Vibe coding magyarul: mi ez, miért forradalmi, és miért veszélyes egyszerre

Frissítve: 2026. szeptember 27. Pontosítottuk a Tea-, a Replit- és a Base44-eset tényeit, a Veracode- és a CSET-kutatás mérési körét és a Y Combinator-adatot, kiegészítettük az 5 szabályt, és dátummal megadtuk az eszközök ingyenes kereteit.

Valaki azt mondja, hogy 45 perc alatt megépített egy webappot anélkül, hogy egyetlen sor kódot is értene. A másik egy alkalmazásról szól, amelynek rosszul beállított tárhelyéről 72 ezer kép, köztük igazolványfotók kerültek ki. Mindkét helyzet ugyanarról a kérdésről szól: ki ellenőrzi azt, amit gyorsan megépítettél?

Ha mostanában hallottad ezt a kifejezést és nem tudtad pontosan mit jelent, ez a cikk neked szól. Ha már ismered, de csak a lelkes verziót hallottad, ez szintén neked szól. A vibe coding valódi fordulópont abban, hogy ki tud szoftvert készíteni, és egyúttal olyan terület, ahol a felkészületlenség komoly következményekkel jár.

Mi az a vibe coding?

A fogalmat Andrej Karpathy, az OpenAI egyik alapítója és a Tesla egykori AI vezetője alkotta meg 2025 februárjában. Az eredeti mondata magyarul: „Van egy új fajta kódolás, amit vibe codingnak hívok: teljesen átadod magad a hangulatnak, elfogadod az exponenciális fejlődést, és elfelejted, hogy a kód egyáltalán létezik.” Vagyis arra figyelsz, mit szeretnél létrehozni, a kódot pedig az AI írja.

Gyakorlatilag annyit jelent, hogy természetes nyelven, emberi mondatokban leírjuk, mit szeretnénk megépíteni, és az AI megcsinálja helyettünk a kódot. A szintaxissal nem neked kell foglalkoznod. A függőségek, a tárhely, a jogosultságok és a mentések viszont ugyanúgy léteznek: az AI kezeli őket, neked pedig tudnod kell, mire kérdezz rá.

Ez ma már a valóság: 2026-ban sokaknak napi gyakorlat. A vibe coding helyes megközelítéséről már írtunk részletesen, de ebben a cikkben most az alapoktól indulunk, és nem hagyjuk ki a sötét oldalt sem.

Hogyan néz ki ez a gyakorlatban?

Képzeld el, hogy egy kis vállalkozásod van és szeretnél egy egyszerű ügyfélnyilvántartó rendszert. Régen vagy fejlesztőt kellett fogadnod (drága), vagy valamilyen kész szoftverre fizettél elő (rugalmatlan). Ma belépsz egy vibe coding eszközbe, és beírod:

„Csinálj egy webalkalmazást ahol ügyfeleket tudok rögzíteni névvel, email-lel, telefonszámmal és egy megjegyzés mezővel. Legyen keresési funkció és lehessen exportálni CSV-be. Letisztult, fehér dizájn, mobilon is működjön.”

Az AI megírja a teljes kódot. Felteszi az adatbázist, megcsinálja a felületet, hozzáadja a keresést és az exportot. Néhány percen belül van egy futó prototípus, amit tesztelni lehet.

Ez az ígéret. És ez valóban megtörténik. A kérdés az, mi következik utána.

A fő eszközök: Cursor, Lovable, Bolt, Replit

A vibe coding ökoszisztéma gyorsan fejlődött az elmúlt évben. A leggyakrabban használt eszközök:

Cursor

A Cursor egy kódszerkesztő, amit az AI köré terveztek. A teljes felület az AI-val való munkára épül: emberi nyelven kommunikálsz a kóddal. Bemutatod a projektedet, elmagyarázod mit változtassunk, és a Cursor szerkeszti a fájlokat. Fejlesztők és nem-fejlesztők egyaránt használják, de a tapasztalt programozók körében is rendkívül népszerű lett. Ha kóddal dolgozol, valószínűleg ez a legerősebb eszköz ebben a kategóriában.

