Вайбкодинг: реальный инструмент или опасная игрушка?

Еще недавно программирование напоминало орденское служение или средневековую алхимию: бородатые люди в растянутых свитерах бессонными ночами вручную перебирали указатели памяти, отлавливали утечки и вели священные войны вокруг расстановки фигурных скобок. Прошло совсем немного времени, и привычный ИТ-ландшафт накрыло волной нового явления, получившего название «вайбкодинг». Но так ли безоблачен этот дивный новый мир? Не превратится ли сиюминутный восторг от его сияющей простоты в тяжелое похмелье из критических уязвимостей, архитектурного хаоса и полной потери контроля над собственными системами? 

Чтобы распутать этот клубок противоречий, портал IT-World собрал за круглым столом практиков индустрии — от топ-менеджеров по информационной безопасности и директоров по разработке до практикующих инженеров и студентов.

Смена парадигмы: от ремесла к архитектурному мышлению

Профессия разработчика стремительно трансформируется, но отнюдь не умирает, как поспешили заявить авторы громких заголовков. Скорее происходит тектонический сдвиг в сторону изменения самой сути ремесла. Синтаксис конкретных языков программирования перестал быть сакральным знанием и барьером для входа. Как метко подметил генеральный директор ООО «ЕМДЕВ» Алексей Какунин, сейчас способ создания софта выходит на принципиально иной уровень: «Как недавно шутили, новый язык программирования теперь английский. Поэтому, с одной стороны, действительно знать синтаксис того или иного языка становится уже не так важно. Но, безусловно, необходимы все базовые знания по построению информационных систем. И очень важно понимать, что мы делаем — программируем или разрабатываем программное обеспечение. Это две огромные разницы. Если ты программируешь — ты можешь делать это на английском вместо Java или PHP. А разработка ПО — отдельная наука, которой учат не на двухнедельных курсах, а фундаментально».

Вайбкодинг снимает с человека бремя механической машинописи, но многократно повышает планку требований к кругозору и системному видению. По выражению директора по развитию продуктов компании «ГрафТех» Юрия Романова, суть созидания программного продукта осталась прежней, просто у инженеров появился мощный цифровой экзоскелет. Но чтобы этим экзоскелетом управлять, требуются фундаментальные навыки: «К рукам разработчика добавляется еще один ресурс, которым нужно уметь управлять. И то, что на выходе получается от агента и результатов работы с ИИ, разработчики должны быть в состоянии проверить и валидировать. А этого без теоретической базы невозможно сделать на качественном уровне. Поэтому при найме вопросы остаются прежними, добавляется лишь один пункт: какими инструментами вы пользовались — Cursor, Codex или другими».

Парадокс момента в том, что современная система образования пока отчаянно отстает от происходящего перелома. Классические университеты упорно продолжают натаскивать студентов на алгоритмические олимпиадные задачки и знание спецификаций, полностью игнорируя тот факт, что в реальном коммерческом продакшене код уже давно пишут генеративные модели, а ключевым навыком становится код-ревью и глубокий аудит чужого текста. Яркий пример из первых уст привел Фаррух Шавкатов, программист и студент японского университета Тачибана (Киото). Столкнувшись с реальной разработкой, он обнаружил, что академическая среда готовит ко вчерашнему дню: «В моем учебном заведении требуют только алгоритмы. Это хорошая вещь, но в работе с ИИ они мало помогают. Я столкнулся с этим на практике: активно пользовался агентами при реализации модуля авторизации, накосячил и из-за низких навыков код-ревью просто не смог предугадать скрытые баги, в итоге сорвав дедлайны. Понимать чужой код, анализировать и находить потенциальные ошибки не учат — приходится доходить до этого самому, через книги, набивая шишки руками».

Возникает парадоксальная развилка: с одной стороны, программирование демократизируется настолько, что в него приходят люди без профильного образования, с другой — цена поверхностного отношения к архитектуре возрастает многократно.

