AI-DLC · o método da LEVELHARD
O ciclo que usamos para construir software com IA, explicado para quem não é da área.
Seis estações, um agente de IA trabalhando em cada uma e uma pessoa aprovando cada passagem. Nada sai sem prova. Aqui está o ciclo inteiro, os apps que saíram dele e de onde tiramos cada ideia.
Escrever código ficou barato: a IA já escreve boa parte dele. Só que escrever código sempre foi a menor parte do trabalho. O que continua caro é saber o que construir, conferir se funciona, colocar no ar e ouvir quem usa. Um método que só acelera o código deixa todo o resto do mesmo tamanho.
O bloco do código encolheu. Os outros continuam do mesmo tamanho, e quase ninguém mede o último.
Dar uma batedeira industrial a uma confeitaria não adianta se ninguém sabe qual bolo o cliente quer, nem prova a massa antes de entregar.
do código novo do Google já é gerado por IA e aprovado por engenheiros
Google 2026 (abre em nova aba)do tempo de um desenvolvedor vai para escrever código
Atlassian 2025 (abre em nova aba)dos profissionais de tecnologia já usam IA no trabalho
DORA 2025 (abre em nova aba)mais lentos, num estudo de 2025, estavam os devs que se achavam 20% mais rápidos
METR 2025 (abre em nova aba)A IA amplifica o que já existe, o bom e o ruim. E a sensação engana: em 2026 o mesmo estudo viu sinal de ganho, ainda com evidência fraca. Só vale o que foi medido. DORA 2025 (abre em nova aba)METR 2026 (abre em nova aba)
A IA faz.
Um agente de IA, um programa que trabalha sozinho, age em cada etapa: pesquisa, escreve, testa, prepara.
A pessoa decide.
Entre uma etapa e outra, alguém aprova. O agente propõe; quem aperta o botão é gente.
A máquina confere.
Antes de dizer "pronto", uma trava automática confere a prova. Faltou, não passa.
Guarde estes sinais. Eles aparecem em todos os desenhos daqui para baixo.
Seis estações em volta de um anel. O fim de uma volta é o começo da próxima. Para ficar concreto, vamos acompanhar um app de verdade dando a volta inteira: o Placarito, um placar para truco, vôlei e outros jogos.
São duas rodas. A grande é esta, o ciclo do produto, que gira no ritmo de quem usa: dias e semanas. A pequena gira dentro da estação Construir, no ritmo da IA: horas.
Ouvir antes de construir.
sinais.md uma lista de hipóteses, com número e linkParece comO restaurante que lê as reclamações do concorrente antes de montar o cardápio.
A planta antes da obra.
intent.md · spec.md intenção e especificação, guardadas com históricoParece comA planta do arquiteto, aprovada antes de levantar a primeira parede.
Obra em etapas curtas, com fiscal em cada uma.
commit → spec código testado, com a prova juntoParece comA obra por etapas, com o fiscal passando em cada laje antes da próxima.
A esteira até a vitrine, e a mão no botão.
store.config.json o app enviado para a revisão da lojaParece comA loja embala e confere a encomenda. Quem abre a porta é o dono.
O termômetro fica ligado depois da entrega.
painel do ciclo um painel com dataParece comO médico que acompanha o paciente depois da alta.
O fim vira começo.
o próximo intent.md a intenção da próxima voltaParece comO caderno de receitas que muda com o que o cliente pediu na semana.
Nem todo agente pode tudo. A autonomia sobe por degrau, e subir de degrau é uma decisão escrita num arquivo, não no calor de uma conversa.
Só lê. Não muda nada.
Recomenda. A pessoa executa.
Propõe, a pessoa aprova, o agente executa.
Executa sozinho, e a pessoa pode desligar a qualquer momento.
Tudo o que vai para a loja ou para o ar fica no terceiro degrau.
O agente nunca apertaEnviar
É como o carro: o que só avisa que você saiu da faixa, o que corrige a direção, o que dirige com você de olho. Ninguém entrega o volante inteiro no primeiro dia.
