Programar sin saber programar: qué es el vibe coding, qué herramientas lo permiten y dónde está la trampa
El vibe coding permite crear aplicaciones a partir de instrucciones escritas en lenguaje natural, sin necesidad de dominar un lenguaje de programación. Servicios como Lovable, Replit Agent o Google AI Studio pueden generar una aplicación web funcional en pocos minutos. Sin embargo, la rapidez tiene un límite importante: el código creado por inteligencia artificial no es seguro por defecto.
Un análisis de Veracode publicado en 2025 detectó fallos de seguridad en el 45 % del código generado por más de 100 modelos de IA. El dato resume la principal advertencia para quienes quieren convertir una idea en un producto: la herramienta puede escribir el programa, pero no elimina la necesidad de revisar cómo funciona ni de proteger los datos que gestiona.
Qué significa realmente el vibe coding
El término describe una forma de desarrollo basada en conversar con un sistema de inteligencia artificial. El usuario explica qué quiere construir, pide cambios y acepta el resultado generado, aunque no comprenda todos los detalles del código que hay detrás.
La IA interpreta instrucciones, crea archivos, conecta servicios y modifica la aplicación a partir de nuevas peticiones. En la práctica, funciona como un asistente capaz de transformar una descripción en una interfaz, una base de datos o un flujo de registro.
La ventaja es evidente para una persona sin conocimientos técnicos: puede pasar de una idea a un prototipo sin aprender primero HTML, CSS, JavaScript o un lenguaje de servidor. La desventaja aparece cuando ese prototipo empieza a manejar cuentas de usuario, pagos o información personal.
Dos tipos de herramientas para crear aplicaciones con IA
Las plataformas disponibles se dividen en dos grandes grupos. El primero está pensado para quienes quieren obtener una aplicación funcional sin abrir un editor de código. El segundo se dirige a desarrolladores que utilizan agentes de IA dentro de un proyecto existente.
Plataformas que generan una aplicación desde el navegador
- Lovable: crea aplicaciones web a partir de instrucciones y permite iterar sobre el resultado mediante conversación.
- Replit Agent: genera proyectos completos dentro del entorno de Replit y puede ayudar a publicarlos en internet.
- Google AI Studio: su modo de vibe coding está orientado también a personas que nunca han escrito una línea de código.
Estas opciones resultan especialmente útiles para crear demostraciones, herramientas internas o productos mínimos con los que validar una idea. Su principal atractivo es que ocultan buena parte de la complejidad técnica: el usuario describe el resultado y la plataforma se encarga de construirlo.
Agentes para programadores y proyectos completos
- Claude Code: trabaja desde el terminal, la interfaz de texto utilizada para ejecutar órdenes y gestionar archivos.
- Codex: ayuda a escribir, entender y modificar código dentro de un proyecto.
- Cursor: es un editor de código con funciones de IA capaces de analizar varios archivos y proponer cambios.
Estos agentes pueden leer la estructura completa de una aplicación, localizar errores y realizar modificaciones en distintas partes del proyecto. A cambio, requieren más conocimientos para revisar los cambios, resolver conflictos y comprobar que una modificación no rompe otra función.
La seguridad es el gran punto débil
El código generado por IA puede parecer correcto y funcionar durante una demostración, pero eso no garantiza que esté protegido. Un fallo de seguridad es un error que permite acceder a información, ejecutar acciones no autorizadas o alterar el funcionamiento de una aplicación.
El estudio de Veracode analizó código generado en Java, Python, C# y JavaScript. Sus resultados muestran que los modelos pueden producir vulnerabilidades incluso cuando la aplicación funciona aparentemente bien. El riesgo no desaparece por utilizar una plataforma conocida.
Además, el proyecto OWASP, una referencia internacional en seguridad de aplicaciones web, identifica un problema específico de los modelos de lenguaje: pueden recomendar librerías inseguras, abandonadas o directamente inexistentes.
Una librería es un conjunto de código preparado para añadir funciones a un programa. Los atacantes pueden buscar los nombres que los asistentes de IA inventan con frecuencia y publicar paquetes maliciosos con esas denominaciones. Si un desarrollador instala uno sin verificarlo, puede introducir malware en el proyecto.
Un caso concreto: la vulnerabilidad CVE-2025-48757
Los riesgos no son únicamente teóricos. La vulnerabilidad CVE-2025-48757, registrada en 2025, describía una configuración insuficiente de la seguridad de bases de datos en sitios creados con Lovable hasta el 15 de abril de ese año.
Según la ficha del NIST, un atacante sin credenciales podía leer o modificar tablas de esas aplicaciones. MITRE le asignó una puntuación de 9,3 sobre 10 en su sistema de valoración de vulnerabilidades, una calificación crítica.
Lovable cuestionó la consideración del problema y señaló que la protección de los datos corresponde a cada cliente. La plataforma ofrece análisis de seguridad rápidos y profundos, pero advierte de que no sustituyen una auditoría completa, especialmente cuando la aplicación trata información sensible.
Cuándo utilizar el vibe coding y cuándo detenerse
El vibe coding es una opción razonable para crear un prototipo, una página informativa, una herramienta personal o una aplicación que no almacene datos delicados. También puede servir para validar una idea antes de invertir en un equipo técnico.
La situación cambia cuando entran en juego historiales médicos, información financiera, contraseñas, datos de clientes, pagos o permisos de administración. En esos casos, la aplicación necesita una revisión profesional de arquitectura y seguridad antes de publicarse.
- Revisar el código y las dependencias utilizadas.
- No introducir claves secretas ni contraseñas en las instrucciones.
- Configurar correctamente los permisos de la base de datos.
- Probar qué puede hacer un usuario no autorizado.
- Mantener copias de seguridad y actualizar las librerías.
- Solicitar una auditoría independiente antes del lanzamiento.
La inteligencia artificial ha reducido de forma radical la barrera de entrada a la programación. Pero crear una aplicación no equivale a crear una aplicación segura. La herramienta puede escribir el código; la responsabilidad sobre lo que hace, los datos que guarda y los usuarios a los que expone sigue siendo de quien decide publicarla.
