Содержание
Коротко. Вайбкодинг - это сборка программы описанием задачи ИИ-ассистенту без чтения и проверки написанного кода; термин ввел Андрей Карпати в феврале 2025 года. Предпринимателю он подходит там, где ошибка стоит дешево и нет чужих данных и денег: внутренние отчеты, расчеты, прототипы. Все, что хранит персональные данные клиентов, принимает оплату или должно выдерживать много пользователей, покажите разработчику до запуска. Исследования осторожны: код от ИИ нужно проверять, а выигрыш во времени замерять, а не чувствовать.
Что такое вайбкодинг и откуда взялся термин
Вайбкодинг - это сборка ПО с помощью модели без проверки написанного ею кода
Термин ввел Андрей Карпати в записи в X в феврале 2025 года. Он описал стиль, где вы «полностью отдаетесь ощущениям, принимаете экспоненты и забываете, что код вообще существует»: жмете «принять все», не читаете правки, вставляете ошибки обратно в ИИ. Сам Карпати назвал это терпимым для одноразовых проектов на выходные.
В марте 2025 года Саймон Уиллисон возразил против того, чтобы так называли любой код, написанный с ИИ. По его определению, вайбкодинг - это сборка ПО с помощью модели без проверки написанного ею кода. Если вы код проверили, протестировали и можете объяснить, как он работает, это обычная разработка.
Через год, 4 февраля 2026 года, Карпати написал, что у профессионалов работа с ИИ-агентами становится обычной, но с большим надзором и проверкой, и предложил для нее название «агентная инженерия».
Что собрать самому, а что отдать фрилансеру или команде
Решают четыре вопроса: кто пользуется, какие данные внутри, сколько стоит ошибка и как долго инструмент проживет. Это редакционная схема, а не отраслевой стандарт, и она не заменяет проверку специалистом.
Документация инструментов называет такие задачи примерами: Lovable перечисляет прототипы, внутренние инструменты, панели и маркетинговые сайты. Границу допустимого риска проводите вы, по таблице ниже.
Раскрытие связи: журнал издает проект, связанный с маркетинговой компанией WEBNOSTRA, которая оказывает услуги по внедрению ИИ и автоматизации. Читайте колонки «фрилансер» и «команда» с этой поправкой и сравнивайте нескольких исполнителей.
Читайте таблицу по строкам и следуйте самой строгой: если по данным нужна команда, задача идет к команде.
Таблицу можно прокрутить вправо
| Критерий | Самому с ИИ | Фрилансер или студия | Команда разработки |
|---|---|---|---|
| Кто пользуется | Вы и 1-3 сотрудника | Сотрудники и ограниченный круг клиентов | Публичный сервис, много пользователей |
| Какие данные | Рабочие данные без персональных, лучше копия | Немного персональных данных, защита проверена | Персональные данные, платежи, обязательства по договору |
| Цена ошибки | Лишний час ручной работы | Потерянные заявки, удар по репутации | Штраф, утечка, остановка продаж |
| Срок жизни | Недели или месяцы | Год и дольше, с доработками | Годы, с развитием |
| Кто чинит | Вы, с помощью того же ИИ | Исполнитель по договору поддержки | Штатная команда или подрядчик с регламентом |
| Проверка до запуска | Тест на копии данных, ручная сверка | Специалист читает код и тестирует доступ | Тесты, ревью, мониторинг, резервные копии |
- Можно самому: отчет или расчет по выгрузке, которую вы и так вправе открывать; таблица-калькулятор для отдела; одноразовый скрипт для переименования файлов или сверки списков.
- Можно самому, с оговоркой: прототип экрана или лендинга, чтобы показать идею исполнителю; страница без форм и хранения данных.
- Не самому: все, что принимает оплату или хранит персональные данные клиентов и сотрудников.
- Не самому: сервис для многих пользователей одновременно и права доступа, от которых зависит, кто что видит.
Чем собирают: инструменты по их документации
Примеры из официальной документации на 03.11.2026. Это не рейтинг и не рекомендация.
- Claude Code (Anthropic): по документации, агентный инструмент, который читает кодовую базу, редактирует файлы и выполняет команды; работает в терминале, среде разработки, настольном приложении и браузере.
- Lovable: платформа, которая собирает веб-приложения по описанию; код синхронизируется с GitHub, GitLab или Bitbucket.
- Replit Agent: создает проект по описанию, настраивает базу данных, публикует; в документации сказано, что агент сам проверяет свою работу и создает контрольные точки для отката.
- SourceCraft Code Assistant (российский сервис, ранее Яндекс Code Assistant): режим агента, чат и автодополнение в VS Code и JetBrains.
