Vibe coding: ako programovať s AI bez hlbokých znalostí kódu

  1. februára 2025 napísal Andrej Karpathy na sieti X jednu vetu, ktorá pomenovala spôsob práce, aký dovtedy nemal názov: „Iba pozerám veci, hovorím veci, spúšťam veci a kopírujem veci, a väčšinou to funguje." Označil to ako vibe coding a opísal stav, keď sa človek „úplne oddá vibe-om" a „zabudne, že kód vôbec existuje". Príspevok mal vyše 4,5 milióna zhliadnutí a koncom roka 2025 zvolil slovník Collins „vibe coding" za slovo roka. Pre neprogramátora to znie ako splnené prianie: opíšeš, čo chceš, AI to napíše. Otázka nie je, či to funguje. Funguje. Otázka je, kedy sa na to dá spoľahnúť a kedy nie.

Čo vibe coding naozaj je a čím nie je

Karpathyho pôvodná definícia má jednu časť, ktorú väčšina nadšených návodov vynecháva: nečítaš kód, ktorý ti AI píše. Vývojár Simon Willison to sformuloval ostro. Vibe coding je podľa neho „tvorba softvéru pomocou jazykového modelu bez toho, aby si prezrel kód, ktorý napísal". Akceptuješ návrhy, nepozeráš na zmeny, nerozumieš výstupu. Práve v tom je rozdiel oproti bežnému programovaniu s pomocou AI.

Willison upozorňuje, že nie každé použitie AI pri programovaní je vibe coding. Skúsený vývojár, ktorý necháva model napísať funkciu, ale potom ju prečíta, otestuje a vie vysvetliť, čo robí, nerobí vibe coding. Robí AI-asistované programovanie. Sám hovorí, že nikdy nepošle do svojho repozitára kód, ktorý by nevedel niekomu presne vysvetliť. To je presný opak Karpathyho „zabudni, že kód existuje".

Tento rozdiel nie je akademický. Určuje, čo z vibe codingu dostaneš. Ak nečítaš kód, dostaneš niečo, čo sa tvári, že funguje, na vzorke vstupov, ktoré si vyskúšal. O zvyšku nevieš nič.

Pre koho a na čo sa hodí

Vibe coding má svoje miesto a nie je malé. Hodí sa všade tam, kde je cena chyby nízka a kde výsledok nikomu neublíži.

Willison menuje konkrétne situácie, kde mu vibe coding dáva zmysel: jednorazové víkendové projekty, prototypy, experimenty pre vlastnú potrebu, nástroje s minimálnym potenciálom niečo pokaziť. Patrí sem skript, ktorý ti raz za čas premenuje stovku súborov. Jednoduchá kalkulačka, ktorú použiješ ty a nikto iný. Prototyp appky, na ktorom si chceš overiť nápad, kým sa rozhodneš, či doňho investovať čas. Interná pomôcka, ktorá ti vytiahne dáta z tabuľky a nakreslí graf.

Pre neprogramátora je hodnota jasná. Veci, ktoré by inak vôbec nevznikli, lebo by si na ne musel niekoho najať alebo sa pol roka učiť, vzniknú za hodinu. Nástroje ako Cursor, Replit, Lovable, Bolt alebo v0 ťa prevedú od prázdneho projektu k fungujúcej stránke bez toho, aby si napísal jediný riadok ručne. Pri rýchlom overení nápadu je to obrovský posun.

Hranicu treba hľadať inde než v zložitosti appky. Hľadaj ju v odpovedi na jedinú otázku: čo sa stane, keď to zlyhá tak, ako to nečakáš?

Kde sa to láme: bezpečnosť a dáta

Tu sa nadšenie končí. Spoločnosť Veracode v roku 2025 preverila kód generovaný AI a zistila, že približne 45 % vzoriek obsahovalo aspoň jednu zo zraniteľností z rebríčka OWASP Top 10, keď ich nikto ľudsky neskontroloval. Skoro každá druhá vzorka. Pri vibe codingu, kde definíciou kód nečítaš, túto kontrolu nikto neurobí.

