Vibe Coding Jest Martwe — A Twój Startup Prawdopodobnie Wypuścił Katastrofę Bezpieczeństwa

Andrej Karpathy — współzałożyciel OpenAI i były szef AI w Tesli — ukuł termin „vibe coding" w lutym 2025, opisując styl programowania, w którym „całkowicie poddajesz się vibesom", akceptując kod generowany przez AI bez konieczności rozumienia każdej linijki. Collins Dictionary ogłosił go Słowem Roku 2025. Narzędzia eksplodowały: Cursor, Replit, Bolt, Lovable i Claude Code przyciągnęły miliardy w finansowaniu venture capital. GitHub poinformował, że 46% całego nowego kodu commitowanego dzisiaj jest generowane przez AI. W grupie Winter 2025 Y Combinator, 25% startupów miało bazy kodu, które były w 95% lub więcej generowane przez AI. Vibe był nieskazitelny.

Czternaście miesięcy później nadszedł kac. A sam Karpathy ogłosił vibe coding przestarzałym — nie dlatego, że narzędzia nie działają, ale dlatego, że branża przeszła na coś lepszego i trudniejszego: inżynierię agentyczną, gdzie deweloperzy orkiestrują agentami AI zamiast ślepo akceptować ich wyniki. Dane wyjaśniają, dlaczego ta zmiana była konieczna.

Liczby dotyczące bezpieczeństwa, o których nikt nie chce rozmawiać

Dane dotyczące bezpieczeństwa kodu generowanego przez AI są jednoznaczne i alarmujące. Firma bezpieczeństwa Tenzai zbudowała 15 identycznych aplikacji używając pięciu popularnych narzędzi vibe coding — Claude Code, OpenAI Codex, Cursor, Replit i Devin. Wynik: 69 luk bezpieczeństwa w tych aplikacjach. Sześć było krytycznych — oznaczających, że mogły być wykorzystane do uzyskania nieautoryzowanego dostępu, kradzieży danych lub przejęcia kontroli nad systemami. To nie było testowanie niejasnych przypadków brzegowych; to były standardowe aplikacje webowe zbudowane ze standardowymi promptami.

Szersze badania potwierdzają ten wzorzec. Między 40% a 62% kodu generowanego przez AI zawiera luki bezpieczeństwa, w zależności od badania i narzędzia. AI nie chroni przed cross-site scripting (XSS) w 86% przypadków — jednej z najbardziej podstawowych i dobrze rozumianych luk bezpieczeństwa webowego. Pull requesty autorstwa AI wykazują 2,74 razy wyższe wskaźniki luk bezpieczeństwa niż kod napisany przez ludzi. Tylko w marcu 2026, 35 nowych CVE (Common Vulnerabilities and Exposures) zostało bezpośrednio przypisanych do kodu generowanego przez AI — wzrost z 6 w styczniu. Linia trendu przyspiesza, gdy więcej kodu generowanego przez AI trafia do produkcji.

Incydent Amazon skrystalizował problem dla odbiorców korporacyjnych. Według Financial Times, awaria usługi Amazon w grudniu została spowodowana przez bota kodującego AI. Firma następnie doświadczyła czterech krytycznych incydentów w ciągu jednego tygodnia. Wewnętrzna notatka Amazon przyznała, że zabezpieczenia „nie zostały jeszcze w pełni ustanowione" — niezwykłe przyznanie dla jednej z najbardziej wyrafinowanych organizacji inżynieryjnych na świecie. Amazon teraz wymaga, aby starsi inżynierowie podpisywali się pod wszelkimi zmianami kodu wspomaganymi przez AI dokonywanymi przez młodszych i średniego szczebla inżynierów. Firma, która była pionierem cloud computingu na skalę, została zmuszona do dodania ludzkich strażników specjalnie dlatego, że kodowi AI nie można było ufać.

Metryki jakości kodu opowiadają tę samą historię z innej perspektywy. Rotacja kodu — tempo, w którym kod jest pisany, commitowany, a następnie przepisywany — wzrosła o 41%. Duplikacja kodu wzrosła czterokrotnie. Staranne refaktorowanie, które utrzymuje bazy kodu w zdrowiu przez długi czas, spadło z 25% zmienionych linii w 2021 do poniżej 10% do 2024. Akademicki artykuł z stycznia 2026 argumentował, że vibe coding „po cichu zabija open source" poprzez zmniejszanie zaangażowania deweloperów z maintainerami, którzy utrzymują krytyczną infrastrukturę. Gdy deweloperzy przestają czytać kod, ponieważ AI go generuje, przestają też przyczyniać się do projektów społecznościowych, od których zależy ich kod.

