Вайбкодинг без программиста: что я собрал бы сам, а что отдал разработчику
С нейросетью я спокойно соберу сам то, где поломка заденет только меня: визитку, лендинг, простой калькулятор. Программу, которая принимает оплату, сохраняет телефоны и почту людей или открывается по паролю, я отдал бы разработчику. По проверке Veracode 2025 года опасная дыра нашлась в 45 % образцов кода, написанного нейросетями.
Свой сайт kaufmanlab.ru я собрал вместе с нейросетью. Написать мне с него нельзя, внизу страницы есть только ссылка на Telegram. Поле «Телефон» и кнопка «Отправить» кажутся проще всего, что там уже сделано. Расскажу, почему именно с такой формой я бы позвал человека.
Что такое вайбкодинг?
Так называют сборку программы, когда нейросеть получает задачу простыми словами и сама пишет код, а человек в него не заглядывает. Термин в марте 2025 года разобрал разработчик Саймон Уиллисон. Человек объясняет задачу и смотрит, что вышло.
Я работаю почти так. Код страниц, оформление и сборку пишет Claude, а я ставлю задачу, принимаю результат и сам выкладываю. На 8 октября 2026 года в истории сайта было больше 280 правок, и в 229 соавтор Claude.
Разработчику я не платил ни рубля. Плачу только за домен и сервер, своё время в расчёт не беру. Цену нейросети считайте по тарифу своего сервиса.
Где самосборка становится опасной?
Сложность тут ни при чём, решает другое. Важно, кому достанется ошибка. Уиллисон не против вайбкодинга для проб и дел с дешёвой ошибкой, но просит прикинуть вред. Потеряет ли кто-то деньги или репутацию из-за бага или дыры? Для программ, которыми пользуются посторонние, он считает этот вопрос особенно важным. Пароли, ключи и личные сведения чужих людей, по его совету, требуют особой осторожности.
Уязвимости в таком коде попадаются часто. В июле 2025 года Veracode прогнала через проверку код больше чем 100 нейросетей. Почти половина образцов содержала брешь из перечня самых опасных. Свежие модели безопаснее не стали, поэтому новая версия проверку не заменит.
Однажды у меня лишний закрывающий тег сломал вёрстку сразу шести страниц. Было неприятно, но пострадал только я. С калькулятором, который не сохраняет ничего про посетителей, вышло бы так же.
Форма с телефоном приносит обязанности по закону. Владелец сайта, где форма принимает телефоны и почту, по 152-ФЗ о персональных данных считается оператором. Статья 22 требует, чтобы он уведомил Роскомнадзор раньше, чем придёт первая заявка. Без уведомления можно в редких случаях, скажем когда данные ведут лишь на бумаге. Форма на сайте обрабатывает их компьютером.
Почему простая форма может выдать номера всем?
Вместе с формой появляется настройка, которая решает, кто сможет прочитать сохранённые номера.
Исследователь Мэтт Палмер и его коллеги в 2025 году прошлись по 1 645 приложениям из витрины Lovable. Это сервис, в котором приложение делают по текстовому заданию. В 170 из них сведения о пользователях мог прочитать любой, хотя проверяли только главные страницы.
Наружу уходили почта, телефоны, ключи и сведения о платежах. Правила доступа к базе в этих приложениях либо забыли задать, либо задали с ошибкой. Собственная проверка Lovable в то время, как пишут исследователи, видела само наличие правила, а его правильность не оценивала. Позже её доработали.
Моей форме понадобились бы и хранилище чужих номеров, и такое правило.
Как решить, звать ли разработчика?
Звать ли разработчика, можно решить до первой строчки кода: ответьте на пять вопросов, на каждый только «да» или «нет».
- Принимает ли программа оплату?
- Остаются ли в ней номера и адреса почты?
- Нужен ли для входа пароль?
- Задену ли я кого-то кроме себя, если её сломают или она упадёт сама?
- Лежат ли внутри ключи и пароли от других сервисов?
Мой сайт денег, номеров и паролей у посетителей не берёт, а если он ломается, страдаю от этого я один. Если у вас везде «нет», собирайте сами.
Хоть одно «да», и перед выкладкой код показывают специалисту. Собираете в Lovable? До этого зайдите в Security, запустите «Run deep scan» и закройте всё с пометкой Critical. Сама документация Lovable предупреждает, что эта проверка полной гарантии не даёт и специалиста не заменяет.
Для формы с номерами нужен и третий шаг, то самое уведомление Роскомнадзора. Бланк лежит на портале pd.rkn.gov.ru, его отправляют через Госуслуги, заверяют электронной подписью или посылают на бумаге.
Владельцу бизнеса, у которого приложение в Lovable собирает сотрудник, я бы поставил запрет выкладывать версию с находками Critical. Он включается в Workspace settings → Security. Маркетологу пригодится правило Уиллисона. Код, который не можешь объяснить другому человеку, в работу не берут.
Калькулятору хватит пяти вопросов. Форме с номером телефона понадобятся все три шага.
Роман Кауфман, основатель Кауфман Lab