O Gartner recomenda exatamente isso, governança de agentes em quatro níveis, e prevê que 40% das empresas vão rebaixar ou desligar agentes até 2027 por falta dela. Gartner 2026 (abre em nova aba)SAE J3016 (abre em nova aba)
Quando o agente diz "terminei", uma trava automática confere a lista daquela tecnologia. Faltou prova, a porta não abre.
A lista de um app de iPhone
pronto
É o checklist do piloto antes de decolar, e o cordão da fábrica da Toyota que qualquer pessoa pode puxar para parar a linha. Aqui, quem puxa é a própria máquina. Gawande 2009 (abre em nova aba)Toyota (abre em nova aba)
Uma versão de um dos nossos apps foi para a loja sem três arquivos que não moravam junto com o código, e abriu quebrada para quem baixou. O conserto não ficou só no app: a publicação agora confere o conteúdo do pacote e se recusa a enviar sem eles.
Uma trava que prende sempre acaba desligada na primeira semana. Por isso esta desiste depois de três recusas seguidas e vira aviso. E cada decisão dela fica registrada num arquivo que sobrevive à conversa, com a versão das regras que autorizou a entrega.
Quando a IA escreve mais código, mais rápido, sobra mais lugar para uma falha passar despercebida. Por isso a segurança não é uma etapa no fim, antes de publicar: ela aparece nas seis estações. E quem faz os testes é uma ferramenta nossa, de código aberto: o RoqueShield.
A pergunta que guia tudo
Zero falhas encontradas quer dizer que está limpo, ou que o teste nem rodou?
Um scanner quebrado e um sistema limpo mostram a mesma tela: zero achados. O RoqueShield nasceu para separar os dois. Scanner que não conseguiu verificar entra no relatório como pulado, e a cobertura aparece incompleta. Nunca vira um zero calado.
É o detector de fumaça sem bateria: fica quieto igualzinho ao que está funcionando.
Sentir
Oportunidade que obrigaria a guardar dado de alguém num servidor nosso reprova antes de virar projeto.
Decidir
A especificação decide o que não vai existir: sem conta, sem servidor, dado só no aparelho. O que não existe não vaza.
Construir
Toda mudança passa pela varredura do RoqueShield antes do "pronto". Peça de terceiro com falha conhecida e correção publicada não passa, e pacote novo é conferido: existe, tem dono, não é nome de impostor.
Publicar
Senha e chave nunca vão dentro do app. As credenciais da loja entram por um cofre, sem aparecer na tela nem no histórico da conversa.
Medir
O que está no ar pode ser testado por fora, do jeito que um atacante veria: a aplicação rodando, a rede e o que o domínio deixa aparecer na internet.
Evoluir
Cada falha vira um pacote de conserto que o agente lê: arquivo, linha e como corrigir. O conserto só vale quando a varredura seguinte não acha mais a falha, com todos os scanners rodando.
Teste de segurança contínuo que se recusa a ficar calado.
O que ele faz, em cinco passos
Varre
Roda a ferramenta certa para cada tipo de alvo: código, dependência, aplicação no ar, rede.
Junta
O mesmo problema achado por duas ferramentas vira um só, com a gravidade maior.
Tria
Uma IA reordena a gravidade, marca o provável alarme falso e sugere o conserto, lendo a evidência já sem dado pessoal.
Confirma
Sob demanda, um agente tenta provar um achado de verdade, num ambiente de ataque controlado.
Entrega
Um pacote de conserto que outro agente lê e transforma em correção. Depois, varre de novo.
Os tipos de teste
O código parado
Semgrep
Senha esquecida no código
Gitleaks · Trufflehog
Peça de terceiro com falha conhecida
Trivy
Configuração de nuvem
Checkov
A aplicação rodando
OWASP ZAP · Nuclei
A rede
Nmap · Greenbone
O que aparece na internet
Shodan · subdomínios · domínios parecidos · vazamento no GitHub
O agente que confirma um achado roda ferramenta de ataque de verdade, então o limite dele não é uma frase no prompt. É código conferido antes de cada comando: lista do que pode rodar em cada fase, alvo validado, sem shell, tempo máximo, e modo de laboratório ligado de fábrica. Toda decisão, inclusive toda recusa, fica na trilha de auditoria.
