Vibe Coding: Qué Es, Riesgos y Seguridad en 2026

Vibe coding es la forma más rápida de escribir software hoy — y también la más peligrosa cuando se hace improvisando. El término, acuñado en 2025, describe una forma de programar en la que describes la intención en lenguaje natural y dejas que la IA genere, refine y depure el código por ti. En 2026 esto salió de Twitter y entró en bancos, startups e incluso en sistemas de trading. En esta guía separo lo que es hype de lo que es real: adopción, herramientas, los riesgos de seguridad documentados y cómo usarlo sin quemarse.

TL;DR

• Vibe coding es programar guiado por intención: conversas con la IA y ella escribe el código, en lugar de teclear línea por línea.
• La adopción explotó: la IA ya genera 46% de todo el código nuevo en GitHub en 2026, con proyección del 60% para fin de año.
• El riesgo es concreto: estudios del primer trimestre de 2026 señalan que entre el 40% y el 62% del código generado por IA contiene vulnerabilidades.
• El problema no es la herramienta, es el proceso: la mayoría de los desarrolladores no revisa lo que la IA entrega antes de subirlo a producción.
• Se puede usar bien — con revisión, pruebas, alcance limitado y las salvaguardas adecuadas.

Qué es vibe coding (y de dónde viene el término)

El término vibe coding fue acuñado por Andrej Karpathy, exdirector de IA de Tesla y cofundador de OpenAI, el 2 de febrero de 2025, en un post en X que superó los 4,5 millones de visualizaciones. La frase que caló fue directa: "entrégate totalmente a las vibras, abraza los exponenciales y olvida que el código siquiera existe".

En la práctica, vibe coding es programar mediante conversación. En lugar de escribir cada función a mano, describes lo que quieres — "crea una pantalla de inicio de sesión con recuperación de contraseña" — y un asistente de IA genera el código, lo ajusta según tu feedback y corrige sus propios errores. Karpathy describió el flujo usando el Composer de Cursor con modelos de Anthropic, programando por voz, casi sin tocar el teclado.

El término caló tanto que el diccionario Collins eligió "vibe coding" como una de las palabras del año 2025. Pero es importante separar dos cosas que suelen confundirse: vibe coding puro (aceptar lo que la IA genera sin leer) es diferente de AI-assisted coding (usar IA con revisión humana activa). Esta distinción, como verás, es exactamente la línea entre productividad y desastre.

Cómo explotó el vibe coding en 2026

En poco más de un año, el vibe coding pasó de ser un experimento de fin de semana a convertirse en infraestructura de negocio. Las cifras lo dejan claro:

• La IA ya es responsable del 46% de todo el código nuevo en GitHub en 2026, con proyección de alcanzar el 60% para fin de año.
• Aproximadamente el 40% de los nuevos MVPs de SaaS se construyen principalmente con vibe coding.
• El 25% de las startups del lote Winter 2025 de Y Combinator funcionan sobre bases de código que son 95% generadas por IA.
• Cursor, una de las herramientas líderes, alcanzó US$ 2 mil millones en ingresos anualizados a principios de 2026.

No es solo cosa de startups. En mayo de 2026, Bloomberg informó que el banco neerlandés ING está usando vibe coding para construir herramientas de trading electrónico de divisas y crédito. Ese mismo mes, Lovable invirtió en una startup danesa de hardware, Atech, que quiere llevar el vibe coding al mundo físico: compras un kit, describes el prototipo a un chatbot y recibes el código listo.

Como desarrollador full stack con más de 15 años de experiencia, veo esto con los pies en la tierra. La velocidad es real — prototipos que llevaban una semana salen en una tarde. Pero velocidad sin disciplina, en el software, tiene un nombre: deuda técnica acumulando intereses compuestos.

Las herramientas que dominan el vibe coding

El ecosistema se ha organizado en torno a dos perfiles de herramienta. Entender la diferencia ayuda a elegir la adecuada para cada etapa.

