Vibe coding es crear software pidiendo todo a un modelo de IA en lenguaje natural y aceptando el código que genera sin leer ni revisar. Describes lo que quieres, pruebas si funciona y, cuando da error, copias el mensaje de vuelta en el chat. Funciona bien para un prototipo de fin de semana, pero puede salir caro cuando el sistema guarda datos de otras personas o va a producción.
A continuación, verás de dónde vino el término, cómo funciona la práctica en el día a día, cuándo tiene sentido y qué riesgos surgen cuando nadie mira el código.
De dónde vino el término
La expresión fue creada por Andrej Karpathy, programador experimentado, en un post en la red X en febrero de 2025. Describió una forma de programar en la que te entregas a las "vibes" y olvidas que el código existe: aceptas los cambios sugeridos por el modelo sin leer el código. El propio Karpathy dijo que consideraba esto aceptable para proyectos descartables de fin de semana.
Martin Fowler, autor conocido en el área de ingeniería de software, aporta un criterio útil para separar las cosas. Para él, quien usa IA para escribir todo el código, pero sigue revisando y cuidando la estructura, no está haciendo vibe coding. Esto es otra práctica, que él llama ingeniería agéntica.
Cómo funciona en la práctica
Imagina que quieres una app para controlar los gastos del hogar. En vibe coding, el guion suele ser este: escribes "crea una app web con login donde puedo registrar gastos y ver un gráfico por mes", la herramienta genera decenas de archivos, ejecutas, algo se rompe, copias el error, la IA corrige, y así sucesivamente hasta que la pantalla parece correcta. En ningún momento abres el código para entender lo que hace.
Herramientas usadas
En el post original, Karpathy citó a Cursor, un editor de código con IA, usando el recurso Composer, y una app de dictado por voz para hablar con él casi sin tocar el teclado. Hoy el mismo estilo aparece en tres tipos de herramienta:
- editores de código con asistente de IA integrado, que sugieren y aplican cambios en varios archivos;
- agentes de programación que corren en el terminal y ejecutan comandos, instalan paquetes y alteran el proyecto solos;
- plataformas que generan una app entera a partir de una descripción en texto.
Lo que define el vibe coding es el modo de uso, no la herramienta. Cualquiera de ellas puede ser usada con o sin revisión. Los recursos y nombres de productos cambian rápido, así que vale la pena revisar la documentación oficial de cada uno antes de elegir.
Cuándo tiene sentido
Fowler resume bien: vibe coding combina con software desechable, usado solo por quien lo creó o por un grupo pequeño que entiende los riesgos. Algunos ejemplos:
- un prototipo para mostrar una idea al equipo antes de invertir tiempo de desarrollo;
- un script personal que renombra fotos o organiza hojas de cálculo en tu computadora;
- un experimento para aprender cómo funciona una biblioteca;
- una herramienta interna simple, sin datos personales y sin acceso a internet.
En esos casos, si el código se rompe o queda desordenado, la pérdida es pequeña y lo puedes desechar y comenzar de nuevo.
Cuándo se vuelve arriesgado
El riesgo aumenta cuando el sistema es complejo, tiene muchos usuarios o guarda información que no es tuya. Fowler señala problemas frecuentes de mantenimiento, corrección y seguridad, y considera la seguridad el más grave.
Seguridad del código generado
Un estudio de Veracode publicado en julio de 2025 probó más de 100 modelos de lenguaje en 80 tareas de programación relacionadas con fallas conocidas. En el 45% de los casos, el código generado presentaba vulnerabilidades. Contra cross-site scripting (XSS), los modelos fallaron en el 86% de las pruebas; contra inyección en logs, en el 88%. En Java, la tasa de fallos superó el 70%. Y modelos más grandes no rindieron mucho mejor que los más pequeños.
En la práctica, esto significa que un formulario generado por IA puede aceptar un script malicioso y exhibirlo a otros usuarios. Si no lees el código, no te das cuenta.
Claves de API y datos expuestos
Cuando pides "conéctate con el servicio de pago" y pegas tu clave en el chat, la IA puede insertarla directamente en el código, incluso en el lado del navegador, donde cualquier visitante puede verla. Lo mismo aplica a reglas de bases de datos demasiado abiertas, que permiten a cualquiera leer la tabla de usuarios. Son errores simples de encontrar en una revisión y fáciles de pasar por alto cuando nadie revisa.
