En 2025 el mundo descubrió que se puede crear software “por vibras”. Describes lo que quieres en lenguaje natural, la IA escribe el código, y en una tarde tienes una app funcionando. El término se llama vibe coding, fue palabra del año del diccionario Collins, y ha hecho creer a muchos que los programadores están de salida. La realidad es más interesante — y para quien ya cobra por software hecho así, bastante más peligrosa. Aquí va la guía honesta.
Resumen en 60 segundos
- El vibe coding es real y es potente: prototipos que tomaban semanas hoy salen en horas. No es moda: el 25% de las startups de Y Combinator ya opera con código 95% generado por IA.
- Pero no sustituye al programador — lo potencializa. La IA escribe código; el ingeniero decide arquitectura, seguridad, datos y qué NO construir.
- Los números del lado oscuro: el código generado por IA sin supervisión presenta vulnerabilidades a una tasa 2.7 veces mayor que el escrito por humanos, y cerca del 45% contiene fallas del catálogo OWASP.
- Si cobras por un producto vibecodeado sin ingeniería, el riesgo deja de ser técnico y se vuelve legal: fuga de datos personales de clientes, incumplimiento de contrato y multas de la ley de protección de datos.
Qué es el vibe coding (y de dónde salió)
El término lo acuñó Andrej Karpathy —cofundador de OpenAI y ex jefe de IA de Tesla— en febrero de 2025, describiendo una forma de programar donde “ves cosas, dices cosas, corres cosas y copias cosas”: le pides a la IA lo que quieres, aceptas lo que genera sin leerlo demasiado, y avanzas por sensación. De ahí las “vibras”. En meses, el término pasó de broma de Twitter a entrada de Merriam-Webster y palabra del año de Collins.
Herramientas como Cursor, Lovable, Bolt o Claude Code hicieron el resto: hoy cualquier persona sin saber programar puede tener una app en línea el mismo día. Y eso, dicho claramente, es una maravilla — para validar ideas, hacer demos, automatizar cosas personales y aprender.
La tesis que nadie quiere decir completa
El debate se planteó mal desde el inicio: “¿la IA reemplaza al programador?” es la pregunta equivocada. La correcta es: ¿qué produce la misma herramienta en manos de alguien que entiende lo que está pasando vs alguien que no?
Un CEO de Silicon Valley lo resumió en Fortune: el vibe coding permite que 10 ingenieros hagan el trabajo de 100. Fíjate en el detalle: 10 ingenieros. No “cero ingenieros”. La IA multiplica lo que ya sabes; si multiplicas por cero conocimiento de arquitectura y seguridad, el resultado sigue siendo cero — solo que ahora corre en producción y recibe datos de clientes reales.
Mismo prompt, dos mundos: la comparativa
| Aspecto | Vibecodeado por alguien sin bases | Vibecodeado por un programador |
|---|---|---|
| Velocidad inicial | Altísima | Altísima (aquí empatan) |
| Arquitectura | La que la IA improvisó ese día | Diseñada: capas, módulos, separación de responsabilidades |
| Claves y secretos | Frecuentemente hardcodeados en el código visible | En variables de entorno, rotables, nunca en el repositorio |
| Base de datos | Sin reglas de acceso; cualquiera con la URL puede leer | Permisos por fila, respaldos, migraciones controladas |
| Manejo de errores | Pantallas rotas o errores que exponen información interna | Errores controlados, logs, alertas |
| Al crecer los usuarios | Se cae o factura cientos de dólares en la nube | Límites de uso, caché, escalamiento previsto |
| Mantenimiento a 6 meses | Nadie entiende el código, ni la IA | Documentado, con pruebas, modificable |
Los 8 errores clásicos del vibe coding amateur
- Claves API hardcodeadas. El error número uno. La llave de OpenAI, Stripe o la base de datos pegada directo en el código del navegador, visible para cualquiera que abra las herramientas de desarrollador. GitHub detectó más de mil millones de secretos expuestos en repositorios — la mayoría activos.
- Base de datos sin reglas de acceso. El caso más sonado: un CVE de 2025 reveló que una popular herramienta de vibe coding generaba bases de datos sin seguridad por filas, dejando expuestas más de 170 aplicaciones en producción. En otro incidente se filtraron 1.5 millones de tokens de sesión y 35,000 correos.
- Funciones que no se hablan entre sí. El formulario “funciona” pero no valida; el pago se registra pero no actualiza el pedido; el correo se envía dos veces o nunca. Todo se ve bien en la demo y truena con el uso real.
- Inyección SQL y validaciones ausentes. Un rastreo de 5,600 apps vibecodeadas públicas encontró de todo: desde inyección SQL hasta llaves expuestas.
- Sin autenticación real. “Iniciar sesión” que solo esconde botones: los datos siguen accesibles pidiendo la URL correcta.
- Cero respaldos y cero entornos. Se edita directo en producción; el día que la IA “arregla” algo y borra la tabla de clientes, no hay vuelta atrás.
- Facturas de nube fuera de control. Sin límites de peticiones, un bot o un error de bucle puede generar cientos de dólares en horas.
- Contraseñas y datos sensibles en texto plano. Sin cifrado, sin hash, a veces hasta en el log.