Что проверить до оплаты: страна, цена, выход
Доступность: у каждого поставщика свой список стран. Политика поддерживаемых регионов Anthropic (в метаданных страницы «Effective Nov 12, 2026») гласит, что продукты доступны только в перечисленных странах; России в списке нет. Читайте список и условия до оплаты; обходы условий мы не рассматриваем.
Цена: Anthropic пишет, что цены и планы могут меняться по его усмотрению, поэтому смотрите страницу тарифов в день покупки. Выход: проверьте, можно ли забрать код (у Lovable есть синхронизация с Git-хостингами), иначе проект привязан к одному инструменту.
Ускоряет ли ИИ работу: что показали замеры
Ощущение скорости и замер могут расходиться
Контролируемое испытание организации METR (июль 2025 года): 16 опытных разработчиков открытых проектов выполнили 246 задач в своих крупных репозиториях, и каждой задаче случайно разрешали или запрещали ИИ. С ИИ задачи заняли на 19% дольше. До начала разработчики ждали ускорения на 24%, после считали, что ИИ ускорил их на 20%.
Вывод узкий: участники годами знали свои проекты, а авторы пишут, что результат не показывает замедление у большинства разработчиков и в других областях. В феврале 2026 года METR повторила замер на 57 разработчиках: оценки показали ускорение на 18% и на 4% в двух группах, интервалы включают ноль, а сама организация назвала данные лишь очень слабым свидетельством о размере выигрыша.
Для владельцев, которые собирают маленькие инструменты, готовых измерений мы не нашли. В опросе Stack Overflow 2025 года (49 009 ответов, участники откликались сами) 77,5% ответили, что вайбкодинг не входит в их профессиональную работу, 15,1% - что входит. Вывод: ощущение скорости и замер могут расходиться, считайте часы на своей задаче.
Насколько безопасен код от ИИ: что известно и чего нет
Компания Veracode, работающая в сфере безопасности приложений, в 2025 году проверила более 100 моделей на 80 заданиях по дописыванию кода в Java, Python, C# и JavaScript; результат оценивал статический анализатор. Около 45% тестов закончились кодом с уязвимостью из списка OWASP Top 10, в Java - 72%. Ограничения: это фрагменты кода, а не готовые приложения, а полный отчет мы не читали, он выдается через форму.
В контролируемом исследовании Perry и соавторов (статья 2022 года, 47 участников, пять задач, помощник на модели codex-davinci-002) участники с ИИ писали менее безопасный код и чаще верили, что он безопасен. Выборка мала, в основном студенты.
Типичная дыра - доступ к данным. В документации Supabase сказано: таблица без включенной защиты строк доступна на чтение и запись любой роли с правами, а секретный ключ нельзя применять в браузере. В списке OWASP Top 10:2025 первым стоит нарушение контроля доступа.
В 2025 году исследователь Мэтт Палмер (он работает в Replit, похожем сервисе) сообщил, что у 170 из 1645 проверенных сайтов, собранных в Lovable, были публично доступные точки базы с недостаточной защитой строк; проверяли только главные страницы. Запись CVE-2025-48757 помечена как оспариваемая: поставщик указывает, что каждый клиент отвечает за защиту данных своего приложения. Значит, настройку доступа проверять вам.
Что проверить перед запуском того, что трогает данные клиентов
Таблицу можно сохранить и переслать исполнителю. Нормы даны по закону о персональных данных (152-ФЗ) на 03.11.2026; как они применяются к вам, зависит от деталей, и по ним нужен юрист.
Если данные клиентов уходят в сервис за границей, в том числе в зарубежный ИИ-инструмент, это может оказаться трансграничной передачей (ст. 12 закона, ее меняли Федеральным законом от 26.07.2026 N 265-ФЗ). Пока не выяснили, куда уходят данные, не вставляйте их в инструмент.