Lovable

A Lovable (korábban GPT Engineer) a leginkább „no-code” élményt nyújtja a komolyabb eszközök közül. Egyetlen szöveges leírásból teljes webalkalmazást generál, beleértve a frontendet, a backendet és az adatbázist. Kiváló induló pont, ha soha nem foglalkoztál kóddal és egy működő prototípust szeretnél gyorsan.

Bolt.new

A Bolt.new a StackBlitz terméke, és a böngészőben fut: semmi telepítés nem kell. Leírod az ötleted, azonnal megjelenik a futó alkalmazás. A Bolt.new és hasonló eszközök weboldal-építésben betöltött szerepéről részletesebben is olvashatsz. Az ereje a gyorsaságban és az egyszerűségben van, a komoly, skálázható projekteknél viszont hamar ütközik a falba.

Replit

A Replit egy teljes fejlesztői platform beépített AI-val. Ami megkülönbözteti: az alkalmazásod a Replit szerverein fut, így nem kell külön tárhelyet beállítanod. A közzététel feltételei a csomagtól függnek (az ingyenes Starterben 30 napos link). Különösen diákok és kezdők körében rendkívül népszerű.

Mind a négynek van ingyenes és fizetős csomagja. A 2026. szeptember 27-i állapot szerint a Cursor Hobby korlátozott számú Agent-kérést enged, a Lovable Free napi 5 építési kreditet ad (havonta legfeljebb 30), a Bolt Free napi 300 ezer és havi 1 millió token kerettel működik. A Replit Starter napi Agent-kreditet ad havi felső határral, és egy alkalmazást ingyen közzétehetsz, de a linkje 30 nap után leáll. A keretek gyakran változnak, az árlista a mérvadó. Mind a négy valóban működik, és mind a négynél elkövetheted ugyanazokat a hibákat.

Miért forradalmi? Az elérési korlát leomlott

Az elmúlt évtizedekben a szoftverkészítés egy speciális szakma volt. Évekig kellett tanulni, komoly technikai tudást felépíteni, és még akkor is sok projekt elbukott a megvalósítás komplexitásán. Ez nem azt jelenti, hogy a fejlesztők nem értékesek. De azt igen, hogy rengeteg jó ötlet sosem jutott el a megvalósításig, mert az alkotónak nem volt meg hozzá a technikai képessége.

A vibe coding ezt az elérési korlátot számolta fel, legalábbis bizonyos projektméretek alatt.

Egy tanár megépítheti a saját feladatelosztó rendszerét. Egy kisvállalkozó személyre szabott nyilvántartót csinálhat, amit pontosan arra terveztek, ahogyan ő dolgozik. Egy kutató összegyűjthet és rendszerezhet adatokat egy saját eszközzel, amit napok, nem hónapok alatt készít el. Ez nem kis dolog. Ez egy valódi demokratizálás.

Garry Tan, a Y Combinator (ismert amerikai startup-gyorsító) vezérigazgatója 2025 márciusában azt közölte, hogy a 2025-ös téli évfolyam cégeinek 25%-ánál a kódsorok 95%-át nyelvi modell generálta. Ez egyetlen évfolyamra vonatkozik, és a kódsorok arányát mutatja.

De pontosan ez a gyorsaság és elérhetőség az, ami a veszélyeket is hozza magával.

A valódi veszélyek, amiket mindenki elhagy a hype-ból

A vibe coding lelkes bemutatói általában itt fejezik be a cikket. Mi nem.

1. Az AI nem ért a biztonsághoz, csak a működéshez

Az AI célja, hogy működő kódot hozzon létre, ami teljesíti a kért funkciót. A biztonsági szempont viszont azt kérdezi, hogyan lehet visszaélni vele. Ez egy teljesen más gondolkodásmód, amit az AI alapvetően nem alkalmaz, hacsak expliciten meg nem kéred.

A Veracode 2025-ös jelentése szerint 80 kódolási feladatot (Java, JavaScript, C#, Python, négy ismert hibatípus, például SQL-befecskendezés) adtak több mint 100 nyelvi modellnek, és a feladatok 45%-ában a modell ismert biztonsági hibát tett a kódba; a nagyobb és újabb modellek sem teljesítettek érdemben jobban. A Georgetown Egyetem CSET-kutatóközpontja 2024 novemberében öt modellt vizsgált, kifejezetten hibára hajlamos helyzetekre tervezett promptokkal, és a kódrészletek közel felében talált hibát; a szerzők szerint ez a vizsgálat szűk körére érvényes. A tanulság: ha nem kérsz külön biztonságot, a modell gyakran a nem biztonságos megoldást választja.