Dlaczego szybkość bez zrozumienia tworzy bomby zegarowe

Fundamentalny problem z vibe coding nie polega na tym, że AI generuje zły kod — polega na tym, że deweloperzy wysyłają kod, którego nie rozumieją. Gdy człowiek pisze lukę bezpieczeństwa, człowiek rozumie otaczający kod wystarczająco dobrze, aby znaleźć i naprawić problem podczas debugowania. Gdy AI generuje lukę bezpieczeństwa, deweloper, który go spromptował, często nie może zidentyfikować problemu, ponieważ nigdy nie zrozumiał logiki kodu. Bug staje się czarną skrzynką wewnątrz czarnej skrzynki.

To tworzy złożony dług techniczny. Każdy fragment kodu generowanego przez AI, którego deweloper nie rozumie w pełni, dodaje kolejną nieprzejrzystą warstwę do systemu. Gdy te warstwy wchodzą w interakcję — a zawsze w końcu to robią — wynikłe błędy są niezwykle trudne do zdiagnozowania, ponieważ nikt w zespole nie ma mentalnego modelu tego, jak system faktycznie działa. Znają tylko to, co powiedzieli AI, że chcą. Przepaść między intencją a implementacją rośnie po cichu, aż produkcja zawiedzie w sposób, którego nikt nie może wyjaśnić.

Problem spalania kredytów pogarsza to. Jedna analiza ze społeczności budowniczych aplikacji wykazała, że użytkownicy Lovable spalili 400 kredytów tylko na naprawianie błędów — oznacza to, że wydali znaczne zasoby na naprawianie kodu, który AI wygenerował niepoprawnie, używając tego samego AI do prób napraw, generując nowe problemy w procesie. Ten cykl — generuj, odkryj błąd, spromptuj AI do naprawy, wprowadź nowy błąd, powtórz — to ciemna strona rozwoju wspomaganego przez AI. Każda runda spala kredyty lub czas obliczeń, a baza kodu gromadzi warstwy łat na łatach, których żaden człowiek nie przejrzał holistycznie.

Co zastąpiło vibe coding (i co faktycznie działa)

Branża podzieliła się na początku 2026 wzdłuż przewidywalnej linii: doświadczeni deweloperzy używający narzędzi AI widzieli prawdziwe wzrosty produktywności o 10-30%, podczas gdy niedoświadczeni deweloperzy używający tych samych narzędzi produkowali więcej wyników o gorszej jakości. Różnica nie tkwi w narzędziu — tkwi w tym, czy człowiek rozumie to, co AI generuje.

Doświadczeni inżynierowie używają narzędzi kodowania AI jako akceleratorów dla dobrze rozumianych wzorców: operacje CRUD, integracje API, formatowanie danych, funkcje użytkowe, kod boilerplate. Przeglądają wynik, rozumieją jego implikacje i wyłapują problemy bezpieczeństwa przed commitowaniem. AI oszczędza czas na implementacji; człowiek dostarcza osąd, architekturę i zapewnienie jakości. To jest to, co Karpathy nazywa teraz „inżynierią agentyczną" — orkiestrowanie agentami AI zamiast bezkrytycznego akceptowania ich wyników. 10-30% wzrost produktywności dla właściwie zarządzanego kodowania AI jest realny i trwały.

Nie-deweloperzy, którzy próbowali budować oprogramowanie produkcyjne przez czyste promptowanie — oryginalna obietnica vibe coding — napotkali ściany utrzymania w ciągu tygodni. Dane z Reddit ze społeczności budowniczych pokazują wzorzec „odwrotnej migracji": użytkownicy, którzy opuścili platformy no-code dla narzędzi kodowania AI, wrócili do wizualnych budowniczych po doświadczeniu obciążenia utrzymaniem kodu generowanego przez AI. Platformy, które łączą asystę AI ze strukturalnym wizualnym budowaniem, wyłaniają się jako pragmatyczny środek złoty dla nie-deweloperów.