Dado pessoal e de cartão é apagado da evidência antes de qualquer IA ler. Com modelo local e a nuvem desligada, se o modelo local falha o teste falha, em vez de mandar o achado para fora.
Código aberto, licença Apache 2.0. Está em alfa, e o que ainda não está pronto está escrito no próprio README.
15 scanners atrás de um contrato só · 302 testes automáticos · varredura na lista de aceite de 11 das 11 tecnologias da família · medido em 23/09/2026
O cuidado não é teórico. Num estudo com 576 mil amostras de código gerado por IA, os modelos abertos citaram em média 21,7% de pacotes que não existem, e os comerciais, pelo menos 5,2%. Quem registra um desses nomes primeiro entra no projeto de quem confiou. USENIX 2025 (abre em nova aba)
Custo não aparece na fatura por acaso: ele é decidido na planta. Por isso a arquitetura é escolhida na estação Decidir, com o custo de operar na mesa, e cada estação cuida do que gasta, inclusive da própria IA.
O servidor mais barato é o que não existe.
Os apps novos nascem sem conta, sem servidor e com o processamento no aparelho, inclusive a IA. Não existe conta de nuvem que cresce com o número de usuários, e o dado pessoal fica fora do nosso alcance por desenho: custo e segurança saem da mesma decisão.
É o que a FinOps Foundation pede: todo mundo é dono do que usa, e o valor para o negócio decide a tecnologia. E é a definição da AWS para uma carga otimizada: o resultado no menor preço que ainda cumpre os requisitos. FinOps (abre em nova aba)AWS 2024 (abre em nova aba)
Sentir
Oportunidade que só funciona com servidor, sincronização entre aparelhos ou IA que roda só na nuvem reprova antes de virar projeto.
Decidir
A arquitetura é escolhida aqui: três desenhos competem, e o conselheiro caro é chamado para a decisão, conferindo no mapa o que mais muda.
Construir
Cada tarefa usa o modelo do tamanho dela, e o que dá para conferir com um programa comum não gasta IA nenhuma.
Publicar
A lista de conferência roda na máquina, antes do envio, em vez de numa esteira paga na nuvem. E este site é estático: não tem servidor para pagar nem para cair.
Medir
O custo é medido como qualquer indicador. Quanto contexto o kit carrega em toda sessão é medido antes de fechar cada versão dele.
Evoluir
O que custa mais do que devolve é desligado com o número na mão. Foi assim com a esteira paga e com os processos de muitos agentes.
Três desenhos antes de um.
Quando há mais de um caminho, três projetos independentes competem, e o vencedor leva os melhores pedaços dos outros. A primeira ideia ancora as seguintes; o painel desfaz a âncora.
O modelo caro só na hora cara.
Três papéis, três preços: um modelo barato varre, um médio constrói o dia inteiro, e o mais caro só é chamado para arquitetura, ação sem volta ou trava que falhou duas vezes.
Programa antes de IA.
As 12 travas automáticas e as listas de conferência rodam como programa comum: custo zero de IA e resposta em milissegundos.
Medir antes de cortar.
A esteira de integração paga foi desligada depois de medida: reprovava sempre, pelo motivo errado. Os 7 processos de muitos agentes ficam parados, porque uma execução custa mais que um dia inteiro de trabalho.
Nada disso mora na cabeça de ninguém. Mora num plugin, um pacote que qualquer sessão de IA carrega ao abrir, e que leva a regra aprendida num app para todos os outros.
O que já foi decidido e não se reabre, e o vocabulário de cada produto.
O passo a passo do que se repete: testar no simulador, montar a página da loja, medir o impacto de uma mudança.
Um para cada tecnologia, olhando só o que mudou.
Disparam sozinhas: segredo vazando, publicação por fora do caminho, fim sem prova, texto com cara de IA.
O critério de aceite de cada tecnologia, escrito para a máquina executar.
Processos inteiros com vários agentes. Ficam desligados por custo, e só rodam quando alguém libera.
Sinal das lojas, mapa de dependências, cofre de segredos, painel do ciclo.
34 peças ligadas por 45 dependências. Antes de mexer numa delas, o mapa diz o que mais precisa mudar, e em que ordem.