Herramienta	Perfil	Mejor para
Lovable / Bolt	Generadores en el navegador	Prototipado rápido, validar idea, landing pages
Cursor / Claude Code	IDEs agénticas	Código de producción, refinamiento, bases grandes
GitHub Copilot	Asistente integrado	Autocompletado contextual en el día a día
v0 / Replit Agent	Generación de UI y apps	Interfaces y apps full-stack guiadas por prompt

Un flujo que ha ganado fuerza en 2026 es el que llaman "graduate workflow": empiezas prototipando en una herramienta de navegador como Bolt o Lovable y, una vez que la idea se prueba, migras el código a una IDE agéntica como Cursor o Claude Code para refinarlo hasta nivel de producción. Este mismo movimiento de las IDEs agénticas lo detallé en el post sobre Google Antigravity 2.0, que muestra cómo Google entró en esta pelea.

El punto que casi ningún tutorial menciona: la herramienta no te exime de saber lo que está pasando. Acelera a quien sabe y esconde los agujeros a quien no sabe.

El lado oscuro: los riesgos de seguridad del vibe coding

Aquí está la parte que el entusiasmo suele barrer debajo de la alfombra. Cuando aceptas código sin leer, también aceptas las fallas que vienen con él — y vienen.

Georgia Tech lanzó en 2026 el Vibe Security Radar, después de darse cuenta de que nadie estaba rastreando las vulnerabilidades introducidas por herramientas de IA. Solo en marzo de 2026, el radar registró 35 nuevas entradas de CVE causadas directamente por código generado por IA — más que en todo el año 2025 combinado, y un salto frente a las 6 de enero.

Los estudios del primer trimestre de 2026 son consistentes e incómodos:

• Entre el 40% y el 62% del código generado por IA contiene vulnerabilidades de seguridad.
• El código escrito por IA produce fallos a una tasa 2,74 veces mayor que el código humano.
• Vulnerabilidades de XSS (cross-site scripting) aparecieron en el 86% de las muestras de código de IA probadas en cinco LLMs diferentes.
• Un metaanálisis de enero de 2026, que cubre 78 estudios sobre asistentes de código agénticos, encontró tasas de éxito de ataque superiores al 85% cuando se utilizan estrategias adaptativas — y la mayoría de las defensas publicadas bloquean menos del 50% de estos ataques.

Esto se relaciona directamente con otras amenazas de la cadena de desarrollo que ya hemos cubierto, como los paquetes NPM infectados de Shai-Hulud: el código generado por IA a menudo importa dependencias sin verificar su procedencia, ampliando la superficie de ataque de la cadena de suministro.

La "paradoja de la confianza" del código generado por IA

El dato más revelador de 2026 no es sobre la IA — es sobre nosotros. Existe un desajuste peligroso entre lo que los desarrolladores creen y lo que hacen.

Encuestas del sector muestran que el 96% de los desarrolladores no confía plenamente en que el código generado por IA sea funcionalmente correcto. El 61% coincide en que la IA produce código que parece correcto, pero no es fiable. Y aún así solo el 48% siempre revisa el código antes de hacer commit. Es decir: la mayoría sabe que el código puede estar mal y, aun así, más de la mitad no siempre lo comprueba.

¿Por qué ocurre esto? Porque el 82% de ese mismo grupo dice que la IA les ayuda a programar más rápido. La prisa vence a la prudencia. Es el atajo psicológico clásico: cuando algo parece listo y la entrega está ajustada, el cerebro trata la revisión como un costo, no como seguridad.

Esa es la esencia del problema del vibe coding. No es que la IA sea incompetente — es que es convincente. El código que compila y funciona en la pantalla de demostración puede ocultar una inyección SQL, una clave de API expuesta o un fallo de autorización que solo aparece cuando alguien malintencionado lo busca.

Cuándo usar vibe coding (y cuándo NO usarlo)

Vibe coding no es bueno ni malo — es una herramienta con contextos correctos e incorrectos. Después de aplicarlo en proyectos reales de clientes, aquí está mi regla honesta.

Usa vibe coding sin miedo cuando:

• Estás prototipando para validar una idea que puede descartarse.
• El proyecto es interno, sin datos sensibles y sin exposición pública.
• Dominas el dominio y puedes revisar lo que la IA entrega.
• Es un script puntual, una automatización simple o un borrador de UI.

