Vibe Coding Er Død — Og Din Startup Har Sandsynligvis Leveret en Sikkerhedskatastrofe

Andrej Karpathy — OpenAI medstifter og tidligere Tesla AI-leder — opfandt "vibe coding" i februar 2025, og beskrev en udviklingsstil hvor man "giver sig fuldt hen til stemningen" og accepterer AI-genereret kode uden nødvendigvis at forstå hver linje. Collins Dictionary udnævnte det til Årets Ord for 2025. Værktøjerne eksploderede: Cursor, Replit, Bolt, Lovable og Claude Code tiltrak milliarder i venturekapital. GitHub rapporterede, at 46% af al ny kode, der committes i dag, er AI-genereret. I Y Combinator's Winter 2025 batch havde 25% af startups kodebaser, der var 95% eller mere AI-genereret. Stemningen var perfekt.

Fjorten måneder senere er tømmermændene ankommet. Og Karpathy selv erklærede vibe coding forældet — ikke fordi værktøjerne ikke virker, men fordi branchen flyttede til noget bedre og sværere: agentisk engineering, hvor udviklere orkestrerer AI-agenter i stedet for blindt at acceptere deres output. Dataene forklarer, hvorfor skiftet var nødvendigt.

Sikkerhedstallene Ingen Vil Tale Om

Dataene om AI-genereret kodesikkerhed er entydige og alarmerende. Sikkerhedsfirmaet Tenzai byggede 15 identiske applikationer ved hjælp af fem populære vibe coding værktøjer — Claude Code, OpenAI Codex, Cursor, Replit og Devin. Resultatet: 69 sårbarheder på tværs af disse applikationer. Seks var kritiske — hvilket betyder, at de kunne udnyttes til at få uautoriseret adgang, stjæle data eller tage kontrol over systemer. Dette var ikke test af obskure edge cases; disse var standard webapplikationer bygget med standard prompts.

Bredere studier bekræfter mønsteret. Mellem 40% og 62% af AI-genereret kode indeholder sikkerhedsfejl, afhængigt af studiet og værktøjet. AI formår ikke at beskytte mod cross-site scripting (XSS) 86% af tiden — en af de mest grundlæggende og velforståede websårbarheder. AI-forfattede pull requests viser 2,74 gange højere sikkerhedssårbarheds rater end menneske-skrevet kode. Alene i marts 2026 blev 35 nye CVE'er (Common Vulnerabilities and Exposures) direkte tilskrevet AI-genereret kode — op fra 6 i januar. Trendlinjen accelererer, efterhånden som mere AI-genereret kode når produktionen.

Amazon-hændelsen krystalliserede problemet for virksomhedsaudiences. Ifølge Financial Times var et Amazon service nedbrud i december forårsaget af en AI-kodnings bot. Virksomheden oplevede efterfølgende fire kritiske hændelser på en enkelt uge. Et internt Amazon memo anerkendte, at sikkerhedsforanstaltninger "endnu ikke er fuldt etableret" — en bemærkelsesværdig indrømmelse for en af verdens mest sofistikerede engineering organisationer. Amazon kræver nu, at senior ingeniører godkender alle AI-assisterede kodeændringer lavet af junior og mellemliggende ingeniører. Virksomheden, der var pioner inden for cloud computing i stor skala, blev tvunget til at tilføje menneskelige gatekeepere specifikt fordi AI-kode ikke kunne stoles på.

Kodekvalitets målinger fortæller den samme historie fra en anden vinkel. Code churn — hastigheden hvormed kode skrives, committes og derefter omskrives — er steget 41%. Kodeduplikering er steget fire gange. Den omhyggelige refaktorering, der holder kodebaser sunde over tid, er kollapset fra 25% af ændrede linjer i 2021 til under 10% i 2024. Et akademisk papir fra januar 2026 argumenterede for, at vibe coding "stille og roligt dræber open source" ved at reducere udviklerengagement med de vedligeholdere, der holder kritisk infrastruktur kørende. Når udviklere stopper med at læse kode, fordi AI genererer det, stopper de også med at bidrage til de fællesskabsprojekter, som deres kode afhænger af.

Hvorfor Hastighed Uden Forståelse Skaber Tidsindstillede Bomber

Det grundlæggende problem med vibe coding er ikke, at AI genererer dårlig kode — det er, at udviklere sender kode afsted, som de ikke forstår. Når et menneske skriver en sårbarhed, forstår mennesket den omgivende kode godt nok til at finde og rette problemet under debugging. Når AI genererer en sårbarhed, kan udvikleren, der promptede det, ofte ikke identificere problemet, fordi de aldrig forstod kodens logik i første omgang. Fejlen bliver en sort boks inde i en sort boks.

Dette skaber sammensat teknisk gæld. Hvert stykke AI-genereret kode, som udvikleren ikke fuldt forstår, tilføjer endnu et uigennemsigtigt lag til systemet. Når disse lag interagerer — og det gør de altid, til sidst — er de resulterende fejl ekstraordinært svære at diagnosticere, fordi ingen på teamet har en mental model af, hvordan systemet faktisk virker. De ved kun, hvad de fortalte AI'en, de ville have. Kløften mellem hensigt og implementering vokser stille, indtil produktionen fejler på måder, ingen kan forklare.

Credit burn problemet gør dette værre. En analyse fra app builder fællesskaber fandt, at Lovable brugere brændte 400 credits alene på fejlretning — hvilket betyder, at de brugte betydelige ressourcer på at rette kode, som AI'en genererede forkert, ved at bruge den samme AI til at forsøge rettelser og generere nye problemer i processen. Denne cyklus — generer, opdager fejl, prompt AI til at rette, introducerer ny fejl, gentag — er den mørke side af AI-assisteret udvikling. Hver runde brænder credits eller compute tid, og kodebasen akkumulerer lag af patches oven på patches, som intet menneske har gennemgået holistisk.

