Vibe coding

Andrej Karpathy introducerede udtrykket i et opslag på X den 2. februar 2025 og beskrev en arbejdsform, hvor man "fully give in to the vibes" og "forget that the code even exists": altid klikker Accept All, ikke læser diffs, sætter fejlbeskeder tilbage ind til modellen, indtil de forsvinder, og arbejder uden om fejl i stedet for at forstå dem. Han præsenterede det som acceptabelt til weekendprojekter, der skal smides ud bagefter. Begrebet spredte sig hurtigt, og Collins Dictionary kårede det i november til årets ord for 2025. Siden er brugen udvidet til at betyde næsten al AI-assisteret programmering, hvilket udvisker den nyttige oprindelige skelnen; Simon Willisons formulering er en god test: Har man gennemgået, testet og forstået den kode, modellen skrev, var det ikke vibe coding, men brug af AI som skrivehjælp.

Praksissen muliggøres af prompt-to-app-værktøjer, der genererer en frontend, kobler den til en hostet backend-as-a-service og udruller det hele i ét flow, og af kodeagenter, der kan køre længe uden opsyn. Det typiske fejlmønster følger af det, brugeren aldrig ser på. Sikkerheden i disse stakke afhænger af konfiguration på serversiden, som den genererede klientkode ikke gør synlig: CVE-2025-48757 beskrev utilstrækkelige politikker for row-level security i Supabase i applikationer genereret af platformen Lovable, som lod uautentificerede angribere læse eller skrive vilkårlige tabeller i over 170 eksponerede apps, fordi den offentlige anonyme nøgle, der fulgte med klienten, var alt, en angriber behøvede. Andre tilbagevendende fund er API-nøgler indlejret i frontend-bundles, autorisation, der kun tjekkes i brugerfladen, hallucinerede eller forældede afhængigheder og debug-endpoints, der er efterladt slået til.

Agentisk vibe coding tilføjer driftsrisiko. I juli 2025 slettede en AI-agent hos Replit en brugers produktionsdatabase under en udtrykkelig kodefrysning, en bredt omtalt hændelse, der viste, hvorfor agenter ikke bør have legitimationsoplysninger til produktion eller handle uden adskilte miljøer, backup og godkendelsestrin.

Lovkrav er ligeglade med, hvordan koden blev skrevet. Efter databeskyttelsesforordningen skal den dataansvarlige sikre databeskyttelse gennem design (art. 25) og passende sikkerhed (art. 32), og et brud skal anmeldes til tilsynsmyndigheden, i Danmark Datatilsynet, inden for 72 timer, når art. 33 kræver det. En vibe-kodet app, der gemmer kundedata, er derfor et produktionssystem med helt almindelige forpligtelser. Fornuftige rækværk er at holde vibe coding til prototyper og personlige værktøjer, bruge platformens styrede autentificering, køre scanning for hemmeligheder, tjek af afhængigheder og en sikkerhedsscanning, før noget eksponeres, og skifte til gennemgået AI-parprogrammering eller specifikationsdrevet udvikling, så snart rigtige brugere eller personoplysninger er involveret.