Evita el vibe coding puro cuando:

• El sistema maneja pagos, datos personales (RGPD) o autenticación.
• El código va a producción sin una etapa de revisión humana.
• Nadie en el equipo entiende profundamente lo que se ha generado.
• La base ya es grande y un cambio mal comprendido puede romper dependencias.

La regla práctica: cuanto mayor sea el costo de un error, menor debe ser tu "vibe" y mayor tu rigor. Trading, salud y finanzas no combinan con "olvida que el código existe".

Cómo hacer vibe coding con seguridad: checklist práctico

Se puede obtener la velocidad del vibe coding sin heredar el pasivo de seguridad. El secreto es tratar a la IA como un desarrollador junior brillante y apresurado — que necesita supervisión. Este es el proceso que adopto:

1. Especifica antes de generar. Un prompt vago genera código vago. Describe requisitos, restricciones y casos límite. Cuanto mejor el briefing, mejor el resultado.
2. Lee todo lo que vaya a producción. No hagas commit de lo que no entiendes. Si no lo entiendes, pide a la IA que lo explique — y desconfía si la explicación es evasiva.
3. Ejecuta análisis estático y SAST. Las herramientas automatizadas detectan inyecciones, secretos expuestos y patrones inseguros antes del despliegue.
4. Escribe (o pide) pruebas reales. La cobertura de pruebas es el mejor antídoto contra "parece que funciona".
5. Audita las dependencias. Verifica cada paquete que la IA importe. Las bibliotecas inventadas o comprometidas son un vector de ataque real.
6. Limita el alcance de cada interacción. Los cambios pequeños y revisables vencen a las grandes refactorizaciones que la IA hace de una vez y nadie puede auditar.
7. Nunca expongas secretos en el prompt. Las claves, tokens y credenciales no entran en la conversación con la IA.

Este cuidado con la cadena de software no es paranoia: ya hemos visto casos como el de GitHub invadido por una extensión maliciosa de VS Code, donde la confianza ciega en el ecosistema costó caro.

El futuro del vibe coding y del papel del desarrollador

La pregunta que más escucho es si el vibe coding acabará con la profesión de programador. Mi lectura, después de seguir este movimiento de cerca, es la opuesta: eleva el listón de lo que significa ser desarrollador.

Lo que pierde valor es la mecanografía — escribir boilerplate, configurar lo trivial, recordar sintaxis. Lo que gana valor es lo que la IA aún no hace bien: arquitectura, juicio de seguridad, comprensión del negocio, capacidad de revisar críticamente y decir "esto está mal y he aquí por qué". El desarrollador se vuelve menos mecanógrafo y más revisor, arquitecto y responsable final.

Es la misma lógica de los agentes de IA que están llegando a las empresas: automatizan la ejecución, pero alguien necesita definir el objetivo, validar el resultado y asumir las consecuencias. La IA no asume responsabilidad — tú la asumes.

Vibe coding es una palanca poderosa. Como toda palanca, multiplica la fuerza en ambas direcciones: el trabajo bien hecho y el error. Quien sepa usarlo con criterio entregará más y mejor. Quien lo use improvisando descubrirá, de la manera más costosa, por qué el 96% no confía plenamente.

Conclusión: velocidad con responsabilidad

Vibe coding es el mayor cambio en la forma de programar en una década, y no va a retroceder — en 2026 ya es mainstream, desde startups hasta bancos. Pero los mismos números que muestran la adopción también muestran el riesgo: código demasiado rápido para ser fiable cuando nadie revisa. La buena noticia es que productividad y seguridad no son enemigas; solo necesitan proceso.

Si tu empresa está pensando en adoptar vibe coding o en incorporar IA en el flujo de desarrollo sin abrir brechas, vale la pena hablar con quienes ya lo han hecho en la práctica. En Agathas Web combinamos la velocidad de las nuevas stacks con el rigor de quienes mantienen sistemas críticos en funcionamiento desde hace más de 15 años.