Vibe coding is bijzonder interessant voor ontwikkelaars. Net zoals we allemaal wel eens een vraag stellen aan ChatGPT of een andere tool, kunnen we AI via een prompt nu ook code laten schrijven door uit te leggen wat een applicatie moet doen en hoe de interface er moet uitzien. Het bespaart veel tijd en manueel werk, maar zoals met elke veelbelovende technologie is er tevens een keerzijde die we niet uit het oog mogen verliezen.
De huidige populariteit van vibe coding past wel in een trend die we al een paar keer hebben gezien in het IT-landschap. Toen we in de jaren 90 met een pc zijn beginnen werken en tools als Microsoft Access en Excel ingeburgerd raakten, konden werknemers op een laagdrempelige manier simpele applicaties bouwen. Tot er een wildgroei aan toepassingen ontstond, omdat iedereen er z’n eigen ding mee deed en IT de controle kwijt was. Hierdoor werd governance plots noodzakelijk.
Bij de opkomst van de cloud deed zich iets gelijkaardigs voor, maar dan op infrastructuurniveau. Zo volstond het om de kredietkaart boven te halen en gemakkelijk infrastructuur in de cloud op te zetten. Tot de kosten uit de hand liepen en ook hier nood was aan een governance-policy in de vorm van FinOps. Nu zitten we in de derde golf van Shadow IT, aangedreven door vide coding-praktijken die het voor iedereen mogelijk maken om via prompts applicaties te schrijven.
Dat vibe coding in de lift zit, blijkt uit de razendsnelle groei van populaire tools. Vercel zag tussen januari en september 2025 al 57% meer apps gegenereerd worden via vibe coding. Bij Lovable ging het zelfs nog veel harder met een toename van liefst 660%. Er zijn tal van platformen waarop ontwikkelaars terechtkunnen om snel en efficiënt code te schrijven.
Maar minstens even snel gaat het aan de duistere kant van de technologie. Vibe coding doet op verschillende manieren nieuwe kwetsbaarheden ontstaan die hackers toegangspoortjes tot het netwerk van organisaties bieden.
Hallucinaties openen deur voor kwaadaardige code
Het is inmiddels duidelijk dat Large Language Models (LLM’s) ondanks hun geweldige potentieel soms hallucineren. Het betekent dat het AI-model verzonnen of misleidende inhoud in de output gaat verwerken. Hetzelfde kan gebeuren als je een model gebruikt om code te schrijven. Zeker als de ontwikkelaar de code niet aan een review onderwerpt, bestaat het risico dat er dingen insluipen die niet in de code thuishoren. Zo’n 45% van de code geschreven met vibe coding zou onveilig zijn.
Een belangrijk risico schuilt in valse software libraries. Dat zijn bibliotheken met een verzameling bronnen (voorgeschreven code, routines, functies, data) die ontwikkelaars kunnen hergebruiken in plaats van alles vanaf nul te moeten schrijven. Een hallucinerend model kan echter software libraries creëren die niet bestaan. Hackers zijn zich hiervan bewust en gaan op zoek naar dit soort valse bibliotheken om deze vervolgens zelf aan te maken, een praktijk die slopsquatting heet. Door de fake software libraries aan de toeleveringsketen van de software toe te voegen, zorgen ze ervoor dat developers onbewust kwaadaardige code in het ontwikkelingsproces opnemen.
Onderhoud van door AI genereerde code is complex
Code moet onderhouden worden, ook als ze afkomstig is van vibe coding. Maar dat kan behoorlijk ingewikkeld blijken, aangezien de ontwikkelaar de code niet zelf geschreven heeft en dus ook niet exact weet wat er staat. Als er aanpassingen of updates moeten gebeuren, neemt het risico op fouten toe en gaat soms veel tijd verloren.
