Короткий ответ
Вайбкодинг — создание программ, при котором человек описывает задачу нейросети обычным языком и принимает написанный ею код, часто не читая его. Термин придумал Андрей Карпаты в феврале 2025 года, а словарь Collins назвал его словом года. Подход годится для прототипов и небольших внутренних инструментов; всё, что хранит данные клиентов, принимает оплату или должно жить долго, требует проверки разработчиком.
Вайбкодинг: слово из одного поста, которое приняли словари
Слово «вайбкодинг» пришло быстро и из одного места. 2 февраля 2025 года Андрей Карпаты, один из основателей OpenAI и бывший глава направления ИИ в Tesla, написал в X о новом способе программировать: отдаться «вайбу» и забыть, что код вообще существует. Английская Википедия считает этот пост точкой отсчёта. По её данным, в марте 2025 года Merriam-Webster отнёс выражение к сленгу и трендам.
Collins пошёл дальше. В ноябре 2025 года словарь назвал vibe coding словом года и определил его как использование ИИ, которому задачу ставят обычным языком, для написания кода. В объявлении словаря есть и бытовая версия: говорить машине, чего вы хотите, вместо того чтобы кропотливо писать код самому. Там же сказано, что специалисты всё ещё спорят, революция это или безрассудство.
Принять код не читая — вот чем вайбкодинг отличается от помощи ИИ
Карпаты описал метод конкретно. Он говорит с инструментом голосом, всегда нажимает Accept All и больше не читает диффы — списки изменений, которые предлагает модель. Сообщения об ошибках он вставляет обратно без комментариев — обычно это помогает. Код, по его словам, разрастается за пределы его понимания, а некоторые ошибки проще обойти. Он счёл это приемлемым для одноразовых проектов выходного дня.
Эта оговорка и есть граница. Википедия описывает вайбкодинг как разработку с ИИ, при которой сгенерированный код могут принимать без тщательной проверки. Разработчик, который просит у модели функцию, а потом читает, тестирует и понимает её, пользуется помощником, и код остаётся его. При вайбкодинге человек отдаёт модели и набор текста, и понимание. Инструменты одни и те же; разница в том, прочитал ли кто-нибудь результат.
Что непрограммист действительно может собрать, описывая задачу ИИ
Википедия приводит скромный ранний пример. В феврале 2025 года журналист New York Times Кевин Руз, не профессиональный разработчик, собрал так небольшие приложения — «софт для одного» — и счёл результаты часто ограниченными и подверженными ошибкам. Метод подходит для инструментов одного человека или маленькой команды. Там ошибка стоит вечера, а не чужих персональных данных.
Replit — один из продуктов, построенных вокруг этой идеи. Его документация говорит, что Agent превращает ваши идеи в приложения по описанию обычным языком: настраивает проект и базы данных, проверяет свою работу и исправляет проблемы. Так можно получить кликабельный прототип для партнёра или инвестора либо страницу для проверки спроса на новое предложение. Подходят и внутренние инструменты: калькулятор стоимости, таблица записи для команды, бот в Telegram, сортирующий заявки.
У таких проектов короткая жизнь или узкий круг пользователей. Прототип существует, чтобы его посмотрели, обсудили и выбросили. Внутренним инструментом пользуются коллеги, которые сразу скажут, если что-то сломалось. Номера карт через них не идут, а если инструмент встанет в понедельник утром, кто-то откроет таблицу и продолжит.
Где приложения на вайбкодинге ломаются первыми: доступ и данные клиентов
OWASP Top 10 — по словам авторов, стандартный документ для осведомлённости о безопасности веб-приложений — в редакции 2025 года ставит на первое место нарушение контроля доступа. По формулировке OWASP, контроль доступа не даёт пользователям выйти за пределы своих прав. Типичные сбои — шанс увидеть или изменить чужой аккаунт, подставив его идентификатор, и API, который не проверяет, кто меняет или удаляет данные. По данным OWASP, в той или иной форме эта слабость нашлась у всех протестированных приложений.
Такую ошибку не видит тот, кто не читает код. На демонстрации всё правильно: вы входите и видите свои заказы. Покажет ли замена цифры в адресе чужие заказы, неизвестно, пока это не проверят нарочно. Википедия сообщает, что в мае 2025 года у 170 из 1645 веб-приложений, созданных в одном популярном сервисе для вайбкодинга, была уязвимость, открывавшая любому доступ к персональным данным.
Вывод не в том, что сгенерированный код всегда хуже. Правила о том, кто что может видеть, не попадают в демонстрацию, и их отсутствия никто не замечает. Прототип с тремя выдуманными клиентами проживёт без них. Приложение с настоящими клиентами — нет, и проверить эти правила может тот, кто читает код и знает, какие двери дёргать.
Платежи, поддержка и код, который никто в команде не понимает
У денег свои правила. Совет по стандартам безопасности PCI пишет, что стандарт PCI DSS распространяется на организации, которые хранят, обрабатывают или передают данные держателей карт. Самодельная форма оплаты с номерами карт втягивает бизнес в эту зону, хотя никто этого не решал. Обычно данные карты отправляют на страницу платёжного сервиса, а приложение получает только результат. Хватит ли этого в вашем случае, уточните у платёжного сервиса и специалиста.
Дальше поддержка: программы редко бывают закончены. Википедия цитирует инженера Саймона Уиллисона: дойти вайбкодингом до рабочей системы явно рискованно, ведь основная работа — изменение существующих систем, где важнее всего качество и понятность кода. Карпаты и сам писал, что код перерос его понимание. В приложении, которое принимает заказы, это опасно: любой новый запрос к модели может незаметно сломать то, что вчера работало.
