¿El vibe coding es malo? Riesgos reales y cómo evitarlos

¿El vibe coding es malo? No en sí mismo, pero publicar código escrito por IA que nadie ha revisado se vuelve arriesgado en cuanto hay clientes, dinero o datos personales de por medio. Para una landing page, un prototipo o una herramienta interna, los riesgos son pequeños y fáciles de manejar. Para cualquier cosa con inicios de sesión, pagos o datos de clientes guardados, necesitas las protecciones de abajo y, normalmente, una revisión humana.

¿Qué tan arriesgado es? Depende de lo que construyas

La mayoría de los primeros proyectos están en las dos filas de arriba, que es justo donde el vibe coding funciona bien. Los cinco riesgos de abajo importan más cuanto más bajas en la tabla.

Riesgo 1: fallos de seguridad que no ves

El código que funciona y el código seguro son cosas distintas, y la investigación sobre código escrito por IA lo dice sin rodeos.

Veracode también descubrió que los modelos más grandes y recientes no eran más seguros que los pequeños. El hallazgo sobre Lovable vino de investigadores que analizaron proyectos en marzo de 2025 y publicaron el problema en mayo como CVE-2025-48757, un identificador público para una vulnerabilidad conocida.

Esas apps funcionaban. El problema era la row level security (RLS), las reglas dentro de una base de datos que deciden qué filas puede ver o cambiar cada visitante.

Para ser justos con Lovable, ahora hace un análisis de seguridad automático antes de publicar que busca huecos en estas reglas. Su propia documentación de seguridad dice que las herramientas no pueden garantizar una seguridad completa y recomienda una revisión profesional adicional para apps que manejan datos sensibles.

• Usa servicios probados para inicios de sesión y pagos en lugar de dejar que la IA invente los suyos.
• Mantén las claves secretas fuera del código del navegador. Una clave de API es una contraseña que permite al software usar un servicio de pago, así que guárdala en las variables de entorno de tu hosting.
• Haz que la IA ataque su propia app con el prompt de abajo, y luego arregla lo que encuentre.
• Consigue una revisión humana para todo lo que esté en las dos últimas filas de la tabla.

Audita este proyecto en busca de problemas de seguridad antes de publicarlo. Revisa:
1. Cada tabla de la base de datos: ¿un visitante sin sesión puede leer, añadir o cambiar filas?
2. Cualquier clave de API o contraseña visible en el código del navegador o en archivos guardados en el repositorio.
3. Formularios: ¿qué pasa con textos muy largos, vacíos o maliciosos?
4. Páginas o endpoints que funcionan sin iniciar sesión pero no deberían.
Explica cada hallazgo en español sencillo, ordénalos por gravedad y
no cambies nada de código hasta que yo apruebe las correcciones.

Riesgo 2: la IA hace algo destructivo

En julio de 2025, Jason Lemkin, fundador de SaaStr, contó que el agente de IA de Replit borró su base de datos de producción, los datos en vivo de los que dependía su proyecto, pese a las instrucciones de no cambiar nada sin permiso, según informó The Register. El agente tenía acceso a datos en vivo y nada técnico se lo impidió.

• Separa los datos de prueba de los reales. Construye sobre una copia y conecta la base de datos real solo al publicar.
• Mantén un historial de versiones que controles tú. Haz commit en Git después de cada paso que funcione. Los checkpoints de Claude Code pueden deshacer sus propias ediciones de archivos, pero no recogen los cambios hechos por los comandos que ejecuta.
• Elige un modo que pregunte primero. Las versiones recientes de Claude Code en la terminal y en VS Code empiezan en Auto mode, donde un clasificador en segundo plano aprueba acciones por ti. Para trabajo sensible, pulsa Shift+Tab o usa el selector de modo de la app de escritorio para cambiar a Manual, que pregunta antes de editar archivos o ejecutar comandos.

Riesgo 3: costos que suben poco a poco

La mayoría de las herramientas de vibe coding cobran por uso, así que el contador corre mientras iteras. El momento caro es el bucle de depuración: la IA no logra arreglar un error, vuelves a pedirlo y cada intento cuesta.