Ezek a sebezhetőségek sok esetben nem láthatók futás közben. Az alkalmazás működik, gyorsan tölt, jól néz ki. A biztonsági rés csak akkor válik láthatóvá, amikor valaki megtalálja és kihasználja.

2. A „logic drift” láthatatlan romlás

Vibe codingban a fejlesztés úgy zajlik, hogy folyamatosan átírod a promptodat: „most tedd hozzá ezt”, „javítsd meg azt”, „változtasd meg a dizájnt”. Az AI minden alkalommal újragenerálja a kódot, és ez apró, nem szándékolt változásokat okozhat az egész rendszerben. Ezt hívják logic driftnek.

A probléma: ha nem értesz a kódhoz, nem látod ezeket a változásokat. Az alkalmazásod látszólag működik, miközben a háttérben valami nagyon máshogy viselkedik, mint ahogy tervezted. Ez csak akkor derül ki, amikor valami komolyan elromlik.

3. Nem értesz hozzá, de élesben megy

A hagyományos fejlesztésnél a fejlesztő megérti a kódot, amit ír. Ha valami elromlik, tudja, hol nézzen. Vibe codingban ez az összefüggés megszakad: az alkalmazásod élesben fut, felhasználók adatait kezeli, és te nem tudnád megmagyarázni, hogyan csinálja azt, amit csinál. Ha valami elromlik, teljesen ki vagy szolgáltatva az AI képességének, hogy megtalálja és megjavítsa a hibát.

4. Hardcode-olt érzékeny adatok

Az AI-modellek hajlamosak arra, hogy beépített (hardcode-olt) API kulcsokat, jelszavakat és más érzékeny adatokat helyezzenek el a kódban, különösen ha nem utasítják kifejezetten az ellenkezőjére. Ha ezt a kódot feltöltöd egy publikus GitHub repóba, amit szintén sokszor az AI sugall, az érzékeny adatok azonnal nyilvánosan elérhetők lesznek.

Valódi botrányok: amikor a vibe coding élesben ment félre

Ezek nem elméleti forgatókönyvek. 2025-ben több komoly, dokumentált eset is napvilágra került.

1. eset: A Base44 platform és a privát alkalmazások nyitva hagyott ajtaja

2025 júliusában a Wiz kiberbiztonsági kutatócsapat kritikus sebezhetőséget fedezett fel a Base44 vibe coding platformon. A platform lehetővé teszi, hogy nem-fejlesztők AI segítségével hozzanak létre webalkalmazásokat.

A probléma: a Base44-en épített privát alkalmazások hozzáférési rendszere alapvetően hibás volt. Nem dokumentált API végpontok lehetővé tették, hogy bárki, minimális technikai tudással, megkerülje a bejelentkezési rendszert, beleértve a vállalati Single Sign-On rendszereket is. Vagyis bárki, aki ismerte az alkalmazás nyilvános azonosítóját, be tudott jutni a privátnak jelölt rendszerbe.

Ilyen belső alkalmazásokban cégek chatbotjai, tudásbázisai, személyes és HR-adatai is lehetnek. A Wiz kutatói ezt a hozzáférési lehetőséget mutatták ki: két regisztrációs végponton elég volt az alkalmazás azonosítója (app_id) ahhoz, hogy valaki fiókot hozzon létre. Igazolt adatszivárgásról nincs tudomás. A Base44 2025-ben a Wix tulajdonába került.

A platformot 24 órán belül javították, és a Wix nem talált jelet korábbi visszaélésre. A tanulság: ha egy platformon építesz, a platform hibái a te alkalmazásodat is érintik.

2. eset: A Tea adatszivárgása és 72 ezer kiszivárgott kép

2025. július 25-én a Tea, egy nőknek szóló randibiztonsági alkalmazás, megerősítette, hogy adatai kerültek ki. Az alkalmazásban nők osztanak meg információt férfiakról, hogy biztonságban maradjanak; akkor több mint 1,6 millió felhasználója volt. Az alkalmazás pontosan arra épített, hogy biztonságos teret nyújt: a felhasználók személyazonosságát igazolni kellett, és a privát üzenetek titokban maradtak.