Бухгалтерия на стероидах: триумф прикладного вайбкодинга

Показательный кейс представила заместитель главного бухгалтера компании «Битрикс24» Мария Ковалева. Казалось бы, бухгалтерия — это цитадель консерватизма, где царствуют регламенты, строгая отчетность и панический страх перед любыми несанкционированными экспериментами. Однако именно там вайбкодинг показал ошеломляющую эффективность: «Если бы год назад меня спросили, возможно ли использование искусственного интеллекта в моей профессии, я бы рассмеялась. Но за последние месяцы все кардинально изменилось. У нас в компании идет активная просветительская работа, о технологиях рассказывают простым языком. Никакого технического образования у меня нет — классический финансовый менеджмент. И тем не менее сегодня у нас работают три прекрасных инструмента, созданных собственными силами, которые кардинально упростили рутину».

Суть проблемы была классической для любого растущего бизнеса: ежемесячная сверка начисления амортизации основных средств. Когда у вас на балансе тысячи позиций, даже при наличии мощной учетной системы бухгалтеру приходится вручную выгружать бесконечные простыни данных в Excel, протягивать формулы и часами сверять таблицы, вылавливая ошибки сотрудников и сбои при заполнении карточек.

Вместо того чтобы вставать в бесконечную очередь к корпоративным разработчикам с пухлым техническим заданием, сотрудники финдепартамента пошли путем вайбкодинга. Не написав вручную ни единой строчки кода, они создали микросервис, который берет обезличенные массивы, самостоятельно выполняет перерасчет и подсвечивает нестыковки. Однако Мария сделала важнейшую оговорку, демонстрирующую зрелость подхода: инструмент ни при каких обстоятельствах не подпускают напрямую к боевой базе 1С. Данные строго деперсонализируются, выгружаются во внешние таблицы и только потом отдаются на растерзание алгоритмам. Этот локальный успех подчеркивает главное достоинство технологии — устранение барьера между пониманием проблемы и созданием инструмента для ее решения. Тот, кто непосредственно страдает от боли рутинного процесса, теперь может самостоятельно собрать «обезболивающее», не тратя месяцы на согласование технических заданий.

Кошмар безопасника: логические мины и агенты-маньяки

Но как только эйфория от бухгалтерских побед спадает, на авансцену выходит суровая реальность информационной безопасности. И здесь дискуссия моментально теряет радужные краски. Вице-президент по ИБ МТС Банка Илья Зуев спустил собравшихся с небес на землю. По его словам, если раньше безопасники традиционно выступали в роли штатных пугателей бизнеса, то теперь их хлеб отобрали технологические пропагандисты Кремниевой долины, пугающие мир рисками восстания машин. Однако реальная угроза лежит совсем в иной плоскости — в колоссальной скрытой ненадежности генерируемого кода. Главная беда кода, созданного большими языковыми моделями, заключается вовсе не в синтаксических ошибках. Модели научились блестяще компилировать внешне безупречный код. Опасность кроется в тонких логических уязвимостях (IDOR и им подобных), которые автоматические линтеры и статические анализаторы в упор не замечают: «Вспомните популярный мем: человек спрашивает у искусственного интеллекта, можно ли съесть этот гриб. Модель уверенно отвечает: „Да, конечно, приятного аппетита!“ На следующей картинке — свежая могилка, и голос ИИ: „Вы были совершенно правы, хотите, прочитаю лекцию, как отличать ядовитые грибы?“ Точно такая же беда сейчас проникает в софт. Модель пишет великолепный с технической точки зрения код, но в логике допускает чудовищные ошибки. Например, вы делаете API-ручку: пользователь авторизуется, но затем передает чужой идентификатор клиента и без проблем получает данные чужого счета. Для финансовых систем это катастрофа. Такие ошибки раньше ловились опытными сеньорами на ревью. А сегодня у людей возникло слепое доверие к качеству кода от нейронок: программист расслабляется, жмет кнопку „Принять“, и логическая дыра катится прямиком в продакшен».

