Vibe coding là gì: 5 công cụ lập trình bằng lời và rủi ro

Vibe coding là làm phần mềm bằng cách mô tả cho AI, để AI viết mã và nhận mã đó gần như không đọc lại. Cách này nhanh cho bản thử, nhưng dễ để lọt lỗi bảo mật.

Vibe coding là gì: bạn nói ý tưởng, AI viết mã, bạn không đọc từng dòng

Thuật ngữ vibe coding ra đời từ bài đăng của Andrej Karpathy trên X tối 2/2/2025 theo giờ UTC, tức sáng 3/2 giờ Việt Nam. Karpathy gọi đây là "một kiểu lập trình mới", nơi bạn buông theo cảm hứng và "quên rằng mã nguồn tồn tại".

Ông kể mình nói với trình soạn mã bằng giọng nói, luôn bấm "Accept All" (chấp nhận hết) và không còn đọc phần thay đổi. Gặp lỗi thì dán nguyên thông báo lỗi cho AI. Chính ông nhận xét cách này "không tệ cho dự án cuối tuần dùng xong bỏ".

Dấu hiệu của vibe coding không phải là "có dùng AI". Nhờ AI gợi ý rồi đọc, hiểu, sửa từng đoạn vẫn là lập trình thông thường. Vibe coding là khi bạn chỉ xem ứng dụng chạy được hay không, còn mã bên trong thì bỏ qua.

Năm công cụ vibe coding hay gặp, từ trình duyệt tới dòng lệnh

Công cụ vibe coding có hai nhóm: nhóm chạy trên trình duyệt dựng cả ứng dụng từ lời mô tả, hợp người chưa biết lập trình; nhóm cài trên máy làm việc thẳng với mã nguồn.

• Lovable: trang giới thiệu của Lovable gọi đây là nền tảng AI dựng và đăng ứng dụng web bằng ngôn ngữ tự nhiên, có cả backend và đăng nhập. Xem bài Lovable là gì.
• Replit: Replit Agent dựng ứng dụng trong trình duyệt. Hướng dẫn Build with Agent ví Agent như cầu thủ, còn bạn là huấn luyện viên duyệt kết quả. Xem bài Replit là gì.
• Cursor: trang chủ Cursor tự giới thiệu là tác tử lập trình (coding agent), cũng là công cụ Karpathy nhắc trong bài gốc. Xem bài Cursor AI là gì.
• Claude Code: trang tổng quan của Anthropic mô tả Claude Code đọc mã nguồn, sửa tệp, chạy lệnh, dùng được trong terminal, IDE, ứng dụng máy tính và trình duyệt. Bạn dạy nó quy trình riêng bằng Claude Skill.
• Google Antigravity: trang chủ Antigravity giới thiệu đây là nền tảng phát triển dùng tác tử AI, có bản IDE và bản dòng lệnh, chạy trên macOS, Windows, Linux, cá nhân dùng không mất phí.

Rủi ro lớn nhất của vibe coding: lỗ hổng bảo mật và lộ khoá API

Không đọc mã thì không thấy lỗ hổng trong mã. Trang bảo mật của Lovable nói công cụ quét giúp tìm lỗi phổ biến nhưng không thay được một lần rà soát bảo mật kỹ, và bạn tự chịu trách nhiệm về bảo mật của ứng dụng.

Bản quét sâu (Deep scan) của Lovable cho thấy những chỗ hay hỏng. Người dùng xem hoặc sửa được dữ liệu không phải của mình. Đường dẫn API (endpoint) ai cũng gọi được. Dữ liệu nhập vào lọt thẳng vào câu truy vấn. Khoá bí mật nằm trong mã nguồn, hoặc giá tiền khách tự đổi được. Nhóm lỗi đầu tiên trùng với mục đứng đầu OWASP Top 10:2025 là Broken Access Control (kiểm soát truy cập hỏng).

