesse ponto da carreira em que abrir o editor virou obrigação, não é sinal de que a profissão acabou pra você. É sinal de que você parou de aprender. E em 2026, com tanta coisa nova batendo na porta, parar de aprender é uma escolha estranha. Você não precisa correr atrás de tudo. Precisa só achar uma coisa que te deixe curioso de novo.

Bússola. Cansaço se trata com descanso. Tédio com curiosidade. Não confunda os dois remédios.

Carlos Mattos é CTO regional para a América Latina em uma consultoria global de tecnologia focada em serviços financeiros, autor de O Código Invisível e Microsoft Regional Director desde 2017. Escreve da Cidade do México.

Sala das Máquinas é uma publicação financiada pelos leitores. Para receber novas publicações e apoiar meu trabalho, considere se tornar um assinante gratuito ou pago.