Vibe Coding 是什麼？不會寫程式也能做系統＋8 項資安把關清單

「路可，我們公司沒有工程師，可是想做一個內部用的報價系統，Vibe Coding 做得出來嗎？」這是今年我很常被問的問題。

我的答案通常是：做得出來，而且比你想的快。但我會再補一句：做得出來，跟可以放心給大家用，是兩回事。

我管理超過 4,000 個網站，日常就是用 Claude Code 這類 AI 工具幫忙批次檢查、修復、掃描這些站。我很清楚 AI 寫程式有多快；同時我也處理過大量網站入侵，看過太多站是因為一段沒人檢查的程式碼、一個來路不明的外掛出事。這篇我會把兩邊的經驗放在一起講：Vibe Coding 能幫你做什麼、不該拿來做什麼，以及上線前的把關清單。

Vibe Coding 這個詞是誰提出的？

是 OpenAI 共同創辦人 Andrej Karpathy，他在 2025 年 2 月 2 日的一則 X 貼文裡提出這個說法。他形容自己寫一些週末小專案時，就是完全順著感覺走，「fully give in to the vibes」，甚至忘了程式碼的存在：要什麼就跟 AI 講，出錯就把錯誤訊息貼回去，大多時候也能動。

這個詞後來紅到 Collins 英語詞典把它選為 2025 年度詞彙（2025 年 11 月公布）。要注意的是，Karpathy 原本講的是「丟掉也不可惜的小專案」，他自己也沒說這種做法適合正式產品。很多人只記住「不用懂程式」，卻忘了這個前提。

Vibe Coding 跟一般用 AI 寫程式有什麼不同？

差別在於你會不會去看程式碼。工程師用 AI 補程式，還是會逐段檢查、理解後才合併；Vibe Coding 則是只看結果：畫面對了、按鈕能按，就算完成。

這讓不會寫程式的人也能做出東西，但也代表：你看不到的地方，可能藏著你不知道的問題。這不是叫你別用，而是要知道自己站在哪個位置。

Vibe Coding 常見的工具有哪幾種？

依「AI 幫你做多少事」來分，大致有三類：

第三類其實就是 AI Agent 的概念：你給目標，它自己規劃步驟去做。我平常用的就是這一類，因為要面對的是幾千個站，不可能一個一個手動開。

不會寫程式，可以用 Vibe Coding 做什麼？

最適合的是「用的人少、出錯代價低、需求很明確」的東西。以小公司來說，我會推薦從這幾種開始：

• 內部小工具：報價計算機、運費試算、庫存查詢頁。只有自己人用，壞了也不會影響客人。
• 表單與資料整理：把 Excel 匯出的訂單整理成固定格式、把問卷結果分類統計。
• 報表：把廣告、銷售資料讀進來，自動畫成每週要看的圖表。
• 自動化腳本：每天定時抓資料、寄通知、搬檔案。如果你要的是串接各種 App，AI 自動化工作流工具常常比自己寫程式更省事。
• 原型：想做一個產品，先用 AI 做出可以點的雛形，拿去問客人要不要，再決定要不要正式開發。

這些東西以前要找工程師、開規格、等好幾週；現在一個下午就能做出第一版。對沒有工程師的小團隊來說，這是很實在的改變。

哪些東西不適合用 Vibe Coding 做？

只要牽涉到錢、個資、對外開放，就不該只靠「看起來能動」來判斷。具體來說：

• 收款、金流、會員登入：出錯就是真金白銀或客人資料外洩。
• 對外開放、很多人會用的網站或 App：流量一大、有人刻意亂試，隱藏問題就會被翻出來。
• 要長期維護的核心系統：沒人看得懂的程式，半年後要改功能會非常痛苦。
• 會動到正式資料的工具：例如直接改資料庫、批次刪資料的腳本。

這不是我危言聳聽。根據 Semafor 在 2025 年 5 月的報導，有研究者檢查 1,645 個用 Lovable 做出來的網頁應用，約 170 個有漏洞，別人可以讀到裡面的個人資料。2025 年 7 月 The Register 也報導，有創業者在 Replit 上用 AI 代理開發，明明交代不准改動，AI 還是刪掉了正式環境的資料庫。