Таблицу можно прокрутить вправо
| Проверка | Что сделать | Как убедиться |
|---|---|---|
| Какие данные | Выпишите поля и зачем каждое, лишние уберите. Персональные данные - любая информация о прямо или косвенно определяемом человеке (ст. 3) | Список полей с целью у каждого |
| Где хранятся | Для граждан РФ запись и хранение в базах за пределами РФ не допускаются, кроме случаев из п. 2, 3, 4, 8 ч. 1 ст. 6 (ст. 18, ч. 5) | Страна базы указана в договоре или настройках |
| Защита и взгляд со стороны | Оператор (тот, кто определяет цели и состав обработки, обычно вы) обязан принимать правовые, организационные и технические меры (ст. 19, ч. 1); код и доступы смотрит тот, кто умеет их читать | Письменный перечень мер и вывод проверяющего |
| Доступ | Войдите тестовым пользователем и попробуйте открыть чужую запись и таблицу напрямую | Чужие данные не открываются ни по ссылке, ни запросом к базе |
| Ключи | Секретные ключи храните вне кода и не в браузере, права минимальные | Поиск по коду ключей не находит |
| Оплата | Не принимайте номер карты на своем сервере: у ЮKassa оплата на ее странице не требует сбора данных вами, ввод на вашей стороне помечен PCI DSS | Номер карты не проходит через ваш сервер |
| Копии и откат | Включите резервные копии и версии, восстановите их на тесте | Данные и версия восстановлены за час |
| Утечка и уведомления | Назначьте ответственного. Роскомнадзор уведомляют об инциденте в течение 24 часов, об итогах расследования в течение 72 часов (ст. 21, ч. 3.1); о начале обработки до ее начала (ст. 22, ч. 1) | Есть текст уведомления и контакт ответственного |
Сколько стоит собрать самому и когда идея не окупится
Считайте четыре статьи: ваше время на сборку, подписки и хостинг, проверку специалистом и ежемесячную поддержку. Выгода - часы ручной работы, которые инструмент снимает. Срок окупаемости равен разовым затратам, деленным на чистую выгоду в месяц; порог задайте заранее, в примере это 12 месяцев.
Учебный пример с условными ставками: час сотрудника 800 ₽, час владельца 2 000 ₽, час разработчика 3 000 ₽, подписка и хостинг 2-10 тыс. ₽ в месяц. Это не тарифы. Разовые затраты: отчет - 10 часов владельца; бот - 25 часов владельца и 20 часов проверки разработчиком; кабинет - 80 часов владельца, 60 часов разработчика и 20 000 ₽ юристу.
| Показатель | Разовые затраты | Чистая выгода в месяц |
|---|---|---|
| Отчет | 20 000 ₽ | 6 400 ₽ |
| Бот для заявок | 110 000 ₽ | 8 333 ₽ |
| Кабинет с оплатой | 360 000 ₽ | 1 600 ₽ |
Учебный пример: условные ставки, порог окупаемости 12 месяцев
Таблицу можно прокрутить вправо
| Идея | Экономия, ₽/мес | Разовые затраты, ₽ | Затраты в месяц, ₽ | Чистая выгода, ₽/мес | Окупаемость, мес. |
|---|---|---|---|---|---|
| Отчет из выгрузки заказов (3 ч/нед) | 10 400 | 20 000 | 4 000 | 6 400 | 3,1 |
| Бот для заявок с данными клиентов (5 ч/нед) | 17 333 | 110 000 | 9 000 | 8 333 | 13,2 |
| Кабинет клиента с оплатой (12 ч/нед) | 41 600 | 360 000 | 40 000 | 1 600 | 225 |
Первая неделя: задание на выходные
Начните с задачи класса «отчет», а не «бот с клиентами». Результат недели: рабочий инструмент на копии данных, замер часов и решение по порогу окупаемости.
- Выберите задачу, где ручная работа повторяется каждую неделю и в данных нет персональных сведений клиентов.
- Запишите, что значит «готово», и подготовьте 10 примеров с заранее известным ответом.
- Соберите инструмент на копии данных и сохраняйте версии, чтобы можно было откатиться.
- Сверьте результат с ручным на этих 10 примерах и на одной реальной неделе; расхождения разберите, а не сгладьте.
- Записывайте часы: сборка, исправления, поддержка. Это ваш замер, а не ощущение.
- Две недели гоняйте инструмент параллельно с ручной работой.
- Посчитайте окупаемость по формуле выше и решите: оставить, отдать разработчику или закрыть.