Илья провел тревожную историческую параллель с аппаратными закладками нулевых и уязвимостями типа Meltdown и Spectre. Современные агенты способны генерировать конструкции, которые в текущий момент выглядят абсолютно легитимно, но при определенном контексте складываются в цепочку исполнения вредоносного функционала. Сегодня злоумышленники уже активно используют сложные каналы скрытой эксфильтрации данных — вплоть до проброса полезной нагрузки через стандартные запросы к DNS. Непредсказуемость автономных ИИ-агентов Илья охарактеризовал весьма выразительной метафорой: «Нейросетевой агент по своей природе очень часто напоминает скрытого маньяка. Он вежлив, обходителен, безупречно выполняет задачи, демонстрирует поразительную услужливость. А в один прекрасный момент — раз, и начисто сносит боевую базу или открывает черный ход наружу. И пока мы не научимся держать его в ежовых рукавицах, риски будут только нарастать».

В качестве контрмеры Илья Зуев настоятельно рекомендует внедрять в пайплайны концепцию Zero Trust по отношению к любому сгенерированному артефакту: изолировать выполнение в жестких микроконтейнерах (MicroVM, Podman), бескомпромиссно протоколировать абсолютно каждое сетевое действие (включая невинные пинги) и обязательно держать под рукой аппаратный Kill Switch — аварийный рубильник, способный мгновенно обесточить взбесившегося агента без риска для инфраструктуры.

Охота на ведьм: как победить код кодом

Однако Илья продемонстрировал и обратную сторону медали. Тот же самый вайбкодинг в руках опытного эксперта превращается в грозное оружие защиты. Он поделился уникальным практическим кейсом разработки системы выявления целевых атак, которую собрал буквально за считаные дни после многолетнего перерыва в программировании.

Проблема заключалась в том, что после инцидента у стороннего подрядчика не было бюджетов на развертывание тяжелых и баснословно дорогих систем мониторинга вроде SIEM или EDR. Имелись лишь «сырые» журналы аутентификации. С помощью языковых моделей Илья погрузился в актуальные научные статьи и прямо в диалоговом окне навайбкодил математический аппарат на базе детерминированных графовых нейросетей (GNN): «В отличие от разговорных LLM с их неизбежными галлюцинациями и флуктуациями, графовые сети абсолютно детерминированы. Мы навайбкодили ансамбль из разнородных сетей — одни специализируются на анализе снапшотов, другие строят поведенческие прогнозы. В итоге эта конструкция стала ловить изощренные атаки нулевого дня, когда хакер действует под видом легального системного администратора, с точностью в 92 процента. Ни один коммерческий комбайн за сотни миллионов рублей не дает подобного качества на таком объеме данных! Самое сложное в процессе было не написать код, а математически выверить и валидировать результат. Это был чистый вайб-MLSecOps».

Более того, Илья подкинул инженерному сообществу остроумный прикладной лайфхак. Исследуя сложнейший целевой вредонос «Василек», разработанный киберпартизанами и детонирующий строго на целевой рабочей станции конкретного пользователя, команда SOC компании RedSecurity скормила бинарник разным нейросетям. Модели вскрыли проприетарный криптографический алгоритм за 23 часа, вытащили закрытые ключи и расшифровали логику. Отсюда родился элегантный рецепт цифровой гигиены: код, написанный американской нейросетью, нужно в обязательном порядке отправлять на аудит безопасности китайской модели, и наоборот.

Экономика иллюзий: почему дешевый код обходится так дорого

Когда разговор заходит о финансах, бизнес традиционно ждет от вайбкодинга снижения костов. Но здесь компании попадают в коварную ловушку, которую детально разложил генеральный директор компании «Диар Групп» Евгений Соболев.