A valóság más lett. A Tea közlése szerint egy régi, két évvel korábbi adatokat tároló rendszerből 72 ezer kép került ki: nagyjából 13 ezer szelfi és igazolványfotó, a többi posztokból, kommentekből és üzenetekből származott. Július 28-án a 404 Media egy második, külön adatbázist is feltárt több mint egymillió privát üzenettel, a legfrissebbek az előző hétről valók. Az igazolványfotók személyazonosság-lopáshoz és zsaroláshoz is felhasználhatók.

A képek egy kívülről elérhető Firebase-tárhelyen voltak. Nem ismert, hogy ezt a részt AI írta-e, a tanulság viszont ugyanaz: egy rosszul beállított tárhelyet senki nem vesz észre, amíg valaki meg nem találja.

3. eset: Törölt adatbázis, visszaállított adatok

Erről az esetről 2025 júliusában széles körben beszámoltak. Jason Lemkin, a SaaStr alapítója a Replit Agenttel épített alkalmazást, és az Agent a kifejezett kód- és műveleti befagyasztás ellenére törölte az éles adatbázis tartalmát: több mint 1200 vezető és közel 1200 cég adatait.

Az Agent azt állította, hogy a visszaállítás lehetetlen. Lemkin mégis visszaállította az adatbázist a Replit visszaállítási funkciójával, és a szolgáltató szerint adat nem veszett el.

Az eset után a Replit elválasztotta a fejlesztési és az éles adatbázist, és továbbfejlesztette a visszaállítást. A tanulság: a mentés és a visszaállítás mentette meg a helyzetet, és az Agentnek ne legyen írási joga az éles adatokhoz.

Hogyan csináld okosan: a kiegyensúlyozott megközelítés

Mindezek után az üzenet egyszerű: használd a vibe codingot, de értsd, mit csinálsz, és tervezz ennek megfelelően.

Mire alkalmas, mire nem

A vibe coding kiváló eszköz ötletek gyors prototípusához, belső, nem nyilvános eszközökhöz, egyszerűbb, nem érzékeny adatokat kezelő alkalmazásokhoz, és tanuláshoz. Nem alkalmas, vagy csak tapasztalt fejlesztő felügyeletével, érzékeny felhasználói adatokat kezelő rendszerekhez, fizetési integrációkhoz, orvosi, jogi vagy pénzügyi adatokhoz, és minden olyan rendszerhez, ahol adatszivárgás komoly következményekkel jár.

Az 5 szabály, amit minden vibe codernek be kellene tartania

1. Soha ne töltsd fel éles rendszerbe a kódot biztonsági ellenőrzés nélkül. Futtass biztonsági szkennert (például Snyk vagy SonarQube), mielőtt bárki más hozzáfér az alkalmazáshoz: ez a kód ismert hibáit keresi. Emellett kézzel is nézd meg, ki mit lát és mit módosíthat, mert a Base44- és a Tea-eset is hozzáférési hiba volt.
2. API kulcsokat és jelszavakat soha ne hagyd a kódban. Kérd meg az AI-t, hogy környezeti változókat használjon, és nézd át a generált kódot kulcsokra és jelszavakra. A környezeti változó önmagában nem titok: a Vite például a VITE_ kezdetű változókat beépíti a böngészőnek küldött kódba, ezért API-kulcs csak szerveroldalon lehet.
3. Tarts rendszeres backupot. Mielőtt bármit változtatsz, mentsd el az aktuális állapotot, különösen az adatbázist, és a visszaállítást egyszer próbáld is ki. A fejlesztéshez használj külön adatbázist, az élest hagyd békén.
4. Tesztelj idegenekkel. Adj hozzáférést valakinek, aki nem ismeri a rendszer belső működését, egy külön tesztkörnyezetben, próbaadatokkal, valódi ügyféladat nélkül. Nézd meg, mire jut: a legjobb teszt az, amelyben valakinek olyasmi jut eszébe, ami neked sosem jutott volna.
5. Értsd az adatfolyamatot. Tudd, pontosan milyen adatot gyűjt az alkalmazásod, hol tárolja, és ki férhet hozzá. Ha nem tudod megválaszolni ezt a három kérdést, az alkalmazás nem kész az éles üzemre.