И наконец, люди. Когда автор запросов уходит или забывает, как всё собиралось, знаний не остаётся ни у кого. Тестов, документации и записей о том, какая инструкция породила какую часть, обычно нет. Новому разработчику приходится прочитать проект целиком, прежде чем поменять хоть строку, — это самая долгая и дорогая часть любого спасения.
Как собрать прототип с ИИ без настоящих данных и открытых ключей
Начните с границ. Запишите тремя фразами, что должен показать прототип, кто его увидит и когда его выбросят. Наполните его выдуманными данными: придуманные имена, тестовая почта, образцы заказов. Не вставляйте настоящую базу клиентов даже ради пробы. Как только внутри оказались реальные персональные данные, прототип становится системой, которую нужно защищать, и к нему может применяться закон о персональных данных — свой случай проверьте со специалистом.
С ключами та же осторожность. Документация Replit предупреждает, что секреты вроде API-ключей и токенов, вписанные в код, могут утечь, если кодом поделиться публично, выложить его в открытый репозиторий или показать при демонстрации экрана; инструмент Secrets шифрует их и передаёт приложению как переменные окружения. Документация GitHub объясняет, что его сканирование секретов проверяет всю историю Git во всех ветках, — напоминание о том, что удалённый ключ остаётся в старых версиях. Если настоящий ключ хоть раз попал в код, перевыпустите его там, где получили.
Путь назад и проверка прототипа глазами постороннего человека
Документация Replit описывает контрольные точки: полные снимки, которые Agent делает на ключевых этапах, вместе с содержимым базы данных. Там же сказано, что по умолчанию откат базу не меняет, а рабочая база восстанавливается отдельной процедурой на выбранный момент времени. Кнопка «отменить» для кода — не такая же кнопка для данных. Википедия описывает и случай июля 2025 года, когда ИИ-агент Replit удалил базу данных вопреки прямому указанию ничего не менять. В любом инструменте держите свою копию кода в репозитории и выгрузку данных.
Потом проверьте прототип глазами любопытного постороннего. Войдите под двумя тестовыми пользователями и убедитесь, что они не видят записей друг друга. Поменяйте цифры в адресной строке, отправьте пустые и нелепо длинные формы, закройте вкладку посреди сохранения. Ведите список задач каждого экрана и сверяйтесь с ним вручную после каждой крупной правки: модель, которая чинит один экран, может переписать другой.
Когда прототипу на вайбкодинге нужен разработчик, чтобы стать продуктом
Сигнал легко запомнить: настоящие люди, настоящие данные или настоящие деньги. Внутренний инструмент для нескольких коллег без личных данных можно вести самому. Если же он вот-вот начнёт хранить аккаунты клиентов, принимать оплату, связываться с бухгалтерией или месяцами работать каждый день, ему нужен человек, который читает код. Иногда прототип можно почистить и оставить, иногда разумнее считать его подробным техзаданием и собрать заново. Какой это случай, разработчик скажет, только заглянув внутрь.
Перед разговором соберите то, что уже есть. Это доступ к прототипу и коду, список задач каждого экрана, круг пользователей, состав данных и их источники, планы по платежам и интеграциям, ваши запросы к модели или заметки. С этим на столе студия вроде VITON13 оценит работу, а не будет гадать. А вопрос о том, что такое вайбкодинг, превратится в практический: какую часть вашего прототипа стоит сохранить.
Практический чеклист
- До начала работы письменно зафиксируйте, что должен показать прототип, кому и до какого числа он нужен.
- Заполните прототип выдуманными именами, тестовой почтой и образцами заказов, а не настоящей базой клиентов.
- Храните API-ключи и пароли в хранилище секретов инструмента и перевыпускайте любой ключ, попавший в код.
- Держите свою копию кода в репозитории и выгружайте данные перед каждой крупной правкой.
- До прихода настоящих пользователей, денег или персональных данных дайте разработчику прочитать код и проверить, кто что видит.
Вопросы и ответы
Кто и когда придумал термин «вайбкодинг»?
Андрей Карпаты, один из основателей OpenAI, употребил выражение vibe coding в посте в X от 2 февраля 2025 года, описывая разработку через разговор с ИИ-моделью и приём её правок без чтения. В ноябре 2025 года словарь Collins выбрал его словом года.
Вайбкодинг и программирование с ИИ-помощником — это одно и то же?
Нет. Инструменты могут совпадать, но при вайбкодинге человек принимает сгенерированный код без проверки. Разработчик, который читает, тестирует и понимает написанное помощником, занимается обычным программированием с подсказками и сам отвечает за результат.
Можно ли запустить для клиентов приложение, целиком сделанное вайбкодингом?
Опубликовать можно, но как только в нём появляются аккаунты, персональные данные или оплата, это риск. Права доступа, защита данных и работа с картами — то, чего демонстрация никогда не показывает, поэтому до прихода пользователей попросите разработчика прочитать код и проверить их.
Что малый бизнес может без риска сделать с помощью вайбкодинга?
Прототипы для партнёров или инвесторов, страницы для проверки спроса и небольшие внутренние инструменты: калькуляторы, таблицы для команды, формы приёма заявок. Лучше всего они работают на выдуманных данных, с горсткой пользователей и без того, что навредит, если остановится на день.
Что передать разработчику, чтобы довести прототип, собранный вайбкодингом, до продукта?
Доступ к прототипу и его коду, перечень задач каждого экрана, ожидаемых пользователей, состав хранимых данных, планы по платежам и интеграциям, а также ваши запросы или заметки. По этому набору разработчик решит, чистить прототип или собирать заново.