На первый взгляд производительность труда взлетает до небес: один специалист теперь способен выбрасывать наружу терабайты функционала. Но в инженерных уравнениях закон сохранения энергии никто не отменял: если центр тяжести сместился со стадии написания, он неизбежно рухнул на фазу верификации и сопровождения: «И до эпохи вайбкодинга качественно протестировать и отладить код нередко стоило дороже и дольше, чем написать его с нуля. Сейчас же отдельный человек может генерировать в десятки раз больше исходников. Но чтобы адекватно проверить такой массив, за каждым разработчиком нужно посадить десяток ревьюеров! Это экономически нереально. Поэтому компании вынуждены полностью перестраивать инженерное мышление: мы перестаем мыслить строчками кода и начинаем мыслить исключительно архитектурой решений».

В компании Соболева эта трансформация уже привела к радикальной мутации структуры штата. Понятия джуниоров и рядовых мидлов попросту испарились: рутинную разработку забрали на себя бизнес-аналитики. Аналитик формализует ТЗ, «скармливает» нейросети, получает готовый скелет интерфейса и бизнес-логику, после чего оставшиеся штучные сеньоры точечно инспектируют только узкие, критически важные архитектурные стыки.

Более того, чтобы обуздать лавину кода, компаниям приходится заставлять ту же нейросеть генерировать колоссальные объемы автотестов: «У нас само приложение может насчитывать 400–500 тысяч строк, а сверху нейросеть генерирует еще 700 тысяч строк чистого тестирующего кода, который сама же и прогоняет по кругу. Парадоксально, но при таком подходе общее число мелких багов у нас снизилось в несколько раз. Да, система становится многословнее, объем кодовой базы пухнет, но предсказуемость типовых сценариев растет».

Эту мысль поддержал заместитель технического директора группы компаний «Юзтех» Александр Гончаров. Он подчеркнул, что вайбкодинг начал диктовать выбор стека технологий: «Когда мы выбирали фреймворк для кросс-платформенных мобильных приложений, то сознательно ушли от привычного React Native в пользу Flutter. Почему? Потому что инфраструктура Flutter изначально обладает мощным набором инструментов для автотестирования, которые великолепно сопрягаются с CI/CD-пайплайнами и легко управляются ИИ-агентами. Для тестирования кода мы выбираем технологии, на которых с помощью машин работать дешевле и надежнее».

Экономику подтверждает и опыт «ГрафТеха». Юрий Романов поделился историей спасения заброшенного модуля: в кодовой базе годами висел массив дремучего легаси-кода, к которому боялись прикасаться даже старожилы, — документация отсутствовала, логика была покрыта мраком. Выделять на него дорогостоящих инженеров бизнес считал безумием. Проблему решили асимметрично: приставили к одному разработчику пул специализированных агентов. В сжатые сроки и за скромные деньги забытый пласт софта был декомпозирован, расшифрован и наглухо укрыт тестовой броней.

Впрочем, руководитель по продвижению платформы Directum Дмитрий Дунаев предостерег бизнес от стремления пустить внедрение вайбкодинга на самотек. Без системной платформенной изоляции свобода быстро превратится в хаос: «Мы пошли по пути конструктивной безопасности. В нашей новой среде разработки архитектурный каркас, базовые объекты и метаданные жестко зафиксированы самой платформой. Модели разрешено лишь заполнять прикладные сущности. Мы принципиально не отдаем нейросети проектирование системного уровня. Работодатель обязан жестко контролировать контур разработчика: если инженер по незнанию или лени подтянет из публичного репозитория непроверенную библиотеку со скрытой закладкой, которая сольет коммерческую тайну за рубеж, отвечать придется живому человеку. В юридическом и финансовом поле конечную подпись всегда ставит человек, и переложить вину на бездушную модель не выйдет».

