Вайб-кодинг: что он даёт и чего стоит

Вайб-кодинг — стиль работы с ИИ, при котором сгенерированный код принимают, не читая и не понимая; помощь ИИ отличается тем, что результат проверяют.

Слово, которое придумали в феврале 2025

В феврале 2025 года Андрей Карпатый, известный специалист по ИИ и один из основателей OpenAI, назвал новым словом стиль работы, который он наблюдал у себя: вы описываете, что хотите, нажимаете «принять» и перестаёте читать код, а если что-то сломалось, просто просите ИИ починить. Он назвал это вайб-кодингом (от «ощущения, настроения»: код делается «по ощущениям»). К концу года словарь Collins выбрал это словосочетание словом года.

Важно, что слово описывает не инструмент, а отношение к результату. Один и тот же ИИ-помощник может быть и тем, и другим. Разработчик Саймон Уиллисон предложил различать их так: если ИИ написал каждую строку кода, а вы её прочитали, проверили и поняли, это не вайб-кодинг, а работа с ИИ как с очень быстрой пишущей машинкой. Вайб-кодинг начинается там, где вы перестаёте понимать то, что принимаете.

Различие выглядит придиркой, но на нём держится вся остальная часть урока. Оно же отвечает на вопрос, который вы зададите себе после предыдущего урока: если конструктор собирает сайт за минуту, зачем были десять частей про HTML, CSS, серверы и данные? Затем, что понимать то, что принимаешь, это и есть разница между «я управляю ИИ» и «я верю ИИ».

Проверьте себя: ИИ написал весь код, а вы прочитали и проверили каждую строку. Это вайб-кодинг?

Нет. По различению Уиллисона, вайб-кодинг это когда код принимают без понимания. Прочитанный, проверенный и понятый код это обычная работа с ИИ-помощником, и ответственность за него на вас.

Что это честно даёт

Скептицизм не должен затмить пользу.

• Быстрый прототип. То, на что уходили дни (форма, страница, небольшой сервис), получается за час. Проверить идею дёшево, пока не вложились.
• Личные и одноразовые инструменты. Страница, которая считает что-то для вас одного, скрипт для одной задачи: нет данных, нет денег, нет чужих людей, и ошибка видна сразу.
• Входной билет. Человек, который не программирует, впервые видит, как его идея становится работающей вещью. Это ценно само по себе.
• Черновики. Каркас, на который вы потом наращиваете своё.

Чего это стоит

У каждой из этих выгод есть цена, и по цене видно, где вайб-кодинг опасен.

Безопасность. Страница выглядит рабочей, но то, что делает её небезопасной (ключ в клиентском коде, нет проверки входных данных, чужие записи доступны по адресу, нет проверки прав), глазами не видно. В исследовании компании Veracode 2025 года, где модели решали 80 задач с известными уязвимостями, небезопасный вариант выбирался примерно в 45 % случаев, и со временем это не улучшалось. На деле это случалось. Исследователь Мэтт Палмер в марте 2025 года проверил 1645 проектов с витрины ИИ-конструктора Lovable и нашёл 303 запроса к базе данных в 170 проектах (около 10 %): правила доступа к строкам базы (row-level security) были настроены недостаточно, и данные, среди них адреса почты, телефоны и ключи, были открыты посторонним. Запись CVE-2025-48757 опубликована 29 мая 2025 года; исследователи пишут, что встроенная проверка конструктора смотрела только, есть ли правило, а не верно ли оно (по первоисточнику, статье самого исследователя). Урок про аутентификацию вы читали затем, чтобы узнавать такое: проверка прав на сервере, секреты не в клиентском коде, медленный хеш паролей.

Поддерживаемость. Код, который никто не читал, никто не умеет менять. Через месяц вы захотите поправить одну вещь и обнаружите, что ИИ при каждой правке копировал куски в новые места и теперь их семь. Отчёт компании CodeRabbit (декабрь 2025) сравнил 470 открытых запросов на слияние: 320 написаны с участием ИИ и 150 только людьми. В запросах с ИИ было в среднем 10,83 замечания против 6,45, то есть примерно в 1,7 раза больше. Сама компания оговаривает, что авторство определялось по признакам, а не было известно точно, так что цифры показывают закономерность, а не закон.

Понимание. Нельзя направлять то, чего не понимаешь. Вы не заметите, что ИИ предложил несуществующую библиотеку (исследователи описали, как такие выдуманные названия попадают в код, и как злоумышленники регистрируют их), не поймёте, почему страница не открывается с клавиатуры, и не отличите «работает» от «работает пока что». Это главный тезис учебника, и ради него вы прошли десять частей.

Деньги и время. Многие инструменты берут плату за каждое обращение к модели. «ИИ, исправь» после «ИИ, исправь» может сжечь ваш бюджет, пока модель чинит собственные ошибки. А ощущение скорости обманчиво: в исследовании METR (июль 2025) опытные разработчики на знакомых больших проектах с ИИ-инструментами справлялись примерно на 19 % медленнее, хотя сами считали, что быстрее. Выборка была маленькой (16 человек), и авторы предостерегают от обобщений. В феврале 2026 года METR сам написал, что этот результат больше не служит надёжным ориентиром: новые данные намекают на некоторое ускорение, но искажены отбором (разработчики, которые отказываются работать без ИИ, не участвуют). Вывод остаётся в силе при любых цифрах: измеряйте, а не доверяйте ощущению.

