Il vibe coding è un modo di creare software descrivendo all’intelligenza artificiale cosa si vuole e accettando il codice che produce senza leggerlo: si giudica solo se il risultato funziona. È utile per prototipi e strumenti interni. Per un sito o un’app con dati dei clienti è rischioso: secondo Veracode (luglio 2025) il 45% dei campioni di codice generato dall’AI conteneva vulnerabilità note.
Vibe coding: cos’è e da dove nasce il termine
L’espressione l’ha usata per la prima volta Andrej Karpathy, tra i fondatori di OpenAI, in un post del 2 febbraio 2025. Descriveva un modo di programmare in cui ci si “abbandona alle vibrazioni” e ci si dimentica che il codice esiste: si chiede, si prova, si incolla l’errore, si richiede. Karpathy stesso lo presentava come adatto a progetti da weekend. In italiano si può rendere come “programmare a sensazione”.
In pochi mesi il termine è entrato nel lessico comune: Merriam-Webster lo ha registrato tra le espressioni di tendenza a marzo 2025 e il dizionario Collins lo ha scelto come parola dell’anno 2025.
Cosa si può fare con il vibe coding
Con gli strumenti di oggi una persona senza esperienza di programmazione può ottenere in poche ore:
- un prototipo cliccabile per testare un’idea con i clienti;
- un piccolo strumento interno, come un calcolatore o un modulo per l’ufficio;
- una bozza di interfaccia da usare come base per il progetto vero;
- uno script che automatizza un’attività ripetitiva.
È un cambiamento reale, e anche gli sviluppatori professionisti usano l’AI ogni giorno. La differenza sta in chi legge il codice prima di metterlo online. Del rapporto tra AI e siti web parliamo anche in sito web con intelligenza artificiale.
Quali sono i rischi del vibe coding: cosa dicono i dati
Il rischio principale è la sicurezza. Veracode, società specializzata in sicurezza del software, testa ogni anno il codice prodotto da oltre 100 modelli linguistici su attività reali in Java, Python, C# e JavaScript.
- Report 2025 (30 luglio 2025): il 45% dei campioni ha introdotto vulnerabilità della OWASP Top 10, la lista di riferimento dei rischi più comuni nelle applicazioni web. Sul cross-site scripting i modelli hanno fallito nell’86% dei casi rilevanti. Java era il linguaggio più a rischio, con il 72% di fallimenti.
- Report 2026 (28 luglio 2026): la quota media di test di sicurezza superati è ferma al 56%, come l’anno precedente. Nel frattempo il codice compila quasi sempre. I modelli sono diventati più bravi a scrivere codice che funziona, non codice sicuro.
Il problema del vibe coding è proprio questo: se il codice funziona, nessuno lo guarda. E le falle tipiche, come una query al database costruita con i dati del modulo o una password salvata in chiaro, non si vedono usando l’app. Si vedono quando qualcuno le sfrutta.
Dove serve un controllo esperto
Serve un controllo esperto ovunque il codice tocchi dati o soldi:
- login e aree riservate;
- moduli che raccolgono dati personali, con gli obblighi del GDPR;
- pagamenti ed e-commerce;
- integrazioni con gestionali, CRM o API esterne;
- tutto ciò che deve restare online e aggiornato per anni.
Un software non finisce quando funziona la prima volta. Librerie e dipendenze vanno aggiornate, e un’app generata senza capirla diventa difficile da mantenere. I dati sugli attacchi alle aziende italiane li trovi nel Rapporto Clusit 2026, e per alcuni settori la NIS2 aggiunge obblighi precisi.
Si può fare un sito aziendale con il vibe coding?
Per una bozza sì, per il sito definitivo no. Un sito aziendale non è solo codice: servono dominio e hosting intestati all’azienda, contenuti verificati, SEO di base, HTTPS, privacy e un piano di manutenzione. Tutti i passaggi sono in come fare un sito internet. Il vibe coding può accelerare la prima versione, ma qualcuno deve rispondere di quello che va online.
Cosa chiedere a chi ti sviluppa il sito
- Usate l’AI per scrivere codice? Chi lo rivede prima della pubblicazione?
- Fate test di sicurezza su login, moduli e pagamenti?
- Le dipendenze vengono aggiornate, e con quale frequenza?
- Il codice è documentato e resta mio se cambio fornitore?
In sintesi
Il vibe coding è un ottimo modo per provare un’idea in fretta. Non è un modo sicuro per pubblicare un sito o un’app che tratta dati di clienti: quasi metà del codice AI testato da Veracode aveva falle note. L’AI accelera, ma revisione, test e manutenzione restano lavoro di persone competenti. Tech To Business, web agency di Catanzaro, sviluppa siti con revisione e test del codice per attività in Calabria: trovi come lavoriamo nella pagina realizzazione siti web a Catanzaro.