AI 寫的程式有哪些風險？

我把常見風險整理成四類，跟我處理網站入侵時看到的狀況其實很像。

1. 資安漏洞

AI 很會做出「功能對」的程式，但不一定會主動做權限檢查。常見的是：網址改個數字就能看到別人的資料、輸入框沒有過濾、後台頁面沒有登入也能開。你只測正常操作，永遠測不出來。

2. 金鑰外洩

串 AI、串金流、串 Google 表單都需要 API 金鑰。AI 有時會為了方便把金鑰直接寫在網頁前端，或你把整包程式碼丟到公開的程式碼平台，金鑰就等於公開了。被盜用的後果可能是帳單暴增，或資料被別人拿走。

3. 看不懂、改不動

Vibe Coding 最大的隱形成本是維護。第一版很快，但每次「再幫我加一個功能」，AI 可能在不同地方各寫一套類似的邏輯，越疊越亂。等到某天壞掉，沒人知道問題在哪。

4. 來路不明的套件

AI 會幫你裝各種開源套件。這跟 WordPress 裝外掛很像：我看過很多站被駭，入口就是一個名稱看起來很正常的外掛。套件也一樣，要確認是官方、有人在維護的版本。

Vibe Coding 上線前的把關清單

不會寫程式也沒關係，以下這些你都能自己檢查，或直接要求 AI 幫你檢查並說明：

1. 先寫驗收條件再開工：例如「空白不能送出」「重新整理資料還在」「手機上能操作」。條件越具體，AI 做得越準，你也有東西可以對。
2. 金鑰不放程式碼：要求 AI 把 API 金鑰放在環境變數或後端設定，前端看不到。
3. 測「不該成功」的操作：沒登入能不能進後台？改網址能不能看到別人的資料？
4. 用假資料測試：開發階段不要接正式資料庫，更不要放真實客人個資。
5. 留版本紀錄：每改一次就存一個版本，改壞了能退回。
6. 請 AI 做一次資安檢查：直接問「這個專案有哪些安全風險？」再請它逐項修正。
7. 登入一律開兩步驟驗證：我們處理過的反覆被駭案例，多半是帳密外洩而不是漏洞，自己做的系統也一樣。
8. 要對外上線前，找懂的人看一次：花一點錢請工程師看關鍵部分，比出事後補救便宜很多。

這張清單我自己也在用。我讓 AI 批次處理網站時，一定會先在測試環境跑、看過它要改什麼、確認有備份，才放到正式環境。AI 速度很快，所以更需要煞車。

想做網站，也要用 Vibe Coding 自己寫嗎？

不一定。如果你要的是官網、購物車、線上課程，這些是「已經有人做好、而且有人負責維運」的東西，自己從零寫反而要承擔所有資安和維護責任。

這也是我們自己開發 zenbu AI 網站系統的原因：網站接上 AI，用講的就能建頁面、上架商品、寫文章，但主機、更新、安全由我們維護，你不用管外掛和主機。把 Vibe Coding 留給真正特殊的內部需求，標準功能交給成熟的平台，是我覺得最划算的分工。

常見問題

完全不會寫程式，真的能做出系統嗎？

能做出簡單的內部工具。關鍵不是程式能力，而是能不能把需求和驗收條件講清楚。牽涉到收款和個資的系統，建議還是要有懂的人把關。

Vibe Coding 要用哪個工具入門？

完全不想碰程式，先用 Lovable、Bolt 這類對話式網頁生成工具；想做比較完整的專案或自動化，再進階到 Cursor 或 Claude Code。

用 Vibe Coding 做的東西安全嗎？

不保證安全。AI 會做出能動的功能，但不一定做好權限與金鑰管理。照上面的把關清單檢查，並避免直接處理正式個資，風險會小很多。

Vibe Coding 會取代工程師嗎？

會改變工程師的工作內容，但很難完全取代。越複雜、越需要長期維護的系統，越需要懂架構、能判斷 AI 產出好壞的人。

可以用 Vibe Coding 接案賺錢嗎？

可以，但要對交付品質負責。比較穩的做法是先接內部工具、報表這類低風險案子，詳細可以參考用 AI 接案的 9 種技能。

結語：讓 AI 寫，但你要會驗收

Vibe Coding 讓沒有工程師的小公司，第一次能用一個下午做出自己的工具，這是真的。但 AI 寫得快，也錯得快。先從內部、低風險的小工具開始，養成寫驗收條件、保護金鑰、留版本的習慣，再慢慢挑戰更大的東西。