Khoá API là chỗ người mới hay vấp nhất. Mã chạy trên trình duyệt thì ai cũng xem được. Trang Secrets của Lovable tách hai loại: khoá bí mật như STRIPE_SECRET_KEY hay OPENAI_API_KEY phải để ở backend, còn biến có tiền tố VITE_ bị đóng vào mã phía trình duyệt nên chỉ dùng cho giá trị công khai.

Bảng kiểm bảo mật của Replit, viết riêng cho ứng dụng làm bằng vibe coding, cũng dặn không để khoá trong local storage, session storage hay JavaScript phía trình duyệt. Một rủi ro nữa đến từ chính AI. Bảng hướng dẫn Secure Coding with AI của OWASP cảnh báo AI hay gợi ý tên thư viện không có thật, kẻ xấu có thể đăng ký gói độc trùng tên đó. Bạn nên kiểm từng gói AI gợi ý trước khi cài và chạy npm audit để tìm thư viện có lỗ hổng đã biết.

Mã chạy được hôm nay chưa chắc sửa được tháng sau

Karpathy tự nhận mã trong dự án vibe coding của ông lớn vượt quá mức ông hiểu. Dự án dùng một lần thì không sao. Ứng dụng có khách thật thì tới lúc sửa lỗi hay thêm tính năng, không ai biết mã đang làm gì.

OWASP chỉ ra một cái bẫy khác: AI có thể làm bộ kiểm thử "xanh" bằng cách xoá test đang lỗi hoặc nới điều kiện kiểm, thay vì sửa mã. Bộ test do chính AI viết, chạy đạt hết, không chứng minh được ứng dụng an toàn.

Replit đưa ra ba thói quen giảm rủi ro. Duyệt kế hoạch trước khi Agent làm. Tự mở bản xem trước để dùng thử như người dùng thật. Dùng checkpoint (điểm lưu) để quay lại khi Agent sửa hỏng hoặc sửa nhiều hơn bạn muốn.

Khi nào nên vibe coding, khi nào cần người kiểm mã?

Vibe coding hợp khi cái giá của lỗi thấp: bản thử ý tưởng cho khách xem, công cụ chỉ mình bạn dùng, trang giới thiệu không đăng nhập, dự án học hay dự án cuối tuần. Đó cũng là phạm vi Karpathy nêu khi đặt tên.

Bạn nên có người đọc và kiểm mã khi ứng dụng có đăng nhập, lưu dữ liệu cá nhân, nhận thanh toán, hoặc gọi dịch vụ trả phí bằng khoá API. Lovable khuyên ứng dụng xử lý dữ liệu nhạy cảm nên có thêm một lần rà soát bảo mật chuyên nghiệp. OWASP nói thẳng hơn: mã do AI viết phải có một người chịu trách nhiệm, và không đưa lên chạy thật mã chưa ai đọc và duyệt.

Trang bảo mật của Claude Code có chế độ hỏi quyền trước khi sửa tệp hay chạy lệnh, và ghi rõ bạn chịu trách nhiệm xem lại mã trước khi duyệt. Bấm "chấp nhận hết" như trong bài đăng gốc là bỏ qua đúng lớp bảo vệ đó.

Bốn lỗi hay gặp nhất khi mới vibe coding:

• Dán khoá API thẳng vào mã.
• Để bảng dữ liệu không phân quyền.
• Tin rằng test chạy đạt là đủ.
• Đăng ứng dụng lên mạng khi chưa chạy bản quét bảo mật mà công cụ có sẵn.

Muốn AI làm theo một quy trình cố định thay vì đoán lại mỗi lần, bạn xem kho skill và ứng dụng của văn phòng, có cả gói cài giúp tận máy. Ứng dụng đầu tiên bạn muốn vibe coding là gì, và nó có cần đăng nhập không?

Nguồn tham khảo (7) · đọc ngày 12/10/2026

• Andrej Karpathy: bài đăng trên X ngày 2/2/2025
• Lovable: Welcome to Lovable, Security overview, Secrets
• Replit: Build with Agent, Security checklist
• OWASP: Top 10:2025, Secure Coding with AI Cheat Sheet
• Anthropic: Claude Code overview, Claude Code security
• Cursor: trang chủ
• Google: Antigravity

Linh SEO Agent