Dependencias que no existen (o que son trampas)
La OWASP, comunidad abierta de referencia en seguridad de aplicaciones, lista en su Top 10 de riesgos para aplicaciones con LLM (edición 2025) la generación de código inseguro y la sugerencia de bibliotecas que no existen. El escenario descrito es concreto: atacantes prueban asistentes de programación para descubrir nombres de paquetes que la IA suele inventar y publican paquetes maliciosos con esos nombres en repositorios populares. Quien instala sin verificar se lleva el malware consigo.
Calidad, mantenimiento y deuda técnica
Sin atención al código, el vibe coding produce mucho código de baja calidad en poco tiempo, como observa Fowler. La app funciona hoy, pero nadie sabe explicar por qué, y cada corrección pedida a la IA puede romper otra parte. Esta es la deuda técnica: un costo que pagas después, cuando necesitas cambiar algo y descubres que es más fácil reescribir que entender.
Privacidad y LGPD
Si tu app recopila nombre, correo electrónico, CPF o cualquier dato de personas, la Ley General de Protección de Datos (Ley 13.709/2018) se aplica. El artículo 46 exige medidas de seguridad técnicas y administrativas para proteger esos datos de accesos no autorizados, y el párrafo 2º dice que deben ser observadas "desde la fase de concepción del producto o del servicio hasta su ejecución". El artículo 48 obliga al controlador a comunicar a la autoridad nacional y a los titulares incidentes que puedan causar riesgo o daño relevante. "La IA escribió" no cambia quién responde por el sistema.
Mejores prácticas para usar sin exponerse
No necesitas renunciar a la IA. Necesitas cambiar el "aceptar todo" por algunos hábitos:
- Lee el código antes de publicar. Si no entiendes un fragmento, pídele a la propia IA que explique y verifica.
- Nunca pegues claves de API, contraseñas o datos reales de clientes en el chat. Guarda secretos en variables de entorno y fuera del repositorio.
- Verifica cada paquete sugerido en el repositorio oficial antes de instalar: ve si existe, quién lo mantiene y si tiene uso real.
- Ejecuta herramientas de análisis de seguridad y de dependencias en el proyecto, como harías con código escrito por una persona.
- Escribe pruebas para las partes que manejan login, pago y datos personales.
- Separa prototipo de producto. Lo que nació de la improvisación debe ser revisado o reescrito antes de recibir usuarios reales.
- Si hay datos personales, piensa en la LGPD desde el principio: recopila solo lo necesario y protege el acceso.
Las recomendaciones de la OWASP van en la misma línea: supervisión humana, verificación cruzada con fuentes confiables y prácticas de código seguro para no incorporar fallas provenientes de sugerencias equivocadas.
Preguntas frecuentes
¿Vibe coding es lo mismo que programar con IA?
No. Vibe coding es aceptar el código sin revisarlo. Usar IA y revisar el resultado es otra práctica, que Martin Fowler llama ingeniería agéntica.
¿Quién nunca programó puede hacer vibe coding?
Puedes, y mucha gente lo hace para herramientas personales. El problema comienza cuando la app guarda datos de otras personas o va a internet sin que alguien entienda el código.
¿Modelos de IA más nuevos resuelven el problema de seguridad?
No se puede contar con eso. En el estudio de Veracode de 2025, modelos más grandes no tuvieron un rendimiento de seguridad mucho mejor que los más pequeños.
Si la IA se equivocó, ¿la responsabilidad es de quién?
La LGPD exige medidas de seguridad de los agentes de tratamiento, es decir, de quien recopila y usa los datos. La herramienta utilizada para escribir el código no cambia eso.
Próximos pasos
Toma un proyecto que creaste con IA y haz una revisión rápida: busca claves en el código, lista las dependencias y confirma que cada una existe en el repositorio oficial. Para profundizar en fundamentos de programación y seguridad, explora la plataforma de cursos de Hcode.
Fuentes
Vibe Coding, Martin Fowler (martinfowler.com), 21 de mayo de 2026.
AI-Generated Code Poses Major Security Risks in Nearly Half of All Development Tasks, Veracode Research Reveals, Veracode, 30 de julio de 2025.
LLM09:2025 Misinformation, OWASP Gen AI Security Project, actualizado en 17 de abril de 2025.
Ley nº 13.709, de 14 de agosto de 2018 (Ley General de Protección de Datos Personales), Presidencia de la República, consultado el 27 de octubre de 2026.