Cuando cobras por ello: el salto al riesgo legal
Todo lo anterior es “aceptable” en un proyecto personal. El problema es que 2026 está lleno de gente vendiendo apps vibecodeadas a negocios reales. Y en el momento en que cobras, cambia el tablero:
- Fuga de datos personales. Si la app de tu cliente guarda nombres, teléfonos, correos o datos de pago de SUS clientes y se filtran por una vulnerabilidad, en México aplica la Ley Federal de Protección de Datos Personales (LFPDPPP) — con multas que pueden alcanzar millones de pesos, además del daño reputacional del negocio afectado.
- Incumplimiento de contrato. Si vendiste “un sistema funcional y seguro” y entregaste algo que se cae o expone información, el cliente tiene base para exigir reembolso, daños y perjuicios. “Es que lo hizo la IA” no es defensa legal.
- Responsabilidad en cascada. El negocio que compró la app responde ante sus clientes; y luego va a voltear a ver a quien se la vendió.
- Propiedad intelectual difusa. ¿De quién es el código? ¿Qué licencias tienen las dependencias que la IA agregó sin avisar? En un contrato serio, eso se responde por escrito.
La regla simple: si hay dinero o datos de terceros de por medio, el vibe coding sin ingeniería es una demanda esperando fecha.
Lo que un programador de verdad le agrega a la IA
- Estructura: decide la arquitectura antes de generar la primera línea, para que el sistema aguante crecer.
- Seguridad por diseño: secretos fuera del código, permisos por rol, validación de entradas, cifrado.
- Criterio para leer el código: detecta cuando la IA alucinó una función, dejó una puerta abierta o eligió una dependencia abandonada.
- Pruebas y verificación: no confía en “se ve bien”; lo demuestra con pruebas antes de tocar producción.
- Datos bien modelados: el 80% de los sistemas que colapsan lo hacen por una base de datos mal pensada, no por el código.
- Mantenibilidad: deja algo que otra persona (u otra IA) pueda entender y modificar en un año.
Nosotros lo vivimos a diario: en Azterion usamos agentes de IA para programar —lo contamos en nuestra guía de Codex— y el salto de productividad es real. Pero cada línea pasa por ingeniería: revisión, pruebas y estándares. La IA pone la velocidad; el equipo pone el “esto no se rompe ni nos expone”.
El flujo correcto: vibecodea el prototipo, ingenia el producto
- Valida con vibras: usa vibe coding para el prototipo, el demo, la prueba de concepto. Es su terreno perfecto y ahorra semanas.
- Decide con evidencia: si la idea jala (usuarios reales, dinero real, datos reales), toca la pregunta de adulto: ¿esto lo reconstruimos con bases o lo blindamos?
- Ingenia antes de cobrar: auditoría de seguridad, secretos fuera del código, permisos en la base de datos, respaldos, límites de uso y contrato claro. Es exactamente el tipo de trabajo que hacemos en desarrollo de software a la medida.
- Mantén con disciplina: el software es un ser vivo; sin actualizaciones y monitoreo, hasta el mejor código envejece mal.
Preguntas frecuentes
¿El vibe coding va a reemplazar a los programadores?
No: está cambiando su trabajo. Escribir código a mano pesa menos; diseñar sistemas, revisar lo que la IA produce y responder por la seguridad pesa más. Los datos lo respaldan: los equipos que más producen con IA son equipos de ingenieros usándola, no reemplazándolos.
¿Está mal que un no-programador vibecodee?
Al contrario — es la mejor época de la historia para materializar ideas. El límite sano: úsalo para prototipos, herramientas personales y aprendizaje. Cuando haya clientes, cobros o datos de terceros, suma ingeniería.
Tengo una app vibecodeada funcionando, ¿qué hago?
Una auditoría corta responde las tres preguntas críticas: ¿hay secretos expuestos?, ¿la base de datos tiene permisos?, ¿qué pasa si se cae? A partir de ahí se decide si se blinda o se reconstruye. Suele costar mucho menos que el primer incidente.
¿Cuánto cuesta convertir un prototipo en producto profesional?
Depende del alcance, pero los rangos reales de cuánto cuesta un software a la medida en México aplican: típicamente desde unas decenas de miles de pesos para blindar algo pequeño hasta proyectos completos por etapas.
¿Te está sirviendo este análisis?
Publicamos guías como esta cada vez que sale algo importante en IA y tecnología para negocios. Déjanos tu correo y te avisamos — sin spam, prometido.
Fuentes
- Wikipedia: Vibe coding (origen del término y datos de Y Combinator)
- Fortune: “Vibe coding lets 10 engineers do the work of 100”
- Vibe Coder: The Security Crisis in AI-Generated Code (2026)
- AquilaX: Hardcoded Secrets and API Keys — Why It’s Still the #1 Breach Cause
- TechTarget: Vibe coding sparks debate, reshapes developer jobs
¿Tienes un prototipo vibecodeado que ya huele a producto — o una idea que quieres construir bien desde el día uno? Agenda una llamada de 45 minutos sin costo: revisamos tu caso con honestidad y te decimos qué necesita (y qué no).