На пороге сингулярности: квантовые дуэли и страх отупения

Чем глубже участники погружались в анализ перспектив, тем масштабнее становились картины будущего. Директор департамента искусственного интеллекта в САПРАН и «Фарадей» Никита Ильин подошел к проблеме с обезоруживающей честностью. Назвав себя с иронией «Chief Vibe Officer», он признал, что вся современная разработка постепенно превращается в сплошной непрерывный вайб — от вайб-аналитики до вайб-тестирования. Но у этой медали есть пугающий технологический горизонт: «Мы экспериментировали в компании: взяли одного агента-взломщика и натравили его на агента-защитника. И они способны непрерывно воевать друг с другом до бесконечности, сливая терабайты токенов и цистерны бюджетов. В конечном счете все упирается в физические мощности ”железа”. А теперь представьте недалекое будущее: атакующий агент-пират запущен на квантовом компьютере, а ваш корпоративный щит крутится на классических серверах. Что тогда произойдет? Да, на критических низкоуровневых участках — в ядрах серверов, прошивках управления — вайбкодингу делать нечего, там царит суровый ручной контроль. Но ведь это мизерная часть мирового софта. Все остальное неумолимо засасывает в воронку нейросетевой генерации».

При этом Никита указал на интереснейший тренд оптимизации: современные компактные модели совершают колоссальный скачок в удельной производительности. Если еще недавно для обслуживания аналитических задач корпорации требовалась связка из восьми топовых ускорителей H200, то сегодня оптимизированные компактные архитектуры (вроде Qwen 3.8 на 27 миллиардов параметров) выдают свыше пяти тысяч токенов в секунду всего на четырех картах. Однако закон стоимости неумолим: само «железо» и вычислительные токены дешевеют, зато цена редких специалистов, способных дирижировать этим зоопарком, растет с каждым днем.

На этом фоне в воздухе повис самый неудобный, почти экзистенциальный вопрос: что станет с самим человеком? Не приведет ли тотальное делегирование интеллектуального труда к ментальной атрофии?

Студент Фаррух Шавкатов сформулировал тревогу своего поколения предельно емко: разработчик, полностью переложивший мыслительный процесс на модель, стремительно глупеет как профессионал. Утрачивается навык удержания в голове контекста сложной системы, исчезает способность кропотливо распутывать баги. Вдобавок над рынком нависает риск монопольного взвинчивания цен: пока подписки на продвинутые модели стоят символические 20–40 долларов, бизнес и частные разработчики сидят на плотной «игле». Но если провайдеры решат кардинально переписать ценники, программисты, забывшие, как писать код руками, окажутся у разбитого корыта.

Эксперты восприняли этот страх без излишней паники, призвав взглянуть на историю цивилизации. Юрий Романов провел параллель с первой промышленной революцией: когда ручные мануфактуры сменились паровыми станками, ремесленники тоже кричали о гибели мастерства. Позже то же самое говорили про внедрение компиляторов и визуальных сред разработки, избавивших людей от необходимости помнить машинные коды перфокарт. Никита Ильин с улыбкой вспомнил, как в детстве ориентировался по бумажному атласу автодорог Москвы, а сегодня без навигатора не проедет и трех кварталов — сделало ли это его менее приспособленным к жизни в мегаполисе? Вряд ли. Интеллект не исчезает, он перераспределяется в сторону управления более высокоуровневыми абстракциями.

Александр Гончаров успокоил собравшихся и по части ценового давления: открытый исходный код и ожесточенная конкуренция гигантов страхуют рынок от картельного сговора. Любая попытка закрутить гайки моментально парируется взлетом open-source-истиллятов, которые уже сегодня можно успешно крутить на мощных ноутбуках с чипами Apple Silicon или потребительских видеокартах уровня RTX 4090.

Протрезвление: как выжить в эпоху тотального вайба

Программирование перестало быть делом избранных — оно превратилось в повседневную бытовую стихию. И в этой стихии победит не тот, кто быстрее нажимает клавиши или генерирует больше гигабайт исходников, а тот, кто сохраняет трезвый инженерный рассудок, умеет контролировать непредсказуемое пламя технологий и четко помнит: за любую ошибку кода перед реальным миром всегда отвечает живой человек.