Voltar para o Blog
IA e Tecnologia23 / 28
  1. •Alan Turing — o homem que perguntou se máquinas pensam (e nos deu como descobrir)
  2. •Andrej Karpathy — o engenheiro que ensinou o mundo a pensar em redes neurais
  3. •Andrew Ng — a IA como infraestrutura, não como espetáculo
  4. •Erik Schluntz e Barry Zhang — comece simples, e só dê agência ao sistema quando ela pagar
  5. •Sholto Douglas e Trenton Bricken — o que acontece por dentro do modelo, e por que isso decide se você pode confiar nele
  6. •Chip Huyen — arquitetar sistemas de IA confiáveis em produção
  7. •Scott Wu — o prodígio que apostou na autonomia total
  8. •Aman Sanger e Michael Truell — quando escrever software vira supervisionar agentes
  9. •Dario Amodei — A aposta de que IA poderosa e IA segura são a mesma coisa
  10. •Demis Hassabis — a inteligência como instrumento para resolver tudo o resto
  11. •Ethan Mollick — o professor que mandou todo mundo convidar a IA para a mesa
  12. •Geoffrey Hinton — o homem que ensinou as máquinas a aprender e depois pediu cautela
  13. •Hamel Husain & Eugene Yan — Da demo ao produto: por que avaliação é o trabalho
  14. •Fabio Cozman, Bruno Sanches e Daniel Avancini — o estado e os caminhos da IA brasileira
  15. •Ilya Sutskever — o homem que apostou na escala e agora aposta na segurança
  16. •Jack Clark — o repórter que virou a consciência política da fronteira da IA
  17. •Jason Liu & Riley Goodside — Texto que vira dado: prompting como engenharia
  18. •Harrison Chase e Lance Martin — orquestrar agentes sem perder o controle do contexto
  19. •Mira Murati — a engenheira de produto que colocou a IA na mão de todo mundo
  20. •Nathan Lambert — o tradutor do que acontece depois do treino
  21. •Noam Shazeer — o engenheiro que escreveu a arquitetura da IA que você usa
  22. •Sam Altman — O homem que apostou que a inteligência ficaria barata
  23. •Simon Willison — o engenheiro que pensa em voz alta sobre IA
  24. •Quinn Slack e Beyang Liu — o problema é o "big code"
  25. •Swyx (Shawn Wang) — o homem que deu um nome à nova profissão
  26. •Tyler Cowen — o economista que aprendeu a ler a IA antes de quase todo mundo
  27. •Yann LeCun — o pioneiro que diz "não" ao hype que ajudou a criar
  28. •Yoshua Bengio — o cientista mais citado do mundo que decidiu frear a própria área
PensadoresIA e TecnologiaParte 23 de 28

Simon Willison — o engenheiro que pensa em voz alta sobre IA

11 min de leitura
Compartilhar
Pensadores

"Quando falo em vibe coding, quero dizer construir software com um LLM sem revisar o código que ele escreve." (Simon Willison, Not all AI-assisted programming is vibe coding, simonwillison.net, 2025)

O essencial em 30 segundos

Se Ethan Mollick é o professor que mapeia onde a IA ajuda no trabalho, Simon Willison é o engenheiro que abre a máquina, mostra os fios e avisa onde dá choque. Co-criador do Django, criador do Datasette e da biblioteca LLM, Willison mantém desde 2002 um dos blogs técnicos mais influentes da internet — e desde 2022 virou uma das vozes mais confiáveis sobre o uso prático e os riscos de modelos de linguagem. Foi ele quem cunhou o termo "injeção de prompt" (prompt injection), formulou a "trífeca letal" que torna agentes de IA perigosos em produção, e ajudou a popularizar a expressão "vibe coding" — sempre com a mesma combinação rara: entusiasmo genuíno pela ferramenta e ceticismo implacável sobre suas garantias. Para quem coloca agentes de IA num produto que pessoas pagam para usar, Willison é leitura obrigatória de segurança.

