Vibe coding 的毛病：演示时很漂亮，撑不过第二个月

更新于 2026年10月15日 · 阅读约 4 分钟

Vibe coding，就是把想要的软件讲给 AI 听，它写什么就用什么。这种做法只擅长一件事：飞快地做出一个像模像样的初版。麻烦都在演示之后：差一点就对的代码，修好这里又坏了那里，屏幕上看不出来的安全漏洞，以及没有一个人说得清它是怎么运作的。在懂代码的人检查过之前，vibe coding 做出来的应用不管看起来多完整，都只是原型。

周末玩具，被当成了创业方案

Vibe coding 指的是：把软件的样子讲给 AI 听，接受它写出来的代码，从来不去读。它起初是用来在周末做些用完就扔的小项目的。到了 2026 年，它被包装成了搭建企业核心软件的办法。

它擅长什么

先说它的好。Vibe coding 能在一个下午把想法变成可以点来点去的东西。想给客户或投资人看看你的设想，想做一个不碰敏感数据的一次性内部工具，或者在花钱请人之前先弄清楚自己到底要什么，它都是很便宜的办法。下面说的这些问题，都不是在这些场景里不用它的理由。

专业开发者，只在能核实时才信它

开发者们已经有了一条谨慎的规矩。Stack Overflow 2026 年对 3 万多名开发者的调查里，48% 的人说，只有在能轻松核实的时候才信 AI 的输出；敢在重要决定上信它的，只有 7%。

这条规矩的前提，是你能核实。不懂代码的人，没有办法检查 AI 写出来的东西。应用看上去已经做完了，哪一块是坏的，要等客户撞上了才知道。

修好一处，坏掉另一处

Vibe coding 做的应用，是一条条指令堆出来的，每条指令都是单独处理的。改一下结账页面，可能就悄悄改掉了折扣的算法。没有自动化测试，唯一的检查就是手动把应用点一遍，可没有人会在每次改动之后把所有地方都点一遍。结果就是：应用永远没有彻底坏掉，也永远没有真正做完。

安全问题，屏幕上看不出来

一个能用的登录页面，和一个安全的登录页面，看起来一模一样。Veracode 2026 年的测试发现，约 44% 的 AI 代码生成任务带进了有风险的安全漏洞。如今模型写的代码几乎次次都能跑，但能通过安全检查的比例只有 56%，从它第一次发布报告到现在，几乎没有变过。

2026 年 2 月，Wiz 的安全研究人员检查了 Moltbook。这是一个社交网络，创始人说自己一行代码都没写过。它的生产数据库对所有人敞开着：约 150 万个 API 令牌、约 3.5 万个电子邮箱地址，任何人都能读取和修改，原因是数据库的访问规则从来没有打开过。问题报告上去之后，几小时内就修好了。

这就是典型的情况：代码跑得好好的，缺的是一个没人知道要去检查的设置。而责任落在把应用推上线的人身上，看不看得懂代码都一样。

没人说得清它怎么运作

软件的一生，大部分时间都在维护。总得有人查清楚上周二那张发票为什么算错，加上会计要的那一栏，在原来的支付服务商改条款时换一家。Vibe coding 做的应用，唯一的“作者”是一个根本不记得自己写过这些代码的模型。

开发者们本来就很看重答案的出处：Stack Overflow 2026 年的调查里，78.7% 的开发者说，评估 AI 生成的代码时，能不能看到来源很重要。而 vibe coding 做的应用，没法告诉你它为什么是现在这个样子。

第二个月

第一版，是照着你第一天描述的需求做的。第二个月来的，是当初谁也没描述过的东西：开了第二家店，某个员工只能看一部分记录，要处理退款，碰上一个特别忙的星期。这些都是设计上的决定，而一个靠指令拼起来的应用，通常没有一个可以往上扩展的设计。

我们的立场

Vibe coding 没有消除软件里最难的部分，只是把它挪了个地方。打字变便宜了，理解、测试和为结果负责，并没有变便宜。我们的立场很简单：

• 做原型、做演示、做用完就扔的内部工具，放心用。
• 一旦要碰真实的客户、真实的钱或个人信息，先请懂代码的人把代码审一遍，测好关键功能，查清楚谁能访问数据。
• 代码、数据库和服务器，都放在公司自己名下的账号里。

一个下午做出来的演示，很有价值。只是，它和能撑起一门生意的软件，不是一回事。

资料来源

• Stack Overflow：2026 年开发者调查，AI 部分（2026 年 10 月）
• Veracode：2026 年生成式 AI 代码安全报告
• GovInfoSecurity：Moltbook 让任何人都能控制每一个 AI 代理（2026 年 2 月）