Vibe coding : définition, risques et règles pour l’entreprise

Que recouvre le vibe coding ?

Le vibe coding recouvre une façon de créer un logiciel où l’on juge le résultat à l’écran, sans regarder le code. Andrej Karpathy, cofondateur d’OpenAI, a lancé le terme sur X le 2 février 2025, selon le dictionnaire Merriam-Webster. Il y accepte toutes les modifications sans les lire et « oublie que le code existe ». Le dictionnaire Collins en a fait son mot de l’année 2025 (CNN, source secondaire).

En pratique, vous décrivez l’outil voulu en langage courant. Un agent IA écrit le code et le lance ; vous testez, puis demandez des corrections. Selon Martin Fowler, spécialiste du génie logiciel, la méthode permet à des non-programmeurs de créer leurs propres outils. En 2025, les développeurs la pratiquaient peu au travail. Selon l’enquête de Stack Overflow close en juin 2025, plus des trois quarts des 26 564 répondants à la question disaient ne pas la pratiquer.

Vibe coding ou développement assisté par l’IA : quelle différence ?

La différence tient à la relecture. Dans le développement assisté par l’IA, une personne compétente lit et teste le code avant sa mise en service. Début février 2026, Karpathy a nommé cette pratique « agentic engineering » : l’humain orchestre des agents et les supervise (The New Stack, source secondaire). Le NCSC, l’agence britannique de cybersécurité, décrit un spectre entre ces pôles, de la complétion de code à l’agent très autonome (18 juin 2026).

Ne confondez pas non plus vibe coding et no code. Le no code assemble des blocs prêts à l’emploi dans un éditeur visuel ; le vibe coding fait écrire un vrai code à l’IA. Enfin, un outil créé avec une plateforme d’IA que l’entreprise n’a pas validée relève du shadow AI.

Que coûte une application vibe codée après le prototype ?

Après le prototype, les coûts d’une application vibe codée portent sur la sécurité, les secrets, la continuité de service et la maintenance. Karpathy l’a constaté en avril 2025. Son premier prototype a tourné très vite. La mise en ligne, avec clés d’API, comptes et paiements, a été laborieuse. Il déconseille donc la méthode pour toute application importante.

• La sécurité. Selon GitHub (octobre 2025), le vibe coding produit parfois des points d’entrée qui semblent corrects mais omettent des contrôles d’accès. En juillet 2025, l’éditeur Veracode a soumis plus de 100 modèles à 80 tâches conçues pour tester quatre types de failles, en quatre langages. Le code produit contenait la faille visée dans 45 % des cas. Sa mise à jour de juillet 2026 trouve un résultat presque inchangé. Veracode vend des outils d’analyse de code : lisez ces chiffres avec prudence.

• Les secrets. Chez METR, un organisme qui évalue les modèles d’IA, une application vibe codée contenait une faille qui désactivait l’authentification sans alerte. En mars 2026, un attaquant y a volé une clé d’API (METR, 31 août 2026).

• La production. En juillet 2025, l’agent de la plateforme Replit a effacé des données de production d’un utilisateur, en plein gel des modifications. Son dirigeant a ensuite annoncé la séparation automatique des bases de développement et de production (Fortune, source secondaire).

• La maintenance. Selon le NCSC, ce code peut devenir compliqué et déroutant à comprendre. C’est une dette technique : le coût futur des raccourcis d’aujourd’hui. L’outil dépend enfin de son auteur et de sa plateforme d’hébergement, une forme de dépendance fournisseur.

Que change le vibe coding pour votre décision ?

Le vibe coding déplace la décision vers deux questions : qui relit le code, et qui répond de l’outil.

• Écrivez la frontière entre prototype et production. Pour le NCSC, le vibe coding complet convient souvent à un prototype ou à un outil interne peu exposé et sans données sensibles. L’authentification, les données clients sensibles et les secrets exigent plus de rigueur. Un prototype réussi reste un POC.

• Imposez une revue avant toute mise en ligne. L’ANSSI demande qu’un humain contrôle régulièrement la qualité du code généré par IA (R30). Elle déconseille de générer par IA les modules critiques (R31). Depuis l’incident, METR impose une revue de sécurité à tout chercheur qui publie une application.

• Protégez secrets et données comme dans tout logiciel. L’ANSSI demande une gestion sécurisée des secrets, comme les clés d’API (R5). Si l’outil traite des données personnelles, le RGPD s’applique : son article 32 exige une sécurité adaptée au risque et cite le test régulier des mesures.

• Nommez un repreneur pour chaque outil devenu critique. Désignez qui le maintient, qui détient le code et où vivent les données. Vérifiez que vous pouvez les exporter hors de la plateforme.

• Mesurez l’usage, pas le nombre d’applications. Une étude du NBER porte sur plus de 500 000 développeurs de GitHub (mai 2026, révisée en septembre). Les agents de code autonomes y augmentent l’activité de code de 240 %, mais les versions publiées de 30 % seulement. Sur quatre places de marché, les nouvelles applications se multiplient sans hausse de l’usage total. Deux des trois auteurs travaillent comme consultants rémunérés pour Microsoft.