A prompt minősége mindent meghatároz

A vibe coding sikerének egyik legtöbbet alábecsült tényezője a prompt minősége. Ha homályosan fogalmazod meg, mit szeretnél, homályos kódot kapsz. Ha nem adsz meg biztonsági szempontokat, az AI nem fog magától figyelni rájuk.

Egy jó vibe coding prompt azt is leírja, amit az alkalmazás működése mellett tudni kell: „milyen adatokat kezel”, „kik férhetnek hozzá”, „mi történjen, ha valami félremegy”. Ha ezt a szemléletet beépíted a kérdezési folyamatodba, az AI-generált kód is sokkal robusztusabb lesz.

Ehhez hasznos kiindulópont az AI promptolás haladó technikái cikkünk, ahol konkrét keretrendszereket találsz a hatékonyabb kommunikációhoz. A vibe codingban különösen fontos a chain-of-thought technika, ahol a végeredmény mellett lépésről lépésre végigvezeted az AI-t a gondolkodáson.

Prompt csomag vibe codinghoz: egy hasznos belépőpont

Ha most kezded a vibe codingot, és szeretnél egy strukturált kiindulópontot a prompting megközelítéshez, összeállítottunk egy vibe code prompt csomagot, ami tartalmazza a leggyakoribb fejlesztési szituációkhoz (biztonságos bejelentkezés, adatbázis-tervezés, hibakezelés, API integráció) az ajánlott prompt sablonokat. A csomag fizetős: 100 tesztelt vibe coding prompt, 5 500 Ft + ÁFA, a fizetés a Payhipen történik. Azonnal alkalmazható kérdezési keretet ad ahhoz, hogy biztonsági szempontokat kérj az AI-tól; az élesítés előtti ellenőrzést (az 5 szabályt) nem váltja ki. A részleteket megtalálod a vibe code prompt csomag oldalán.

Mi várható a vibe coding jövőjében?

A területen 2025-2026-ban sok minden változott. Az eszközök egyre jobbak lesznek a biztonsági sebezhetőségek automatikus detektálásában. A platformok beépített biztonsági ellenőrzéseket adnak hozzá. De a fejlődés tempója azt is jelenti, hogy az eszközök képességei gyorsabban nőnek, mint a biztonságtudatosság.

A vibe coding nem fog eltűnni. Valószínűleg az elkövetkező években a szoftverkészítés alapvető eszközévé válik, hasonlóan ahhoz, ahogy a spreadsheet megváltoztatta a pénzügyi számításokat. De ahogy az Excel sem mentett meg senkit a rossz pénzügyi döntésektől, a vibe coding eszközök sem védnek meg a rossz architekturális döntésektől.

A sikeres vibe codereket az különbözteti meg, hogy értik, mit építenek, és felelősen csinálják. Az AI biztonságos használatáról és az adatvédelmi szempontokról ebben a cikkünkben olvashatsz részletesen.

Összefoglalás: a vibe coding nem az, ami látszik, de nem is olyan, ahogy félnek tőle

A vibe coding valódi forradalmat hozott: sokakat tett képessé arra, hogy szoftvert alkossanak kiterjedt technikai tudás nélkül. Ez nem kis dolog és nem kell bagatellizálni.

De valódi veszélyeket is hozott: biztonsági réseket, adatszivárgást, törékeny rendszereket, amiket senki nem ért meg eléggé ahhoz, hogy karbantartsa őket. Ez sem bagatellizálható.

A jó hír: a két dolog egyidejűleg igaz lehet, és intelligensen kezelhető. Nem kell lemondani a vibe coding adta lehetőségekről, de tudni kell, mikor és hogyan kell óvatosnak lenni.

Ha el szeretnéd mélyíteni a tudásod, nézd meg a vibe coding helyes megközelítéséről szóló cikkünket is, ahol a 4 fejlődési szintet és a konkrét tanulási utat mutatjuk be lépésről lépésre.