No dia 22 de agosto eu palestrei no AWS Community Day Brasil, edição Sudeste, em Belo Horizonte, falando sobre segurança na era do desenvolvimento com IA, com Kiro e AWS Security Agent na prática. Trinta minutos no palco principal, e o que ficou comigo depois foi a plateia.
O AWS Security Agent quase ninguém na sala conhecia. O Kiro, que já tem bem mais tempo de estrada e bem mais barulho em volta, menos da metade das pessoas conhecia de fato. Aqui eu falo de conhecer, de saber o que a ferramenta faz, porque quem já usa em produção seria um número bem menor. Isso numa sala de Community Day, com gente que tirou o sábado pra falar de AWS.
A leitura fácil aí é dizer que a comunidade está atrasada, e eu acho que é o contrário. A adoção dessas duas ferramentas está no comecinho, então quem senta pra estudar agora consegue uma vantagem de tempo que quase nunca aparece num assunto que já tem tanta gente falando.
O assunto do corredor mudou
O intervalo rendeu tanto quanto o palco.
Quem frequenta Community Day há alguns anos sabe qual era a conversa padrão de corredor, que era adoção de nuvem: quem já tinha migrado, quem estava no meio do caminho, quem ainda estava tentando convencer a diretoria a sair do data center. Era esse assunto que se repetia de roda em roda, com variações.
Em BH o papo era outro, e foi consistente com quase todo mundo com quem eu falei, palestrante ou participante. As pessoas estavam contando como a IA está acelerando o resultado dentro da empresa delas, o que mudou de verdade no fluxo do time, e principalmente onde a coisa emperra. Migração para a nuvem virou pressuposto, ninguém gasta mais um café discutindo isso.
E essa conversa desemboca sempre no mesmo lugar, que era justamente o tema que eu tinha levado pro palco. As pessoas conseguem gerar muito mais código, muito mais rápido, e não conseguem dizer com segurança o que foi que entrou no repositório. Segurança continua sendo a maior preocupação diante da velocidade que a IA deu para os times, e isso apareceu tanto nas perguntas depois da talk quanto nas conversas de café.
O paradoxo que eu levei pro palco
O número que abre a minha apresentação é esse: times que adotam IA no desenvolvimento fazem cerca de 4 vezes mais commits e chegam a 10 vezes mais achados de segurança no código.
A IA escreve muito mais código no mesmo prazo, enquanto a esteira de revisão continua exatamente do tamanho que era antes. A fila de vulnerabilidade não se resolve sozinha, ela reinicia a cada ciclo, e é isso que faz o time sentir que corre mais e entrega com menos confiança.
Antes que alguém pense que dá pra resolver isso trocando por um modelo maior, o levantamento da Veracode aponta que 45% do código gerado por IA ainda sai vulnerável. O gargalo está em ninguém ter colocado um portão de segurança que acompanhe a nova velocidade.
Foi aí que entrou a parte prática da talk. O Kiro trabalha a partir de uma spec em vez de adivinhar a próxima linha, e dá pra colocar as regras de segurança da sua empresa dentro do próprio steering, de modo que o padrão vira contexto do agente em vez de virar comentário de code review depois que o estrago já está feito. O AWS Security Agent cuida do outro lado, entendendo o contexto da aplicação inteira antes de apontar problema, com code review, threat model no modelo STRIDE e pentest sob demanda dentro da sua própria conta AWS.
O que eu levei de volta pra casa
Quase toda empresa hoje já tem alguém usando IA, quase sempre por iniciativa individual, cada pessoa com a sua ferramenta, sem padrão nenhum e sem ninguém conseguindo apontar o que aquilo mudou na entrega. Isso cria uma sensação ruim, porque parece que o assunto está resolvido enquanto o risco cresce e o ganho não aparece em canto nenhum.
O que move o ponteiro de uma empresa é o time inteiro trabalhando com IA dentro da própria conta AWS, com infraestrutura como código gerada de verdade, ambiente subindo em horas e automação que estava parada há dois anos finalmente saindo do papel. Isso exige padrão e alguém puxando a conversa dentro de casa, que é bem diferente de liberar uma licença por pessoa e esperar o resultado aparecer.
Por causa disso eu voltei de BH e montei uma coisa que não estava no meu planejamento: uma hora de conversa gratuita, comigo, pra quem quiser olhar como a IA está entrando na sua empresa hoje e se Kiro e AWS Security Agent fazem sentido no seu caso. É um bate-papo técnico sobre o seu cenário, e no fim eu te mando um resumo por e-mail com o que eu recomendaria fazer nos próximos 30 dias.
Se isso te interessa, os detalhes e os horários estão em cloudfaster.com.br/diagnostico-ia-com-kiro.
Fica o meu obrigado à organização do Community Day Sudeste pelo convite e pela condução do evento. Essa talk ainda tem duas paradas neste ano, Curitiba em setembro e Belém em outubro, então se você não estava em BH ainda dá tempo. 🚀