A era do sobrinho voltou: quem eu vejo ganhar com a IA
"Ah, o site? Meu sobrinho fez." Quem é mais velho conhece essa. Com Cursor e Claude Code, todo mundo virou sobrinho. E eu já vi o resultado: webhook aberto na internet, sem token e sem firewall. É por isso que o dev bom vai ter trampo de sobra.
🎧 PREFERE OUVIR? · 9 min · Podcast Em Produção
Este artigo também é um episódio do podcast Josimar JMV | Em Produção — o mesmo vídeo, só o áudio, normalizado pra fone.
Gravei esses 8 minutos no canal @josimarjmv em 18 de maio de 2026. É um vídeo quase de humor, pra brincar com a galera mais velha e pra alertar. Assista e leia junto: aqui embaixo eu conto a mesma coisa por escrito, com as referências de segurança que fui conferir depois.
a era do sobrinho voltou. Antes era o sobrinho que fazia o site de qualquer jeito e sobrava pro programador arrumar; hoje, com uma IDE, um Cursor ou um Claude Code, qualquer um entrega software, e quase ninguém entende de segurança. Eu vi uma pessoa compartilhando um webhook com IPv4 válido, sem autenticação e sem firewall. Quem ganha com isso é o dev que estuda infraestrutura, segurança e arquitetura: vai sobrar muito estrago pra consertar. O dev chinelinho, pra mim, acabou.
De onde eu falo
Eu tenho empresa desde os 18 anos de idade. Já fiz site, já tive empresa de manutenção de informática, de montagem. Quando eu tinha loja de informática, com 20 e poucos anos, fui comprar mercadoria no Paraguai muitas vezes. Já trabalhei com impressora matricial, Cristo. Já montei rede, rede Wi-Fi na época em que isso era novidade.
Toda essa bagagem serve hoje pra eu montar e desmontar servidor. Eu vou no data center, compro peça de servidor e monto. Acho sensacional, é um ambiente com que eu me identifico muito. Não é palpite de fora: é o que eu faço com a mão na massa.
"Meu sobrinho faz": a piada que eu ouvi a vida inteira
Ao longo desses anos, a gente ouviu demais a mesma história. Virou piada de palco: "ah, o site? Meu sobrinho faz". "Fazer um site? Meu sobrinho fez."
E o programador adorava o sobrinho. Por quê? Porque sempre sobrava pro programador arrumar o que o sobrinho fazia. O sobrinho fazia as coisas sem conhecimento, pegava qualquer coisa ali, fazia de qualquer jeito, e depois chegava a hora de ligar pro profissional pra resolver o problema que o sobrinho criou. Hardware, software, site. Acontecia demais.
Com IA, todo mundo virou sobrinho
Hoje a gente está na era dos papagaios digitais. Mas a era do sobrinho também voltou com tudo, voltou bombando. A taxa de natalidade está diminuindo, a gente não tem mais tanto sobrinho assim no mundo, e mesmo assim qualquer um hoje é candidato a sobrinho programador: com uma IDE, com um Cursor da vida, com um Claude Code.
E vai piorar, porque a ferramenta já faz o deploy por você. O Claude lançou o Artifacts, e tem vários sistemas parecidos, como o Manus. A pessoa faz alguma coisa e compartilha com alguém por URL. A ferramenta faz o deploy automático, cria um subdomínio, disponibiliza, já cria a hospedagem. A gente vê muito isso em empresa de hospedagem de site. Pra onde isso vai evoluir? É óbvio que qualquer hora eles colocam a nuvem deles ali embaixo e começam a cobrar. E nuvem é cara, muito cara. Eu torrei uma grana no Manus com um projetinho, porque eu sou meio ansioso: comecei, tinha que acabar, não dava pra parar. Essa conta eu abri em Manus ou Claude Code: eu torrei R$ 2.236 pra descobrir.
O webhook aberto que eu vi
Na semana em que eu gravei, eu estava vendo YouTube e caí num vídeo de uma moça de vinte e poucos anos integrando um chatbot com o Claude. Olhei e falei: não. E não é preconceito, nem de ser mulher, nem de ser novo. Já tive programadora mulher excelente, a Lorena, lá de Belo Horizonte, fantástica. É que a gente bate o olho e percebe quando a pessoa está falando de uma coisa que não domina.
O que ela estava fazendo? Compartilhando um webhook no formato IP:porta/webhook, com IPv4 válido na internet, sem nenhum tipo de autenticação, sem nenhum tipo de firewall, sem nenhum tipo de nada. E mostrando o IP na tela. Olha o nível em que está.