• Planifica antes de construir. Un plan claro significa menos reconstrucciones caras.
• Para después de dos arreglos fallidos. Usa el prompt de abajo en lugar de pedirlo por tercera vez.
• Configura alertas de presupuesto en tu herramienta de IA y en tu hosting, y activa un tope fijo donde exista.
• Conoce los límites de tu plan. Mira los límites de uso de Claude Code y los precios de Claude Code.

Deja de cambiar código. Explica en español sencillo qué crees que está causando
este problema, qué has probado hasta ahora y por qué no funcionó. Luego
dame dos formas distintas de arreglarlo, con los riesgos de cada una, y espera
a que yo elija.

Riesgo 4: código que nadie puede mantener

El software necesita mantenimiento. En diciembre de 2025, el equipo de React reveló un fallo crítico en React Server Components, con una gravedad de 10.0 sobre 10, que permitía a atacantes ejecutar código en los servidores afectados.

Las apps construidas con frameworks como Next.js tuvieron que actualizarse de inmediato, y el equipo de React advirtió que no había que confiar en las protecciones de los proveedores de hosting en su lugar. Una app hecha con vibe coding sin nadie pendiente de avisos como ese simplemente queda expuesta.

• Elige el stack más simple. Las apps sin servidor no se vieron afectadas por ese fallo, así que sigue el enfoque de HTML simple de crear una página web con IA siempre que encaje.
• Deja todo por escrito. Pídele a la IA un README y un archivo CLAUDE.md que expliquen cómo funciona el proyecto y cómo cambiarlo.
• Agenda una revisión mensual. Pide a tu herramienta de IA que busque dependencias desactualizadas o vulnerables y que las actualice una por una.
• Evita quedar atrapado. Asegúrate de poder exportar el código o sincronizarlo con GitHub.

Riesgo 5: huecos de privacidad y legales

Incluso una página simple crea obligaciones en cuanto recoge nombres, correos o teléfonos. Las leyes de privacidad de donde viven tus clientes pueden exigir un aviso de privacidad, consentimiento para marketing y límites sobre cómo usas los datos.

• Recoge solo lo que necesitas. Un nombre y un teléfono pueden bastar para una reserva.
• Di qué recoges. Publica una página de privacidad corta que explique qué reúne el formulario y adónde va.
• Revisa tu seguimiento. La analítica y los píxeles publicitarios pueden necesitar un banner de consentimiento, según dónde estén tus visitantes.
• Trata los textos legales de la IA como un borrador. La IA puede redactar una política de privacidad o unos términos, pero no puede responsabilizarse de ellos.

La defensa justa del vibe coding

Para muchas pequeñas empresas, la alternativa a una herramienta hecha con vibe coding no es una app diseñada con cuidado. Es nada, o una plantilla que no les gusta y no pueden cambiar.

El vibe coding permite a los dueños probar ideas con poco dinero, construir herramientas internas que nadie habría financiado y darles a los desarrolladores un prototipo que funciona en lugar de un brief vago. En cuanto revisas y pruebas lo que construye la IA, ya no estás haciendo vibe coding puro, como explica la guía sobre qué es el vibe coding.

Cuando construyo para clientes con IA, la herramienta nunca es lo que hace seguro el resultado. Lo hacen las comprobaciones aburridas de alrededor, y para eso está la lista de abajo.

La lista de seguridad del vibe coding

Antes de construir

Mientras construyes

Antes de publicar

Después de publicar

Qué hacer ahora

Busca tu proyecto actual o el que tienes en mente en la tabla de riesgos y recorre las secciones de la lista que le corresponden antes de publicar nada. Si está en las dos últimas filas, reserva presupuesto para la revisión de un desarrollador ahora, no después de publicar.

Para comparar herramientas por sus protecciones y precios, mira las mejores herramientas de vibe coding. El curso Builders incluye lecciones sobre seguridad básica, accesibilidad y privacidad para los sitios que construyes con IA.