Vibe coding betekenis: wat het oplevert en waar het misloopt

Andrej Karpathy, medeoprichter van OpenAI, gaf het begin februari 2025 een naam in een post: je geeft je volledig over aan de vibes en vergeet dat de code bestaat. Een maand later stond het bij Merriam-Webster als opkomend slangwoord, en Collins koos het tot woord van 2025. Het verschil met een developer die een AI-assistent gebruikt, zit in dat ene stuk: bij vibe coding leest niemand de code die het taalmodel schreef. Je beoordeelt alleen of het scherm doet wat je vroeg.

Een middag tot een werkend prototype

Daar zit de kracht. Met tools als Lovable, Bolt, v0 of een codeerassistent beschrijf je in een paar prompts een boekingsformulier, een dashboard of een eenvoudige webshop, en een uur later klik je erin rond. Voor een idee dat je wil tonen aan een investeerder of een eerste klant is dat goud: een proof of concept die vroeger een week kostte, staat er op een middag.

Het probleem begint pas als dat prototype stilletjes product wordt. Er komen echte gebruikers op, echte klantgegevens, echte betalingen. Wat het model schreef, werkt in de demo, maar niemand weet wat het doet als iemand iets onverwachts probeert.

Een tweede slot bij het aanmelden heet tweestapsverificatie; tekst die een model iets anders laat doen dan de bedoeling heet prompt injection. Geen van die vijf zie je in een demo. Ze komen pas boven als iemand ze zoekt, en dan zijn het je klanten die de rekening krijgen. Hoe dat bij een concrete tool uitvalt, lees je in is Lovable veilig.

Vibe coding, low-code en een developer met AI

Low-code is een ander ding: je bouwt in een beheerd platform met vaste bouwstenen, en dat platform regelt de beveiliging voor je, binnen zijn grenzen. Vibe coding geeft je een volledige codebasis die je niet kent. Wat dat over drie jaar kost, heet technische schuld: elke snelle keuze die niemand begrijpt, betaal je later terug met rente. Voor een website alleen zet website laten maken door AI de opties naast elkaar, en Lovable of WordPress vergelijkt de twee die het vaakst opduiken.

Wat we wel en niet aan een model overlaten

Jesper bouwt zelf met AI-agents, dus dit is geen verhaal tegen AI. Een model schrijft bij ons code, tests en documentatie. Wat we niet aan een model overlaten: de keuze hoe aanmelden en rechten werken, het nalezen van elke regel die met geld, persoonsgegevens of toegang te maken heeft, en de beslissing dat iets live gaat. Tests die proberen in te breken horen erbij: het beheerplatform dat we voor Business Centrum bouwden, draait op elke wijziging 65 misbruiktests, die nagaan of een gebruiker iets kan zien of doen dat niet van hem is.