Quando vem sobrinho no mercado, estrago vai ser feito a torto e a direito. Vão largar a porta aberta. E alguém vai ser chamado pra fechar.
A escada do risco: do dashboard local à API exposta
Eu não estou dizendo que ninguém pode usar IA pra fazer software. O risco depende de onde o código vai rodar e com o que ele conversa:
Degrau 1: o dashboard de 10 minutos. A pessoa faz no Claude Code e roda local, na máquina dela. É uma coisa.
Degrau 2: conectar no que já existe. Liga no CRM antigo, naquele banco de dados, no CSV. Aumenta um pouquinho o grau de perigo, mas ainda está rodando local.
Degrau 3: sistemas interconectados. REST API pra lá e pra cá, comunicação entre sistemas, e a pessoa sem a menor noção de segurança. Aqui mora o problema.
E olha que eu não estou falando de nada sofisticado. Nem de OAuth completo, nem de criar aplicação. Estou falando do mais básico que existe hoje, o que a OpenAI e essa galera usam: o bearer tokenzinho no cabeçalho. Quando a pessoa não tem noção nem de colocar isso, bem-vindo à era do sobrinho.
Fui conferir depois, em 21/10/2026: o uso do bearer token é padronizado na RFC 6750 (OAuth 2.0 Bearer Token Usage), e autenticação quebrada é o segundo item da lista de riscos de API da OWASP, o API2:2023 Broken Authentication. Não é invenção minha: é o básico documentado há anos, e o sobrinho pula.
Quem vai ganhar dinheiro com isso
Os devs ficaram bravos demais comigo quando eu falei do dev chinelinho (está em acabou pro dev chinelinho?). Então deixa eu dizer o outro lado: os devs não chinelinho vão rachar de ganhar dinheiro. Principalmente a galera focada em segurança. A era do sobrinho voltou pra enriquecer quem for trabalhar com segurança digital, quem for trabalhar consertando o estrago dos outros. Isso vai acontecer demais.
| O que o sobrinho faz com IA | O que o dev bom sabe e cobra pra arrumar |
|---|---|
| Expõe webhook em IP:porta | Autenticação, firewall, proxy na frente |
| API sem token nenhum | No mínimo bearer token, e quando precisa de mais |
| Liga ou desliga o proxy da Cloudflare no chute | Quando o DNS deve passar pelo proxy e quando não |
| Sobe tudo no load balancer da AWS | Quando isso vai arrebentar a conta |
| Deixa a ferramenta hospedar por ele | Onde o sistema roda e quanto custa por mês |
Antes de subir qualquer coisa feita com IA, o que eu confiro está em vibe coder: o que eu confiro antes de subir pra produção.
O que eu mando estudar
Você que é dev e ficou bravo comigo: estuda segurança, cara, não fica bravo não. Infraestrutura, segurança, arquitetura de software, essas maldades todas de comunicação HTTP:
- HTTP: como funciona de verdade, requisição, cabeçalho, autenticação.
- DNS: como funciona, proxy da Cloudflare ativo ou desativado, quando usar e quando não usar, quando o seu cliente deve contratar DNS em outro lugar.
- Proxy: qual proxy você vai pôr na frente, ou se não vai usar proxy.
- Custo de arquitetura: quando o load balancer da AWS vai dar bomba e te arrebentar.
O sobrinho não vai fazer a menor ideia disso que eu estou falando. Talvez você que está lendo também não. Então é hora de estudar, porque isso aí é o futuro. Se a sua casa já está aberta no IPv6 sem você saber, comece por o firewall do roteador que eu checo. E se você quer isso em profundidade, comigo, é o que eu levo pra Imersão de Infraestrutura.
On-premise vai crescer (e a GPU explica)
Tem mais um motivo pra estudar infraestrutura. O ambiente on-premise vai crescer absurdamente nos próximos anos, por causa do altíssimo custo de processamento de GPU e de inteligência artificial. O que estão cobrando pra alugar GPU é quase um roubo descarado. Comprando, você tem um payback de pouco tempo, um ano, menos de um ano. Lógico, depende da utilização da empresa: tudo tem que ser metrificado. Como eu fiz essa conta na minha operação está em migrei da nuvem pro on-premise.
E quem vai montar, proteger e operar esse ambiente não é o sobrinho.
Pro dev bom, vai ter trampo
Fica tranquilo. Você que é bom dev vai ter trampo. Você que é chinelinho está fora, pra mim chinelinho acabou. Mas você que quer estudar arquitetura, infraestrutura e segurança: o que vai sobrar de coisa mal feita pra você arrumar é mato, meu amigo. É mato.
