バイブコーディングって危険なの？初心者が気をつけること
危険というより「限界がある」が正確です。なぜ途中で行き詰まるのか、「動いているのに壊れている」とはどういう状態なのかを、やさしく説明します。
「バイブコーディングは危険」という記事を見て、不安になった人もいると思います。先に結論を書くと、危険なのは作ることではなく、確認せずに公開することです。何が本当に危なくて、何は心配しなくていいのか。はっきり分けて説明します。
まず結論
結論として、バイブコーディングそのものは危険ではありません。危険なのは「確認せずに公開すること」です。
バイブコーディングとは、AIに日本語で頼み、中身をよく理解しないまま作っていく進め方のことです。詳しくはバイブコーディングって何？で説明しています。
最初の一歩としては、むしろ正しい進め方だと考えています。 理解してから作ろうとすると、多くの人は動くものを見る前にやめてしまうからです。
問題は、この進め方にははっきりした限界地点があることです。そこを知らずに進むと事故が起きます。
なぜ「危険」と言われるのか
数字を見てください。
65%
AIに任せて作られたアプリのうち、調査で弱点が見つかったものの割合です。半数以上には、放置すると危ない重大な問題が含まれていました。
そして、こちらも重要です。
48%
AIが書いたコードを「必ず確認している」開発者の割合です。プロでも半数以上は確認していません。
問題が起きやすい状況と、確認する目が足りていない状況が、同時に起きています。 これが「危険」と言われる理由です。
「動いているのに壊れている」とは
いちばん理解しておいてほしいのが、この状態です。
普通、何かが壊れていれば気づきます。画面が真っ白になる、エラーが出る、ボタンが反応しない。こういう壊れ方なら、すぐわかります。
でも、いちばん危ない壊れ方は、見た目では何も起きません。
例1：他の人のデータが見えてしまう
部活のシフト管理ツールを作ったとします。自分でログインして使うと、完璧に動きます。
でも、画面のアドレスの末尾の数字を1つ変えるだけで、他の部活のシフトが見えてしまうことがあります。
自分では気づけません。普通に使っている限り、その操作をしないからです。
例2：誰でも管理者になれる
管理者用のボタンを「一般の人には表示しない」ようにした。これで守ったつもりになる、というパターンです。
表示していないだけで、アドレスを直接入力すれば誰でも入れることがあります。
例3：大事な鍵が外から見えている
外部のサービスとつなぐための「鍵」が、ブラウザから見える場所に置かれてしまうことがあります。これを見つけられると、あなたのアカウントを他人に使われます。
この3つに共通するのは、「画面上は完全に正常」という点です。 だから確認しないと、永遠に気づけません。
なぜ途中で行き詰まるのか
危険性とは別に、進め方としての限界もあります。
エラーが直せなくなる
序盤のエラーは、AIに伝えれば直ります。でもコードが大きくなると、直したつもりが別の場所が壊れるという状態に入ります。
AIは渡された範囲でしか判断できないので、全体を把握していないと同じところを行ったり来たりします。 多くの人がここで止まります。
公開の判断ができない
「これで公開していいのか」を判断するには、何が起きうるかを知っている必要があります。理解を飛ばして進めてきた場合、その判断基準そのものを持っていません。
結果として、動くものはできたのに公開できないという状態になります。
初心者が気をつけること
難しいことは要りません。次の3つだけ意識してください。
- 1
インターネットに公開する前に、必ず確認する
自分のパソコンの中だけで動かしているうちは、気楽に進めて大丈夫です。公開した瞬間から話が変わります。
- 2
アカウントを2つ作って、他人のデータが見えないか試す
これだけで、最も多い事故を防げます。5分でできます。
- 3
他人の個人情報とお金は、慎重に扱う
この2つが絡んだら、詳しい人に見てもらってください。
危ない状態を、自分で見つける方法