Hvad Der Erstattede Vibe Coding (Og Hvad Der Faktisk Virker)

Branchen delte sig i begyndelsen af 2026 langs en forudsigelig linje: erfarne udviklere, der brugte AI-værktøjer, så ægte produktivitetsgevinster på 10-30%, mens uerfarne udviklere, der brugte de samme værktøjer, producerede mere output med dårligere kvalitet. Forskellen er ikke værktøjet — det er, om mennesket forstår, hvad AI'en genererer.

Erfarne ingeniører bruger AI-kodnings værktøjer som acceleratorer til velforståede mønstre: CRUD operationer, API integrationer, dataformatering, utility funktioner, boilerplate. De gennemgår outputtet, forstår dets implikationer og fanger sikkerhedsproblemer før commit. AI'en sparer tid på implementering; mennesket giver dømmekraft, arkitektur og kvalitetssikring. Dette er, hvad Karpathy nu kalder "agentisk engineering" — orkestrering af AI-agenter i stedet for ukritisk accept af deres output. 10-30% produktivitetsforbedringen for ordentligt styret AI-kodning er reel og bæredygtig.

Ikke-udviklere, der forsøgte at bygge produktionssoftware gennem ren prompting — det oprindelige vibe coding løfte — ramte vedligeholdelsesmure inden for uger. Reddit data fra builder fællesskaber viser et "omvendt migrations" mønster: brugere, der forlod no-code platforme for AI-kodnings værktøjer, vendte tilbage til visuelle builders efter at have oplevet vedligeholdelsesbyrden af AI-genereret kode. Platformene, der kombinerer AI-assistance med struktureret visuel bygning, fremstår som den pragmatiske mellemvej for ikke-udviklere.

For udviklere er den praktiske konklusion klar: AI-kodnings værktøjer er transformative, når de parres med engineering dømmekraft. De er katastrofale, når de bruges som erstatning for engineering dømmekraft. Den eneste AI-færdighed der betyder noget gælder her lige så meget som andre steder: evnen til at evaluere AI-output og udøve dømmekraft om, hvorvidt det er korrekt, sikkert og passende til produktion. Den gratis Prompt Optimizer hjælper med at skrive mere specifikke kodnings prompts, der producerer bedre første-forsøgs output og reducerer iterationscyklusserne, der sammensætter kvalitetsproblemer. For et-klik optimering inde i ChatGPT, Claude og Gemini bringer TresPrompt det direkte til dit workflow.

Ofte Stillede Spørgsmål

Er vibe coding altid dårligt?

Nej — det er dårligt for produktionssystemer. Til prototyping, udforskning af ideer og læring er det at beskrive, hvad man vil have, og se AI generere det, genuint nyttigt. Problemet er, når prototyping kode sendes til produktion uden gennemgang, sikkerhedstest eller menneskelig forståelse af dens logik. Vibe coding som udforskning er fint. Vibe coding som engineering er farligt.

Er Claude Code en del af vibe coding problemet?

Claude Code kan, ligesom ethvert AI-kodnings værktøj, bruges ansvarligt eller uansvarligt. Det, der adskiller Claude Code fra rene vibe coding værktøjer, er dets agentiske workflow — det kører tests, analyserer fejl og itererer på løsninger i stedet for bare at generere kode én gang. Men selv Claude Code output bør gennemgås af en udvikler, der forstår kodebasen. Værktøjet assisterer engineering; det erstatter det ikke.

Skal jeg stoppe med at bruge AI-kodnings værktøjer?

Absolut ikke — produktivitetsgevinsterne er reelle for erfarne udviklere. Det korrekte svar er styring, ikke afholdenhed. Gennemgå AI-genereret kode før commit. Kør sikkerhedsscans på AI-output. Forstå logikken i det, AI'en genererer, især til autentificering, autorisation og datahåndtering. Brug AI til de 80% af koden, der følger standardmønstre, og skriv de kritiske 20% selv.

Hvordan gør jeg AI-genereret kode mere sikker?

Tre praksisser: (1) Inkluder sikkerhedskrav i dine prompts — "sikr input validering på alle brugervendte felter, brug parameteriserede forespørgsler til database adgang, implementer CSRF beskyttelse." Specifikke sikkerhedsinstruktioner producerer mere sikker kode. (2) Kør automatiserede sikkerhedsscannere (Snyk, SonarQube, Semgrep) på al AI-genereret kode før commit. (3) Kræv menneskelig kodegennemgang for enhver AI-genereret kode, der rører autentificering, autorisation, betalingsbehandling eller personlig datahåndtering.

Hvad er forskellen mellem vibe coding og agentisk engineering?

Vibe coding: beskriv hvad du vil have → accepter hvad end AI'en genererer → send det afsted. Agentisk engineering: definer opgaven → AI genererer en løsning → AI kører tests → AI identificerer fejl → AI itererer → mennesket gennemgår resultatet → mennesket godkender eller omdirigerer. Forskellen er feedback loopet og menneskelig overvågning. Agentisk engineering bruger AI som samarbejdspartner; vibe coding bruger AI som erstatning.

Oplysning: Nogle links i denne artikel er affiliate links. Vi anbefaler kun værktøjer, vi personligt har testet og bruger regelmæssigt. Se vores fulde oplysningspolitik.