Discorda? Concorda? Tem um caso parecido? Aqui não tem caixa de comentário de propósito: segunda-feira, ao meio-dia, eu faço live no canal e a gente conversa sobre isso ao vivo — sem corte, como sempre.
Ver as lives no canal @josimarjmv →Perguntas frequentes
O que é a era do sobrinho?
É a piada antiga do "meu sobrinho faz o site", que voltou com a IA. O sobrinho fazia as coisas sem conhecimento, de qualquer jeito, e depois era hora de ligar pro profissional pra resolver o problema que ele criou. Hoje, com uma IDE, um Cursor ou um Claude Code, qualquer um é candidato a sobrinho programador.
A IA vai acabar com o trabalho do programador?
Não pro dev bom. O dev chinelinho, pra mim, acabou. Mas quem estuda arquitetura, infraestrutura e segurança vai ter trampo de sobra, porque vai sobrar muita coisa mal feita pra arrumar. A era do sobrinho voltou pra enriquecer a galera que trabalha com segurança digital.
Qual o perigo de um webhook sem autenticação?
O caso que eu vi era um webhook no formato IP:porta/webhook, com IPv4 válido na internet, sem autenticação, sem firewall, sem nada. Qualquer um que descubra o endereço consegue chamar. Autenticação quebrada é o 2º item do OWASP API Security Top 10 2023 (API2:2023 Broken Authentication).
Quando um projeto feito com IA começa a ficar perigoso?
Um dashboard de 10 minutos rodando local na sua máquina é uma coisa. Conectar no CRM antigo, no banco de dados ou no CSV aumenta um pouco o grau de perigo, mas ainda está local. O perigo de verdade é quando você interconecta sistemas por REST API sem noção de segurança, sem nem um bearer token.
O que o dev precisa estudar pra não ficar pra trás?
Infraestrutura, segurança e arquitetura de software. Como funciona o HTTP, como funciona o DNS, quando ligar ou desligar o proxy da Cloudflare, quando o cliente deve contratar DNS em outro lugar, qual proxy usar na frente, e quando o load balancer da AWS vai te arrebentar na conta. O sobrinho não faz ideia disso.
O que é bearer token?
É o mínimo de autenticação de uma API hoje, o que a OpenAI e essa galera usam: um token enviado no cabeçalho Authorization de cada requisição. Conferi em 21/10/2026: o uso está padronizado na RFC 6750, do OAuth 2.0. Quem expõe API sem nem isso deixa a porta aberta.
Por que o on-premise vai crescer?
Pelo custo altíssimo de processamento de GPU e de inteligência artificial. O que estão cobrando pra alugar GPU é quase um roubo descarado. Comprando, o payback pode ficar em um ano ou menos, mas depende da utilização da empresa: tudo tem que ser metrificado.
Baseado na gravação do canal @josimarjmv publicada em 18/05/2026 (8min42s), com transcrição própria das legendas do próprio vídeo.
O que veio da gravação e o que é apuração minha, com as fontes
Da gravação: empresa desde os 18 anos; site, manutenção de informática, montagem, loja de informática e compras no Paraguai com 20 e poucos anos; impressora matricial e redes Wi-Fi; montar servidor com peça comprada no data center; a piada do "meu sobrinho faz" e o programador que arrumava o que o sobrinho fazia; a era dos papagaios digitais e a volta do sobrinho com IDE, Cursor e Claude Code; o Artifacts do Claude e sistemas parecidos como o Manus, com deploy automático, subdomínio e hospedagem, e a nuvem cara que vem embaixo; o dinheiro gasto no Manus num projeto; o vídeo da moça integrando chatbot com o Claude e compartilhando webhook em IP:porta/webhook com IPv4 válido, sem autenticação e sem firewall; a Lorena, programadora front de Belo Horizonte; a escada dashboard local → CRM/banco/CSV → REST APIs interconectadas; o bearer token como o mínimo; a lista de estudo (HTTP, DNS, proxy da Cloudflare, outro DNS, proxy na frente, load balancer da AWS); o on-premise crescendo pelo custo de GPU, com payback de um ano ou menos dependendo da utilização; o dev chinelinho que acabou e o dev bom que vai ter trampo.
Apuração minha (21/10/2026): o uso de bearer token em requisições HTTP é padronizado pela RFC 6750 (OAuth 2.0 Bearer Token Usage); autenticação quebrada é o risco API2:2023 Broken Authentication do OWASP API Security Top 10. Nota de cronologia: o relato é da gravação de 18/05/2026; "a semana em que eu gravei" se refere a maio de 2026.