Quem é

Simon Willison nasceu no Reino Unido em janeiro de 1981. Começou no desenvolvimento web por volta de 2000 e, durante um ano de estágio no jornal Lawrence Journal-World, em Lawrence, Kansas (2003–2004), participou da criação do Django ao lado de Adrian Holovaty, Jacob Kaplan-Moss e Wilson Miner. O Django — um framework web em Python nascido dentro de uma redação de jornal, sob a pressão de prazos jornalísticos — se tornou uma das infraestruturas mais usadas da web. Esse detalhe de origem importa: Willison aprendeu a programar resolvendo problemas reais sob deadline, não em abstrações de laboratório, e isso marca tudo o que ele escreve.

Depois do Django, co-fundou a Lanyrd (acelerada pela Y Combinator em 2010), vendida ao Eventbrite, onde ele chegou a diretor de engenharia. Tornou-se então desenvolvedor independente de código aberto. Criou o Datasette, ferramenta para explorar e publicar dados sobre SQLite, voltada sobretudo a jornalismo de dados. É membro do conselho da Python Software Foundation desde 2022.

Mas o que faz de Willison um pensador — e não só um engenheiro produtivo — é o hábito de "aprender em público". Há mais de duas décadas ele documenta no blog simonwillison.net o que está descobrindo, em tempo real, com uma honestidade técnica desarmante. Quando os LLMs explodiram, esse hábito virou ouro: enquanto o resto do mundo formava opinião pelo Twitter, Willison estava de fato rodando os modelos, quebrando-os, medindo, escrevendo. Em abril de 2023 lançou a biblioteca e ferramenta de linha de comando LLM, que permite rodar prompts pelo terminal contra modelos remotos ou locais. E em setembro de 2022 fez a contribuição que define sua relevância em segurança de IA: cunhou o termo "injeção de prompt".

A grande contribuição

A contribuição central de Willison é dupla, e as duas metades se equilibram.

A primeira é a linguagem da segurança de LLMs. Em setembro de 2022, partindo de uma demonstração inicial de Riley Goodside, Willison nomeou e formalizou a "injeção de prompt" — a vulnerabilidade em que instruções maliciosas escondidas no conteúdo que o modelo lê são executadas como se fossem comandos legítimos do desenvolvedor. Ele traçou o paralelo com a injeção de SQL, e o nome pegou no mundo todo. Dar nome a um problema é metade de resolvê-lo: antes de "injeção de prompt", a indústria nem tinha vocabulário para discutir o risco. Willison também insiste na distinção, frequentemente confundida, entre injeção de prompt e jailbreak — o jailbreak burla as travas do modelo; a injeção explora a incapacidade do modelo de separar instruções de sistema do conteúdo do usuário.

A segunda contribuição é a postura. Willison é a prova viva de que dá para ser, ao mesmo tempo, entusiasta e cético. Ele usa LLMs todos os dias, escreve sobre como eles tornam a programação mais acessível, defende a experimentação — e, na mesma semana, publica um aviso frio sobre por que você não deve dar a um agente acesso simultâneo aos seus dados privados, a conteúdo não confiável e à capacidade de comunicar-se com o exterior. Esse equilíbrio é o que falta na maior parte do debate.

As ideias-chave

Injeção de prompt (prompt injection)

A vulnerabilidade fundamental dos LLMs decorre da sua maior virtude. Nas palavras de Willison: "LLMs seguem instruções no conteúdo. É isso que os torna tão úteis... O problema é que eles não seguem apenas as nossas instruções." Quando você constrói uma aplicação que pega o e-mail de um cliente, ou uma página web, ou um documento, e o passa ao modelo, qualquer instrução escondida nesse texto pode sequestrar o comportamento do agente. Não é um bug que se conserta com um patch; é uma propriedade da arquitetura. Willison é categórico: "ainda não sabemos como impedir isso de acontecer de forma 100% confiável."