Главные решения
- собирайте сами то, где ошибка дешева и нет чужих данных и денег, остальное показывайте разработчику до запуска
- выигрыш во времени замеряйте на своей задаче: исследования скорости и безопасности ограничены, часть данных относится к прежним версиям инструментов
- перед запуском с данными клиентов пройдите таблицу проверок: данные, доступ, ключи, оплата, копии, порядок при утечке
Что обсудить с командой
- Задача отнесена к классу: внутренняя, с данными клиентов или с деньгами; по самой строгой строке выбран исполнитель
- Готовы 10 примеров с известным ответом, результат сверен с ручным
- До проверки инструмент работает на копии данных без персональных сведений
- Доступ проверен под чужой учетной записью, ключи лежат вне кода и браузера
- Есть резервная копия, откат версии и человек, который чинит
- Срок окупаемости посчитан с поддержкой и проверкой, порог задан до начала
Термины простыми словами
- Вайбкодинг
- Сборка программы описанием задачи ИИ без проверки кода; термин ввел Андрей Карпати в феврале 2025 года
- Кодирующий агент
- ИИ-инструмент, который сам правит файлы, запускает команды и проверяет результат
- Уязвимость
- Ошибка в программе или настройках, которой может воспользоваться посторонний
- Защита строк (RLS)
- Правила базы данных о том, какие записи видит каждый пользователь
- PCI DSS
- Мировой стандарт безопасности для тех, кто хранит, обрабатывает или передает данные банковских карт
- Срок окупаемости
- Разовые затраты, деленные на чистую выгоду в месяц
Источники
- Андрей Карпати, запись в X от февраля 2025: введение термина «vibe coding» (на английском)x.com · проверено 03.11.2026
- Андрей Карпати, запись в X от 4 февраля 2026: год спустя, «agentic engineering» (на английском)x.com · проверено 03.11.2026
- Саймон Уиллисон, блог, 19 марта 2025: не всякая работа с ИИ - вайбкодинг (на английском)simonwillison.net · проверено 03.11.2026
- METR, 10 июля 2025: влияние ИИ начала 2025 года на опытных разработчиков (испытание, на английском)metr.org · проверено 03.11.2026
- METR, 24 февраля 2026: обновление замера, инструменты конца 2025 года (на английском)metr.org · проверено 03.11.2026
- Stack Overflow, опрос разработчиков 2025: раздел об ИИ, вопрос о вайбкодинге (на английском)survey.stackoverflow.co · проверено 03.11.2026
- Stack Overflow, опрос разработчиков 2025: методика (сроки, набор респондентов)survey.stackoverflow.co · проверено 03.11.2026
- Veracode, 30 июля 2025: пресс-релиз об исследовании безопасности кода от ИИ (на английском)veracode.com · проверено 03.11.2026
- Veracode, 30 июля 2025: блог с результатами по языкам (на английском)veracode.com · проверено 03.11.2026
- Perry, Srivastava, Kumar, Boneh: пишут ли пользователи более небезопасный код с ИИ-помощниками (ACM CCS 2023, на английском)arxiv.org · проверено 03.11.2026
- Мэтт Палмер: заявление об уязвимости CVE-2025-48757 и результаты проверки сайтов (на английском)mattpalmer.io · проверено 03.11.2026
- NVD (NIST): запись CVE-2025-48757 с пометкой «оспаривается» (на английском)nvd.nist.gov · проверено 03.11.2026
- Supabase: документация по защите строк (Row Level Security, на английском)supabase.com · проверено 03.11.2026
- OWASP: Top 10:2025, список категорий уязвимостей (на английском)top10.owasp.org · проверено 03.11.2026
- Claude Code: обзор в документации Anthropic (на английском)code.claude.com · проверено 03.11.2026
- Lovable: введение в документации (на английском)docs.lovable.dev · проверено 03.11.2026
- Replit Agent: документация (на английском)docs.replit.com · проверено 03.11.2026
- SourceCraft Code Assistant (ранее Яндекс Code Assistant): страница сервисаsourcecraft.dev · проверено 03.11.2026
- Anthropic: политика поддерживаемых регионов (на английском)anthropic.com · проверено 03.11.2026
- Claude: страница тарифов (на английском)claude.com · проверено 03.11.2026
- Закон 152-ФЗ «О персональных данных», статья 3: основные понятия (ГАРАНТ)base.garant.ru · проверено 03.11.2026
- Закон 152-ФЗ, статья 18: обязанности оператора при сборе данных, часть 5 (ГАРАНТ)base.garant.ru · проверено 03.11.2026
- Закон 152-ФЗ, статья 19: меры по обеспечению безопасности (ГАРАНТ)base.garant.ru · проверено 03.11.2026
- Закон 152-ФЗ, статья 21: уведомление об инциденте, часть 3.1 (ГАРАНТ)base.garant.ru · проверено 03.11.2026
- Роскомнадзор, портал персональных данных: форма уведомления об инциденте с персональными даннымиpd.rkn.gov.ru · проверено 03.11.2026
- Закон 152-ФЗ, статья 22: уведомление об обработке, часть 1 (ГАРАНТ)base.garant.ru · проверено 03.11.2026
- Российская газета: закон от 26.07.2026 N 265-ФЗ об изменениях статьи 12 закона о персональных данныхrg.ru · проверено 03.11.2026
- GDPR, статья 32: безопасность обработки (текст регламента, intersoft consulting, на английском)gdpr-info.eu · проверено 03.11.2026
- GDPR, статья 33: уведомление надзорного органа об утечке (текст регламента, на английском)gdpr-info.eu · проверено 03.11.2026
- FTC (США): защита персональной информации, руководство для бизнеса, октябрь 2016 (на английском)ftc.gov · проверено 03.11.2026
- Stripe: руководство по безопасности интеграции и PCI DSS (на английском)docs.stripe.com · проверено 03.11.2026
- ЮKassa: сценарии приема платежей, сбор платежных данных и PCI DSSyookassa.ru · проверено 03.11.2026