O mesmo método roda com o Claude, pelo plugin no Claude Code e no Cowork, e com o Codex, pelo arquivo de instruções que ele lê. Não depende de fornecedor.
contado do disco em 23/09/2026 · kit 2.18.1 · desde 18/07/2026
A fábrica de apps passou a rodar o ciclo inteiro em 10/09/2026. O que está abaixo vem direto da App Store e do histórico do código.
Placar para truco, vôlei e outros jogos, sem anúncio no meio da partida.
"As propagandas não fecham. Impossível usar o App." (avaliação de uma estrela de um marcador de truco com 10 mil avaliações)
QR code com estilo, inclusive Pix, feito no próprio iPhone.
"Absurda a quantidade de propaganda ou $$ para algo tão simples." (avaliação do gerador de QR que liderava a busca da App Store)
A Apple recusou uma vez porque a descrição citava outra loja. Corrigido no dia seguinte.
Checklist de mala que roda inteira no aparelho, com assistente local.
A escolha do fundador para testar o ciclo inteiro num app simples. Depois, nove voltas puxadas pelo uso dele.
Diário alimentar que roda inteiro no iPhone, com a tabela brasileira de alimentos.
Anúncio e assinatura são as duas maiores reclamações em 50 mil avaliações de apps de dieta, e o app brasileiro mais conhecido está parado desde 2024.
Organizador de encontros pequenos: tarefas, compras e roteiro do anfitrião.
Os apps de convite cuidam de quem é convidado. Faltava cuidar de quem organiza.
Guia e rotina para quem deixa o pet com alguém, que o cuidador lê sem instalar nada.
Quem viaja precisa passar rotina, remédio e contatos do pet num guia claro, sem cadastro.
o histórico do código começa depois do trabalho
Abrir na App StoreChegar à loja é metade do ciclo. A outra metade é gente usando, e ela está começando agora: os 6 apps somam 0 avaliações até 23/09/2026. Ainda não dá para dizer se acertamos.
O mesmo fluxo também atualiza apps que já estavam na loja, como o Cadentia e o Letreo.
O ciclo é a soma de ideias públicas, algumas com décadas. O que fizemos foi montar a versão que roda, com trava, e publicar o que saiu dela.
O ciclo começa no que o usuário diz, não no pedido de alguém.
Pronto só com prova, e quem cobra a prova é uma trava automática.
A autonomia de cada agente é um dado escrito, não uma conversa.
Uma caixa de ferramentas só para todos os produtos, com mais de um agente de IA.
O resultado está publicado, com data.
O ciclo de mercado dos apps novos ainda não fechou. Com tão poucas avaliações, não dá para dizer se acertamos.
Simulador dá falsa confiança. Uma IA que respondia bem no computador disse "modelo não pronto" no iPhone de verdade.
Tentamos rodar tudo num modelo de IA local, na nossa máquina. Não deu: hoje ele serve de ferramenta numa etapa, não de motor do ciclo.
Liberação gradual por grupo, teste A/B e métrica de retenção ficam de fora. Os apps novos não coletam dados de uso, por decisão.
O RoqueShield está em alfa. O agente que confirma um achado e a coleira dele funcionam e têm teste; o contêiner que empacota esse agente ainda não vem pronto, e o README dele diz isso.
O custo ainda não tem painel por app. O que medimos hoje é o contexto que o kit carrega em toda sessão e o que foi desligado por custo.
Aqui, não. Ela executa. A pessoa decide o que construir, aprova cada passagem e aperta o botão final.
Os apps novos levaram de 2 a 8 dias do primeiro commit à App Store, contando a revisão da Apple.
O esqueleto é público, e as fontes estão logo abaixo. O que a LEVELHARD mostra aqui é a versão que roda, com as travas e os números.
Funciona. Este site foi feito assim, em rodadas com teste, print conferido e publicação só com ordem.
Cada número de fora vem de uma fonte primária, conferida em 23/09/2026. Quando é número de fornecedor, está dito.
Não acreditamos em IA de slide.Acreditamos na que roda.
Os apps estão nas lojas e a conversa está aberta: IA no ciclo de desenvolvimento, um produto para construir junto, ou só curiosidade sobre como isso é feito.