Hackers maken zelf gebruik van vibe coding
Een derde risico zit in het feit dat vibe coding-tools natuurlijk ook voor hackers toegankelijk zijn. Cybercriminelen kunnen met deze methode zelf code schrijven om aanvallen te ontwikkelen en kwetsbaarheden te benutten. Met behulp van AI kunnen ze gemakkelijker kwetsbaarheden in de systemen van organisaties herkennen, waarna AI code genereert om het probleem uit te buiten.
Soms gebruiken hackers ook informatie die de ‘goede’ kant gepubliceerd heeft. Denk maar aan cybersecuritybedrijven die klanten willen informeren over kwetsbaarheden en dreigingen. Ook de hackers lezen mee en gebruiken die info om code te genereren. We zien ook vaker dat aanvallen met vibe coding worden nagebootst. Daardoor is het steeds lastiger om te achterhalen wie er nu precies achter een aanval zit. Was het een hackerscollectief? Of een natiestaat?
Bovendien zien we dat de drempel naar een cyberaanval steeds lager ligt. Meer en meer amateurs betreden het veld, omdat ze mede dankzij vibe coding complexere aanvallen kunnen nabootsen. Daarnaast beginnen organisaties zich te specialiseren in bepaalde stukken van het verhaal. Zo zijn er groepen die zich bezighouden met het binnendringen in systemen om de toegangssleutel nadien aan een andere groep te verkopen. Die groep legt zich dan weer toe op laterale beweging en uitbuiten van kwetsbaarheden. Kortom, cyberaanvallen zijn een ingewikkelde puzzel waarbij iedereen in de aanvalsketen zijn deel verdient. Vibe coding is die trend zeker aan het versterken.
Hoe kan je je organisatie beschermen?
Veel cybersecurityrisico’s die ontstaan door vibe coding zijn op zich niet nieuw. Wat wél nieuw is, is de schaal en snelheid waarmee deze evolutie zich voltrekt. Het gevaar zit niet alleen in onveilige code, maar vooral in het verlies van de controle over veranderingen binnen software. Tegen de tijd dat een probleem wordt ontdekt, is de schade vaak al aangericht.
Daarom moet cybersecurity mee evolueren met de manier waarop software vandaag ontwikkeld wordt. Problemen moeten veel sneller opgespoord worden, zodat de impact beperkt blijft. Automatische vangrails zijn daarbij essentieel, zeker nu ontwikkelaars via prompts code genereren zonder elke regel volledig te doorgronden. Ontwikkelaars en securityexperts zullen steeds meer vanuit hetzelfde perspectief naar risico’s moeten kijken.
Precies daar biedt platformtechnologie een meerwaarde tegenover afzonderlijke tools. Wanneer codebeveiliging geïntegreerd zit in hetzelfde platform waarin teams risico’s beheren, én rechtstreeks verbonden is met CI/CD-workflows, wordt security een volwaardig onderdeel van het ontwikkelproces in plaats van een controle achteraf. Beveiliging moet meer dan ooit ingebakken zitten in de dagelijkse workflows van ontwikkelaars. Alleen zo kunnen policy, controles en verantwoordelijkheden gelijke tred houden met AI-gegenereerde veranderingen.
Vibe coding is zonder twijfel een krachtige en creatieve technologie. Het gevaar schuilt niet in het gebruik van de technologie, maar wel in het negeren van de risico’s. Snelheid zonder vangrails vergroot de kans dat organisaties vroeg of laat uit de bocht gaan. Succesvolle bedrijven verbieden vibe coding dus zeker niet. Wel zijn ze zich bewust van de risico’s en zetten ze systemen op om problemen snel te detecteren en aan te pakken.
Het echte gevaar van vibe coding is uiteindelijk niet dat AI onveilige code schrijft, maar dat mensen code uitrollen die ze nooit hebben kunnen beveiligen. De schaduwzijde van vibe coding is geen hypothetisch probleem, maar een reële dreiging die we ernstig moeten nemen.
Dit is een ingezonden bijdrage van TrendAI. Via deze link vind je meer informatie over de mogelijkheden van het bedrijf.