Vibe coding: cuando construyes tu castillo de arena justo al lado del mar

Este artículo está basado en el reportaje original de The Verge – Tech: “Read this before you vibe-code another app”, que recoge el caso real de Bob Starr y los riesgos de seguridad silenciosos que acechan en el código generado por IA.

La euforia del creador sin fricción

Hay algo genuinamente emocionante en la promesa del vibe coding. La idea de sentarte frente a una IA, describirle lo que imaginas con la misma vaguedad con la que le contarías un sueño a un amigo, y que ella lo construya, funcione y puedas lanzarlo al mundo en cuestión de horas. Es la democratización del software hecha realidad. Es también, potencialmente, una de las formas más elegantes de hacerte un disparo en el pie que ha parido la era digital.

Bob Starr es el protagonista involuntario de esta historia. Construyó Boomberg, un sitio web que visualizaba cuánto dinero público estadounidense fluía hacia empresas tecnológicas. Un proyecto con alma, con mensaje político, con esa energía de “tengo algo que decir y quiero decirlo ahora”. Lo lanzó casi de inmediato. La IA había hecho el trabajo. Él había puesto la visión. Todo perfecto.

Excepto que meses después descubrió que su sitio llevaba todo ese tiempo sentado sobre una vulnerabilidad de inyección SQL. Una de esas grietas invisibles que no rompen nada a simple vista, pero que dejan una puerta entreabierta para quien sepa dónde mirar. El castillo estaba construido. Era bonito. Y estaba justo al borde del agua.

El problema no es la IA. El problema es la confianza ciega

Seamos justos: la inyección SQL no la inventó ChatGPT. Es un fallo tan viejo como la web misma, el tipo de vulnerabilidad que lleva décadas en los manuales de ciberseguridad y que sigue apareciendo en auditorías de empresas con equipos de desarrollo completos. El problema no es que la IA genere código inseguro de forma maliciosa. El problema es que genera código con la misma confianza radiante con la que un becario entusiasta te entrega su primer proyecto: funciona, compila, hace lo que se le pidió, y nadie le preguntó si había pensado en los vectores de ataque.

Y aquí es donde el vibe coding revela su talón de Aquiles más profundo: el flujo creativo que lo hace tan seductor es exactamente lo que desactiva el pensamiento crítico. Cuando estás en modo flow, describiendo, ajustando, iterando, sintiéndote un demiurgo digital, no estás pensando en sanitizar inputs. Estás pensando en si el botón queda mejor en azul o en verde.

La IA no sabe lo que no sabe. Y tú tampoco sabes lo que ella no sabe. Esa doble ignorancia es donde viven las vulnerabilidades.

Una metáfora arquitectónica que duele un poco

Imagina que contratas a un arquitecto prodigio que diseña en tiempo récord una casa espectacular. Planos perfectos, estética impecable, distribución inteligente. Pero nadie revisó si los materiales eran ignífugos. Nadie comprobó si la instalación eléctrica cumplía normativa. Nadie auditó los cimientos. La casa existe. Es preciosa. Y es una trampa para quien viva en ella.

El vibe coding funciona igual. La IA es ese arquitecto brillante y veloz que no tiene licencia de obra, no está obligada a pasar inspección y no va a ser ella quien pague las consecuencias cuando algo falle. Tú eres quien firma. Tú eres quien lanza. Tú eres quien responde.

Y lo más perverso del asunto es que el código generado por IA parece profesional. Tiene estructura, tiene comentarios, sigue convenciones. Es código que inspira confianza. Y esa confianza estética es exactamente lo que baja la guardia.

Lo que nadie te dice en el tutorial de vibe coding

Los tutoriales de vibe coding que proliferan en YouTube y Twitter tienen una narrativa muy clara: “Mira lo que construí en 20 minutos sin saber programar.” Es contenido poderoso, aspiracional, adictivo. Lo que no sale en el vídeo es el mes posterior, cuando alguien con tiempo libre y malas intenciones escanea tu aplicación y encuentra lo que la IA dejó sin cerrar.

Algunos de los riesgos más comunes que acechan bajo el código generado por IA son, precisamente, los más clásicos del catálogo OWASP: inyección SQL, exposición de datos sensibles, autenticación rota, configuraciones por defecto que nunca se cambiaron. No son vulnerabilidades exóticas de ciencia ficción. Son los clásicos. Los de siempre. Los que llevan décadas siendo los mismos porque los humanos —y ahora las IAs— seguimos cometiendo los mismos errores.

La IA no tiene contexto de amenaza. No sabe si tu app va a manejar datos de salud, información financiera o simplemente fotos de gatos. Para ella, una query de base de datos es una query de base de datos. El riesgo asociado a esa query lo tienes que traer tú.

Entonces, ¿hay que dejar de vibrar?

No. Por supuesto que no. El vibe coding es una herramienta genuinamente transformadora para prototipado rápido, para proyectos personales, para explorar ideas, para democratizar la capacidad de construir. Negar su valor sería tan torpe como negar el valor de los coches porque algunos conductores no llevan cinturón.

Pero hay cosas que deberían volverse hábito antes de pulsar “deploy”:

Primero: Trata el código generado por IA como código de un desarrollador junior talentoso pero sin experiencia en seguridad. Revisalo con esa lente. Pregúntale a la propia IA: “¿Hay vulnerabilidades de seguridad en este código?”. A menudo las encuentra si se las preguntas directamente. El problema es que nadie pregunta.

Segundo: Si tu app toca datos de usuarios, maneja autenticación o conecta con una base de datos, no la lances sin pasar al menos por un escáner básico de vulnerabilidades. Hay herramientas gratuitas. No hay excusa.

Tercero: Aprende las cinco vulnerabilidades más comunes aunque no sepas programar. No necesitas saber cómo se corrige una inyección SQL para saber que tienes que preguntar si existe. El conocimiento mínimo de amenazas es tan importante como saber usar el prompt.

Vibe coding sin conciencia de seguridad es como improvisar jazz sin saber la escala. Suena bien hasta que no suena.

El caso Starr como espejo incómodo

Bob Starr tuvo suerte. Descubrió la vulnerabilidad antes de que alguien la explotara. Su sitio tenía un propósito noble y una audiencia limitada. Pero no todos los proyectos de vibe coding son tan pequeños ni tan inocentes en términos de datos expuestos. Y la escala de adopción de estas herramientas garantiza que, estadísticamente, ya hay aplicaciones vibe-coded con miles de usuarios activos sentadas sobre agujeros de seguridad que nadie ha revisado todavía.

La historia de Starr no es una historia de terror tecnológico. Es una historia de normalidad. Es lo que pasa cuando la velocidad de creación supera la cultura de responsabilidad. Y es un espejo incómodo para cualquiera que haya lanzado algo rápido, emocionado, sin mirar demasiado atrás.

El vibe coding ha llegado para quedarse. La pregunta no es si seguiremos usándolo. La pregunta es si vamos a madurar como comunidad lo suficientemente rápido para usarlo con los ojos abiertos. Porque construir rápido está muy bien. Construir rápido y sólido es otra liga.