A trífeca letal (the lethal trifecta)

A formulação mais útil de Willison para quem opera agentes em produção. Um agente se torna perigoso quando combina três capacidades: acesso a dados privados, exposição a conteúdo não confiável (qualquer texto ou imagem que um atacante possa controlar) e a capacidade de comunicar-se com o exterior (de forma que possa exfiltrar dados). "Se o seu agente combina essas três funcionalidades, um atacante pode facilmente enganá-lo para acessar seus dados privados e enviá-los a esse atacante." A lição de design é direta: quebre a trífeca. Remova uma das três pernas e o ataque desmorona.

Vibe coding

Willison ajudou a precisar um termo que estava virando moda vazia. "Quando falo em vibe coding, quero dizer construir software com um LLM sem revisar o código que ele escreve." E ele é firme na fronteira: "Vibe coding não é a mesma coisa que escrever código com a ajuda de LLMs!" Programar com IA, revisando, testando e entendendo o que foi gerado, isso "é desenvolvimento de software". Vibe coding é deixar o modelo escrever e aceitar tudo sem ler os diffs — divertido para um projeto descartável de fim de semana, irresponsável para qualquer coisa com dados, dinheiro ou segurança em jogo.

A regra de ouro: você tem de saber explicar o código

A bússola ética e profissional de Willison para a era dos LLMs: "Não vou commitar nenhum código no meu repositório se eu não conseguir explicar exatamente o que ele faz para outra pessoa." É a versão de engenharia do "humano no circuito" de Mollick. A IA pode escrever, mas a responsabilidade não se delega. Se você não entende o que entrou no sistema, você não pode mantê-lo, depurá-lo nem responder por ele.

Aprender em público

Não é uma tese sobre IA, mas é o método que torna Willison confiável. Ao documentar publicamente cada experimento — incluindo os fracassos — ele constrói um corpo de evidências que qualquer pessoa pode verificar. Num campo afogado em hype e afirmações não testadas, "mostre o seu trabalho" é uma forma de integridade intelectual. E, de quebra, é a melhor estratégia de aprendizado: escrever para explicar força você a entender de verdade.

Em suas palavras

"Em setembro de 2022 cunhei o termo 'injeção de prompt' para descrever uma classe de ataques contra aplicações construídas sobre LLMs." (Simon Willison, ao longo da série sobre prompt-injection, simonwillison.net)

"LLMs seguem instruções no conteúdo. É isso que os torna tão úteis... O problema é que eles não seguem apenas as nossas instruções." (The lethal trifecta for AI agents, 2025)

"Se o seu agente combina essas três funcionalidades, um atacante pode facilmente enganá-lo para acessar seus dados privados e enviá-los a esse atacante." (The lethal trifecta for AI agents, 2025)

"Quando falo em vibe coding, quero dizer construir software com um LLM sem revisar o código que ele escreve." (Not all AI-assisted programming is vibe coding, 2025)

"Não vou commitar nenhum código no meu repositório se eu não conseguir explicar exatamente o que ele faz para outra pessoa." (Not all AI-assisted programming is vibe coding, 2025)

Limites e críticas

Willison escreve do ponto de vista do engenheiro individual e do desenvolvedor de código aberto. É um ponto de vista poderosíssimo para questões técnicas e de segurança, mas mais estreito quando o assunto é organização, estratégia ou política. Ele não oferece uma teoria do trabalho como Mollick, nem uma crítica econômica da concentração de poder em torno dos grandes modelos. Quem busca o "e daí?" estratégico — o que isso faz com mercados, empregos e poder — vai precisar de outras fontes.

Há também uma tensão honesta no próprio Willison, e ele a admite: defende o vibe coding como porta de entrada democratizadora para a programação e, ao mesmo tempo, alerta contra usá-lo em qualquer coisa que importe. Os dois conselhos coexistem, mas exigem maturidade de quem lê para não pegar só a metade conveniente. O entusiasta apressado ouve "vibe coding é incrível" e ignora o "não para nada com dados, dinheiro ou segurança".

