バイブコーディングとは？意味・ツール・注意点（2026年）

バイブコーディング（Vibe Coding）とは、作りたいものを普段の言葉で説明し、コードはすべてAIに書かせて、自分では読まない開発のやり方です。「バイブ」は雰囲気やノリを指す言葉で、結果の良し悪しはブラウザに表示された見た目で判断します。この記事では、言葉の由来、よく使われるツールと料金、向いている用途、そして実際のお客様がいるアプリでリスクに変わる瞬間までを整理します。

すでにアプリを公開していて、コードがGitHubにある場合は、最後のセクションで、レビューを挟みながら変更を続ける方法を紹介しています。

言葉の由来

この言葉を広めたのは、OpenAIの共同創業者でテスラのAI部門を率いたアンドレイ・カルパシー（Andrej Karpathy）氏です。2025年2月3日（日本時間）のXへの投稿で、雰囲気に完全に身を委ね、コードが存在することすら忘れるような新しいプログラミングを「バイブコーディング」と呼びました。よく省かれますが、言葉の意味をいちばんよく表しているのは投稿の細部です。カルパシー氏は変更をすべて承認して差分を読まず、それで構わないのは使い捨ての週末プロジェクトだから、と書いていました。

言葉は一気に広がりました。2025年3月には米国の辞書Merriam-Websterがスラングとして取り上げ、11月6日には英国のCollins辞書が2025年の「今年の言葉」に選んでいます。日本語では「バイブコーディング」と書くのが一般的で、Wikipediaには「雰囲気コーディング」という別名も載っています。IT用語辞典 e-Wordsにも項目があり、日経クロストレンドは2026年上半期のトレンドマップに新しいキーワードとして加えました。

AIを使った開発とは別物

いちばん役に立つ区別は、プログラマーのサイモン・ウィリソン氏が2025年3月に示したものです。バイブコーディングとは、AIが書いたコードを確認しないままソフトウェアを作ること。AIを使っていても、変更を一つずつ読み、試し、理解してから保存しているなら、それは新しい道具を使った普通のソフトウェア開発です。

その1年後、カルパシー氏自身が、この確認を伴うプロ向けのやり方に「エージェンティック・エンジニアリング（agentic engineering）」という別の呼び名を提案しました。人が複数のAIエージェントを指揮し、監督役を担う形です。元の言葉を撤回したわけではなく、試作や実験という本来の意味に戻した、と捉えるのが正確です。

日本でも使い方は急速に広がっています。GMOインターネットグループの社内調査（2026年9月、回答5,894人）では、生成AIを業務で使う社員の54.1%が仕事でバイブコーディングをしていると答えました。一社の社員を対象にした調査ですが、変化の速さはよく分かります。一方、KPMGジャパンの調査（2026年7月、回答2,788人）では、約65%が中身を十分に理解しないままAIが書いたコードを使ったことがあると答えています。

実際の使い方

ツールを開いて「美容室の予約アプリを作りたい。ログインとスタッフ用の管理画面付きで」のように書くと、数分で動く画面と共有用のリンクが手に入ります。気に入らない点があれば、もう一度頼むだけです。

価格は2026年10月12日に各社の公式サイトで確認したドル建ての金額で、税は別です。上の4つはコードを見せずにアプリを一から作るツール、CursorとClaude Codeはコードを扱う人向けのツールです。

日本から使う場合の注意点が二つあります。まず、Lovableは2026年6月から画面の表示言語に日本語を選べるようになりました（一部は未翻訳です）。日本語のまま依頼して問題ありません。次に、iPhoneアプリ経由の購入は割高です。日本のApp StoreではLovableの「Pro Plan」が6,000円で、ウェブ版の25ドルを大きく上回ります。支払うならウェブ版からがおすすめです。

本当に向いている場面

• お金をかける前にアイデアを試すとき。 動く試作品は、どんな企画書よりも説得力があります。
• 社内向けの小さなツール。 外部の人が見ることのない、チーム用の一覧画面などです。
• キャンペーンページや会社案内のサイト。 機密情報を保存しないものに向いています。

こうした場面ではスピードが何より大事で、間違えても損失は小さく済みます。

リスクに変わる瞬間

状況が変わるのは、最初の本物のお客様が登録し、お金を払い始めた日です。

一つ目はセキュリティです。2025年5月、Lovableで作られたアプリに関する脆弱性CVE-2025-48757が公開されました。調査した研究者は1,645件のプロジェクトのうち170件で、アクセス制御の設定が不十分なためにデータベースを外部から読み書きできる状態だったと報告しています。Lovableは、アプリのデータを守る責任は各利用者にあるとして自社の欠陥とは認めていませんが、その後セキュリティチェック機能を追加しました。2026年には、Claude CodeとLovableで作られた公開アプリ200件のうち91%に何らかの脆弱性があったとする研究（査読前の論文）も発表され、ITmediaなどが報じています。誰もコードを読まなければ、誰もその設定を確かめない、という点は変わりません。

二つ目は、AIエージェントに本番環境へのアクセスを与えることです。2025年7月、ReplitのAIエージェントが、バイブコーディングの実験中にSaaStrの本番データベースを削除しました。ReplitのCEOはこれを容認できないと述べ、以来、開発用と本番用のデータベースを分けています。同じ月には、セキュリティ企業のWizがBase44でプラットフォーム自体の欠陥を見つけ、非公開のアプリに入れる状態でしたが、24時間以内に修正されました。

三つ目は保守です。誰もコードを理解していないアプリは壊れやすくなります。価格を一つ変えただけで、触っていない別のページが壊れ、お客様からの問い合わせで初めて気づく、ということが起こります。

アプリを危険にさらさずに活かすには

1. コードをGitHubに置く。 個人のアカウントではなく、会社のアカウントにします。
2. 鍵を確認する。 Supabaseを使っているなら、Refinarの無料ツール「Supabaseキーの確認」で、サイトに見えているキーが公開用か秘密のものかを数秒で確かめられます。
3. テスト用のデータとお客様のデータを分ける。 実際のアカウントで変更を試さないためです。
4. ログイン、決済、顧客データに関わる変更は、公開前にコードが読める人に確認してもらう。

公開したあとは

Refinarはこの段階のために作られています。GitHubのリポジトリからアプリをそのまま開いてクラウドで動かし、変更したい内容を言葉で伝えるか、画面の該当箇所を指し示すと、AIエージェントが動くコピーの上で目の前で変更を加えます。お客様に届くのはその後です。上のリストの4つ目は仕組みに組み込まれていて、ログイン、決済、顧客データに関わる変更が自動で公開されることはなく、開発者に回されます。それ以外の変更は自分で公開するか、チームにレビューを依頼できます（仕組み）。プランは月50ドルからです（料金）。

バイブコーディングで作ったアプリを、安全に改善し続けたい場合は、お使いのアプリでRefinarを試してください。