Данные и права. Когда вы вставляете в запрос чужие данные (список клиентов, переписку), вы отправляете их стороннему оператору. А когда вы даёте агенту права (удалять, писать в базу), он может сделать то, чего вы не просили: в июле 2025 года основатель SaaStr Джейсон Лемкин сообщил, что агент Replit удалил рабочую базу данных во время «заморозки кода» и написал, что восстановить её нельзя. Руководитель Replit назвал это «недопустимым» и сказал, что есть откат одним нажатием; компания признала, что приложения использовали одну базу и для разработки, и для живых данных, и объявила, что разделит их (это рассказ основателя и ответ компании, по статье The Register).

Проверьте себя: почему «невидимая» ошибка опаснее «видимой»?

Видимую (сломалась вёрстка) исправляют сразу, а невидимая (утечка, нет проверки прав) живёт, пока не случится беда. Поэтому для неё нужны проверка или человек.

Что можно отдать ИИ, а что нет

Из этого получается правило, которое можно применять к любой задаче. Четыре вопроса:

1. Затрагивает ли она персональные данные посетителей?
2. Затрагивает ли она деньги?
3. Видно ли ошибку глазами?
4. Публична ли она сразу?

Данные и деньги весят больше всего: ошибка стоит чужого доверия и чужих денег. Дальше идёт «не видно глазами», и меньше всего весит «публично». Отсюда три уровня.

• ИИ без проверки: задачи без данных и денег, где ошибка видна сразу и обходится дёшево: палитра для эскиза, черновик, который вы всё равно перепишете, мета-описание.
• ИИ с проверкой: всё, что попадёт на живой сайт: вёрстка (смотрите глазами, Tab и телефон), скрипты (читайте), тексты (сверяйте факты).
• Человек: то, что нельзя поручить без проверки вообще: приём персональных данных, оплата, политика и согласие (с юристом), вход, секреты, и факты о вас и вашем проекте. Даже если черновик пишет ИИ, решение и ответственность человеческие.

Попробуйте расставить задачи на схеме. Одна из них ваша: форма главного действия из брифа.

Для каждой задачи выберите, как вы доверите её ИИ. Страница скажет, что подсказывает правило, и почему.

• Подобрать палитру и пару шрифтов для первого эскиза

  Данные посетителей: нет. Деньги: нет. Ошибку видно глазами: да. Публично сразу: нет.

  ИИ без проверкиИИ с проверкойчеловек

• Вёрстка главной страницы по готовому макету

  Данные посетителей: нет. Деньги: нет. Ошибку видно глазами: да. Публично сразу: да.

  ИИ без проверкиИИ с проверкойчеловек

• Черновики текстов разделов (потом вы их проверите)

  Данные посетителей: нет. Деньги: нет. Ошибку видно глазами: да. Публично сразу: нет.

  ИИ без проверкиИИ с проверкойчеловек

• Тексты с фактами о вас: опыт, цифры, подтверждения

  Данные посетителей: нет. Деньги: нет. Ошибку видно глазами: нет. Публично сразу: да.

  ИИ без проверкиИИ с проверкойчеловек

• Форма для действия «Главное действие проекта»: приём данных посетителя

  Данные посетителей: да. Деньги: нет. Ошибку видно глазами: нет. Публично сразу: да.

  ИИ без проверкиИИ с проверкойчеловек

• Оплата или предоплата на сайте

  Данные посетителей: да. Деньги: да. Ошибку видно глазами: нет. Публично сразу: да.

  ИИ без проверкиИИ с проверкойчеловек

• Политика обработки данных и согласие

  Данные посетителей: да. Деньги: нет. Ошибку видно глазами: нет. Публично сразу: да.

  ИИ без проверкиИИ с проверкойчеловек

• Вход для владельца и панель с заявками

  Данные посетителей: да. Деньги: нет. Ошибку видно глазами: нет. Публично сразу: да.

  ИИ без проверкиИИ с проверкойчеловек

Решено задач: 0 из 8, совпало с правилом: 0.

Правило из четырёх вопросов. Персональные данные и деньги весят больше всего: ошибка здесь стоит чужого доверия или чужих денег. Дальше идёт «ошибку не видно глазами» (утечку не заметишь, пока она не случилась), и меньше всего весит «сразу публично».

Практика

Раздайте десять задач своего сайта по трём уровням. В колонке справа каждый раз скажите, как вы проверяете, или почему задача остаётся человеку. Форму, приём заявок, оплату, политику, счётчик и секреты нельзя отдать «без проверки»: это проверяется автоматически. В конце напишите, что остаётся человеку и сколько это работы. Цифра нужна, чтобы увидеть: ИИ убирает часть работы, но не всю, и оставшаяся часть самая ответственная.

Что было не так с 2025 годом

В 2025 году вайб-кодинг был модой и обещанием: «программировать теперь не нужно». Скоро выяснилось, что нужно не программировать, а понимать и проверять: страницы собирались за минуты, а потом месяцами чинились, и в публичных конструкторах находились открытые базы и ключи. К концу года слово перестало быть шуткой и стало предупреждением. Не потому, что ИИ плох, а потому, что ответственность за результат по-прежнему на человеке.