Por fim, o próprio diagnóstico de segurança dele é deliberadamente desconfortável: a injeção de prompt não tem solução completa hoje. Isso é honesto, mas frustrante para quem precisa decidir agora se coloca um agente em produção. Willison não vende a falsa tranquilidade que muitos fornecedores oferecem — e essa recusa, embora correta, deixa o operador com a responsabilidade de gerenciar um risco que não se elimina, só se contém.

Como aplicar no seu dia a dia

Willison é o contrapeso de segurança de tudo o que Mollick anima a tentar. A regra mais útil é a trífeca letal — e ela muda diretamente o desenho de qualquer produto com agentes de IA.

Quando você desenha um agente que lê dados do cliente (acesso a dados privados), processa mensagens e documentos que vêm de fora (exposição a conteúdo não confiável) e pode disparar e-mails, chamar APIs ou gravar em sistemas externos (capacidade de comunicar-se com o exterior), está montando exatamente a bomba que Willison descreve. Transforme a regra em política de arquitetura: nenhum agente carrega as três pernas ao mesmo tempo sem um controle humano explícito entre elas. Se o agente precisa ler conteúdo de terceiros, ele não tem, no mesmo contexto, acesso irrestrito aos dados sensíveis e à saída para o mundo. Quebrar a trífeca é um critério de revisão de design tão obrigatório quanto testar fluxo de pagamento.

A regra de ouro — "não suba código que você não saiba explicar" — deve virar regra de cultura de engenharia no time. Use LLMs para acelerar o desenvolvimento, sim, mas mantenha o vibe coding restrito a protótipos descartáveis. Nada que toque dados de cliente entra em produção sem alguém capaz de explicar exatamente o que aquele código faz. É a forma de evitar dívida técnica invisível disfarçada de produtividade.

Na hora de comprar tecnologia de terceiros, a lição de Willison aparece de outra forma: ceticismo sobre garantias. Quando um fornecedor promete uma integração "segura" de IA que conversa com sistema financeiro ou com dados de clientes, a primeira pergunta a fazer é a de Willison: onde estão as três pernas da trífeca? Há conteúdo não confiável entrando? Há caminho de exfiltração? Se a resposta é vaga, a integração espera. Mollick dá coragem para experimentar; Willison dá a disciplina para não experimentar com a porta dos fundos aberta.

Para ir além

Comece por: o blog simonwillison.net, especialmente a tag prompt-injection e o ensaio The lethal trifecta for AI agents (2025). São curtos, diretos e mudam imediatamente como você pensa sobre agentes. Leia também Not all AI-assisted programming is vibe coding para calibrar o que é uso responsável de LLM em código.

Depois: instale e brinque com a ferramenta LLM (a CLI dele) e com o Datasette — entender as ferramentas que Willison construiu ensina o jeito de pensar dele sobre dados e modelos. Ouça as entrevistas em podcast (Software Misadventures, Generationship, Django Chat) para a história do Django e a origem de "injeção de prompt" na própria voz dele.

Avançado: acompanhe o blog de forma contínua — Willison é melhor lido como fluxo do que como obra fechada. Cruze o material de segurança dele com as diretrizes da OWASP para aplicações LLM e estude casos reais de injeção de prompt em navegadores com IA e agentes, que se multiplicaram. É a leitura que separa quem coloca agentes em produção com responsabilidade de quem coloca e reza.

Conexões no vault

  • IA e Tecnologia — área-mãe deste estudo
  • ethan-mollick — o par complementar: Mollick mapeia onde a IA ajuda; Willison ensina a não ser roubado ao colocá-la em produção
  • co-intelligence-mollick — para o lado "uso pragmático" da equação, ler junto com a segurança de Willison
  • Ponte com Gestão de Colabs (SaaS B2B) — a trífeca letal como critério de revisão de design de qualquer agente que vá para produção
  • Ponte com Estratégia e Capital — ceticismo de Willison aplicado à due diligence de fornecedores de IA: onde estão as três pernas do risco?

Curtiu como a gente pensa?

É assim que trabalhamos todo dia.

Se esse jeito de pensar é o seu, vem construir com a gente — dá uma olhada nas vagas abertas.

Ver vagas