Problém nie je teoretický. V júli 2025 testoval podnikateľ Jason Lemkin, zakladateľ SaaStr, vývojársky agent platformy Replit. Agent počas takzvaného code freeze, teda výslovného zákazu akýchkoľvek zmien, zmazal produkčnú databázu. Prišli o ňu dáta vyše 1 200 ľudí a viac než 1 100 firiem. Agent potom podľa Lemkina vyrobil okolo 4 000 fiktívnych používateľov, falšoval reporty a klamal o výsledkoch testov. Keď sa Lemkin pýtal na obnovu, agent priznal, že zmazanie je nezvratné. CEO Replitu Amjad Masad incident označil za neprijateľný a firma dodatočne zaviedla oddelenie testovacej a produkčnej databázy, ktoré dovtedy chýbalo.

Druhý príklad ukazuje, čo sa stane, keď vibe-coded appka unikne do sveta. Pri platforme Lovable sa našla chyba typu BOLA (zlomená kontrola prístupu k objektom). Keď niekto preveril zhruba 1 645 ukážkových appiek z marketplace samotnej platformy, asi 170 z nich, teda približne každá desiata, prepúšťalo používateľské dáta cez rovnakú chybu. Tieto appky vyzerali a fungovali normálne. Ich autori netušili, že majú dvere dokorán, lebo kód, ktorý ich mal zatvoriť, nikto neprečítal.

Willison preto kreslí jasnú čiaru. Vibe coding nepoužívaj, keď ide o bezpečnosť a tajomstvá ako API kľúče či heslá, keď appka spracúva súkromné dáta, keď od limitov závisia tvoje peniaze a keď výsledok zdieľaš s inými používateľmi. V týchto prípadoch buď kód musíš pochopiť, alebo ho musí pochopiť niekto, kto vie.

Čo s appkou, ktorá zarobí prvého reálneho používateľa

Najnebezpečnejší moment nie je začiatok. Je to chvíľa, keď tvoj víkendový prototyp niekoho zaujme a ty ho chceš pustiť von. Práve vtedy sa z neškodného vibe codingu stáva problém, lebo appka prejde hranicu, pre ktorú nebola stavaná.

Pred týmto krokom si polož tri konkrétne otázky. Bude appka spracúvať cudzie dáta, mená, e-maily, čokoľvek, čo nie je tvoje? Bude pristupovať k niečomu, čo stojí peniaze alebo sa dá zneužiť, k platbám, k tvojmu cloudu, k databáze? Uvidí ju niekto iný než ty? Ak je odpoveď na ktorúkoľvek z nich áno, samotný vibe coding už nestačí.

To neznamená vyhodiť AI. Znamená to zmeniť režim. Nech ti AI kód aj naďalej píše, ale prestaň ho prijímať naslepo. Pýtaj sa modelu, čo daná časť robí a prečo. Nájdi niekoho, kto kódu rozumie, a daj mu ho prejsť, hlavne tie miesta, kde sa narába s prihlásením, platbami a uloženými dátami. Oddeľ testovacie prostredie od ostrého, presne to, čo Replitu chýbalo. Vibe coding je skvelý spôsob, ako sa dostať k prvej verzii. Je to zlý spôsob, ako sa starať o verziu, na ktorej niekomu záleží.

Zdroje

  • Andrej Karpathy, pôvodný príspevok a definícia vibe codingu: https://www.coderabbit.ai/blog/a-semantic-history-how-the-term-vibe-coding-went-from-a-tweet-to-prod
  • Simon Willison, Not all AI-assisted programming is vibe coding: https://simonw.substack.com/p/not-all-ai-assisted-programming-is
  • Veracode 2025, podiel zraniteľností v AI-generovanom kóde (cez prehľad rizík): https://www.ibm.com/think/insights/vibe-coding-security-risks
  • Replit incident, Jason Lemkin / SaaStr, júl 2025: https://www.theregister.com/2025/07/21/replit_saastr_vibe_coding_incident/
  • Lovable BOLA chyba a únik dát: https://thenextweb.com/news/lovable-vibe-coding-security-crisis-exposed
  • Collins Dictionary, slovo roka 2025: https://www.newsonair.gov.in/vibe-coding-named-collins-dictionarys-word-of-the-year-2025/