「動いているのに壊れている」を見つけるには、自分で試すしかありません。 5分で終わります。
- 1
アカウントを2つ作る
AさんとBさんを作り、それぞれでデータを1件ずつ登録します。
- 2
URLの番号を書き換える
Aでログインした状態で、Bのデータの番号にURLを書き換えます。表示されたら危険です。
- 3
ログアウトして管理画面を開く
管理者用のURLを直接入力します。開けたら権限確認がありません。
- 4
ブラウザの検証画面で鍵を探す
右クリック→検証を開き、secret や sk_ で検索します。見つかったら、その鍵は無効化して再発行してください。
2番目が最も重要です。 これで見つかる問題が、実際にはいちばん多くなります。
そのまま使える、安全にするための指示
問題が見つかったら、次を出してください。
公開する前に、安全面の確認をしてください。
次の項目について、今どうなっているかを説明してから、問題があれば直してください。
1. ログインした人が、他人のデータを見られてしまわないか
URLの番号を書き換えた場合も含めて確認してください
2. 管理者用の画面に、URLを直接入力すれば誰でも入れてしまわないか
3. 鍵にあたる情報が、ブラウザから見える場所に置かれていないか
4. フォームに想定外の値を送られたとき、サーバー側で止められるか
直す前に、まず現状を教えてください。
さらに、保存側で止める指示も出します。画面で隠すだけでは突破されるためです。
データベース側で、ログインした本人のデータしか読み書きできないように
設定してください。Supabase を使っているなら RLS を有効にしてください。
画面で隠すだけの対応にはしないでください。
毎回これを打つのは大変なので、CLAUDE.md に書いておく方法もあります。詳しくはAI開発で気をつけるセキュリティにまとめました。
全部を理解する必要はない
誤解されやすいのですが、限界を越えるためにプログラミングを習得する必要はありません。
必要なのは、判断に必要な最低限の理解です。具体的には、この3つがわかれば大半の問題は防げます。
- データがどこに保存され、誰が読めるのか
- ログインした人とそうでない人で、何が変わるのか
- 隠すべき情報が、どこに置かれているか
これらは考え方として理解すればよく、自分で書けるようになる必要はありません。
どこから相談すべきか
自分とAIでできることが多い
- 自分や友達だけで使うツール
- 学校や会社の中だけで使うツール
- アイデアを試すための試作品
- 利用者が少ない小さなサービス
専門家の知識が重要になる
- 他人の個人情報を預かる
- お金のやりとりをする
- 利用者が一気に増えたとき
- 動かなくなったときの復旧
左側なら、気軽に作って大丈夫です。右側に入るなら、一度誰かに見てもらってください。
具体的な確認項目はAIでアプリができた！でも、そのまま公開して大丈夫？にまとめました。
よくある質問
Q. じゃあバイブコーディングはやめたほうがいい？ A. いいえ。始め方としては正しいと考えています。危ないのは「確認せずに公開すること」であって、作ること自体ではありません。
Q. 自分だけで使うアプリなら大丈夫？ A. インターネットに公開しないなら、ほぼ問題ありません。気楽に作ってください。
Q. AIに「安全にして」と頼めば解決しますか？ A. ある程度は効きます。ただしAIは自分の書いたものを自分で確認するので、見落としがあります。アカウントを2つ作って自分で試すのが確実です。
Q. どれくらい詳しくなれば安心ですか？ A. 上に挙げた3つ（データの保存場所・ログインの有無での違い・鍵の置き場所）がわかれば、初心者としては十分です。
まとめ
- バイブコーディングそのものは危険ではない。危険なのは確認せずに公開すること
- いちばん危ない壊れ方は、画面上は正常に見える
- 調査では65%のアプリに弱点、プロでも48%しか確認していない
- 守るべきは3つ。公開前に確認 / アカウント2つで試す / 個人情報とお金は慎重に
- 全部を理解する必要はない。判断に必要な最低限でいい