תשובה קצרה: כלי Vibe Coding כמו Lovable, Bolt, Cursor ו-Claude Code בונים בתוך ימים אב-טיפוס שאפשר ללחוץ עליו, כלי פנימי לצוות קטן או דף נחיתה עם טופס שעובד. הם נתקעים כשהמוצר צריך הזדהות אמיתית, מבנה נתונים שיחזיק צמיחה, הרשאות לפי לקוח ומישהו שאחראי על הקוד גם בעוד שנה. משתמשים בהם כדי לבדוק רעיון, ומעבירים למהנדסים לפני שנכנס מידע אמיתי של לקוחות.
עיקרי הדברים
- מאיפה המונח: אנדריי קרפתי טבע את הביטוי בפברואר 2025, ומילון קולינס בחר בו כמילת השנה של 2025.
- שתי משפחות של כלים: Lovable ו-Bolt מייצרים אפליקציה שלמה משיחה בדפדפן. Cursor ו-Claude Code עובדים בתוך בסיס קוד קיים.
- אבטחה היא נקודת התורפה: בבדיקה של Veracode מ-2025 על יותר מ-100 מודלי שפה ו-80 משימות, נמצאו חולשות אבטחה ב-45% מדגימות הקוד.
- מקרה מתועד: CVE-2025-48757 מתאר מדיניות Row-Level Security לא מספקת באתרים שנבנו ב-Lovable עד 15 באפריל 2025, שאפשרה למשתמשים לא מזוהים לקרוא ולכתוב לטבלאות. Lovable חולקת על הסיווג.
במה כלי Vibe Coding טובים
התוצאה הטובה ביותר מגיעה כשההיקף מצומצם והסיכון נמוך: דמו למשקיעים, טופס ששומר לטבלה, דשבורד על נתוני בדיקה או סקריפט חד-פעמי. למייסד, אב-טיפוס עובד מחליף מצגת בראיונות הראשונים עם משתמשים ומראה מהר באילו מסכים משתמשים. הוא גם הופך בריף כללי למשהו שצוות פיתוח יכול לתמחר, וזה התפקיד של אפיון תוכנה לפני פיתוח.
Cursor ו-Claude Code שייכים לקטגוריה אחרת. אצל מהנדס שקורא כל שינוי לפני המיזוג, הם מקצרים עבודה על מוצר אמיתי. הסיכון מתחיל כשעולה לאוויר קוד שאף אחד לא קרא.
איפה אב-טיפוס שנבנה ב-AI נשבר
| תחום | מה בדרך כלל משתבש |
|---|---|
| הזדהות | ההתחברות עובדת בדמו, אבל איפוס סיסמה, ניהול סשנים ותפקידים חלקיים או חסרים |
| מבנה נתונים | הטבלאות נבנו סביב המסכים הראשונים, וסוג לקוח נוסף מחייב לכתוב אותן מחדש |
| הרשאות במסד הנתונים | מדיניות גישה חסרה או רחבה מדי, ומשתמש אחד יכול לשלוף רשומות של משתמש אחר |
| מפתחות | מפתחות API בקוד הצד-לקוח, גלויים לכל מי שפותח את הדפדפן |
| תחזוקה | אין בדיקות, אין היסטוריית שינויים שהצוות מבין, ואין מי שיסביר את הקוד |
את ההרשאות בודקים ראשונות. הפרדה בין נתונים של לקוחות שונים מוסברת בניהול תפקידים והרשאות ב-SaaS, ואותם סיכונים בצד המובייל באבטחת אפליקציות מובייל.