Dla deweloperów praktyczny wniosek jest jasny: narzędzia kodowania AI są transformacyjne w połączeniu z osądem inżynieryjnym. Są katastrofalne, gdy używane jako substytut dla osądu inżynieryjnego. Jedyna umiejętność AI, która ma znaczenie stosuje się tutaj tak samo jak wszędzie: zdolność do oceny wyników AI i wykonywania osądu o tym, czy są poprawne, bezpieczne i odpowiednie dla produkcji. Darmowy optymalizator promptów pomaga pisać bardziej specyficzne prompty kodowania, które produkują lepsze wyniki przy pierwszej próbie, redukując cykle iteracji, które pogłębiają problemy jakościowe. Dla optymalizacji jednym kliknięciem wewnątrz ChatGPT, Claude i Gemini, TresPrompt przynosi to bezpośrednio do twojego przepływu pracy.

Często zadawane pytania

Czy vibe coding jest zawsze zły?

Nie — jest zły dla systemów produkcyjnych. Do prototypowania, eksplorowania pomysłów i uczenia się, opisywanie czego chcesz i oglądanie, jak AI to generuje, jest genuinnie użyteczne. Problem pojawia się, gdy kod prototypowy trafia do produkcji bez przeglądu, testów bezpieczeństwa lub ludzkiego zrozumienia jego logiki. Vibe coding jako eksploracja jest w porządku. Vibe coding jako inżynieria jest niebezpieczny.

Czy Claude Code jest częścią problemu vibe coding?

Claude Code, jak każde narzędzie kodowania AI, może być używany odpowiedzialnie lub nieodpowiedzialnie. To, co odróżnia Claude Code od czystych narzędzi vibe coding, to jego agentyczny przepływ pracy — uruchamia testy, analizuje błędy i iteruje nad rozwiązaniami zamiast tylko generować kod raz. Ale nawet wyniki Claude Code powinny być przeglądane przez dewelopera, który rozumie bazę kodu. Narzędzie wspiera inżynierię; nie zastępuje jej.

Czy powinienem przestać używać narzędzi kodowania AI?

Absolutnie nie — wzrosty produktywności są realne dla doświadczonych deweloperów. Właściwą odpowiedzią jest zarządzanie, nie abstynencja. Przeglądaj kod generowany przez AI przed commitowaniem. Uruchamiaj skany bezpieczeństwa na wynikach AI. Rozumiej logikę tego, co AI generuje, szczególnie dla uwierzytelniania, autoryzacji i obsługi danych. Używaj AI dla 80% kodu, który podąża za standardowymi wzorcami, a krytyczne 20% pisz sam.

Jak mogę uczynić kod generowany przez AI bardziej bezpiecznym?

Trzy praktyki: (1) Uwzględnij wymagania bezpieczeństwa w swoich promptach — „zapewnij walidację wejścia na wszystkich polach skierowanych do użytkownika, używaj sparametryzowanych zapytań do dostępu do bazy danych, implementuj ochronę CSRF." Specyficzne instrukcje bezpieczeństwa produkują bezpieczniejszy kod. (2) Uruchamiaj automatyczne skanery bezpieczeństwa (Snyk, SonarQube, Semgrep) na całym kodzie generowanym przez AI przed commitowaniem. (3) Wymagaj ludzkiego przeglądu kodu dla każdego kodu generowanego przez AI, który dotyka uwierzytelniania, autoryzacji, przetwarzania płatności lub obsługi danych osobowych.

Jaka jest różnica między vibe coding a inżynierią agentyczną?

Vibe coding: opisz czego chcesz → zaakceptuj cokolwiek wygeneruje AI → wyślij to. Inżynieria agentyczna: zdefiniuj zadanie → AI generuje rozwiązanie → AI uruchamia testy → AI identyfikuje niepowodzenia → AI iteruje → człowiek przegląda wynik → człowiek zatwierdza lub przekierowuje. Różnica tkwi w pętli sprzężenia zwrotnego i nadzorze ludzkim. Inżynieria agentyczna używa AI jako współpracownika; vibe coding używa AI jako zamiennika.

Ujawnienie: Niektóre linki w tym artykule to linki afiliacyjne. Polecamy tylko narzędzia, które osobiście testowaliśmy i regularnie używamy. Zobacz nasze pełne zasady ujawniania.