週一上午，行銷主管丟來一個網址。她週末用 Lovable 做了一個研討會報名頁，表單會收姓名、公司、職稱和手機，送出後還會自動寄確認信。從開始到能用，她花了一個下午，一行程式都沒寫。她想今天就把連結放上官網和 LINE 官方帳號。
頁面很好看，填表也順。我會先問三件事：報名資料存在哪裡？誰的帳號看得到？寄信用的金鑰放在哪裡？這三題的答案，決定它今天能不能上線。
Vibe coding 是什麼：講需求、看結果，不看程式碼
2025 年 2 月，曾任 Tesla AI 總監、也是 OpenAI 創始成員的 Andrej Karpathy 在 X 上發文，提出一種他稱為 vibe coding 的寫程式方式：完全順著感覺走、擁抱指數成長，忘了程式碼的存在。他的做法是用說的告訴 AI 要改什麼，AI 給的修改全部接受、不看差異，出錯就把錯誤訊息整段貼回去。他自己也說，這拿來做週末隨手玩的專案還不錯。
這個詞後來傳得比他預期的廣，Collins 英語詞典選它當 2025 年的年度詞彙。用的人多了，意思也開始被放大，好像只要用到 AI 寫程式都叫 vibe coding。軟體開發者 Simon Willison 在 2025 年 3 月寫文章劃了一條線：vibe coding 指的是用 AI 寫程式、卻不檢查它寫出來的程式碼。如果你讀過、理解並測試每一段修改，那叫 AI 輔助開發。他的態度是，低風險的專案和原型，放手讓 AI 寫沒什麼不好。
| vibe coding | AI 輔助開發 | |
|---|---|---|
| 誰看程式碼 | 沒人看，只看畫面能不能動 | 有人讀過每一段修改 |
| 出錯時 | 把錯誤訊息貼回去，請 AI 再修 | 先找出原因，再決定怎麼改 |
| 適合 | 原型、一次性工具、個人專案 | 要長期維護、會碰到資料或金流的系統 |
我們的網站 ethorx.com 大部分也是 AI 寫的，但屬於右邊那一欄：每次修改都要過檢查，上線前要我點頭。開頭那個報名頁，則是典型的左邊。
常見工具：在瀏覽器裡生出整個 app，還是在你的專案裡改程式
vibe coding 的工具大致分兩種。一種在瀏覽器裡，描述需求就從零生出一個網站或 app，連主機、資料庫都幫你接好；另一種在你自己的專案裡工作，修改你電腦上或程式庫裡的檔案。
| 工具 | 在哪裡做 | 適合 | 要注意 |
|---|---|---|---|
| Lovable | 瀏覽器，描述需求就產生網站，可以接資料庫 | 活動頁、內部小工具的原型 | 接了資料庫，讀取權限要自己確認 |
| Bolt | 瀏覽器，另有 Bolt Cloud 提供主機、資料庫和會員登入 | 想一路做到上線的小專案 | 同上 |
| Replit Agent | 瀏覽器，從規劃、建置到發布都由 agent 處理，會自動存檢查點可以退回 | 從零做一個能用的 app | 2025 年 7 月發生過刪掉正式資料庫的事件 |
| Google AI Studio 的 Build 模式 | 瀏覽器，用白話做出並部署試用 Gemini 功能的 app | 試 AI 功能的小應用 | 用到的金鑰放在哪裡要確認 |
| Cursor | 自己電腦上的程式編輯器，內建 coding agent | 已經有程式專案、有人看得懂程式 | 改的是你的檔案，要搭配版本控管 |
| Claude Code | 終端機、桌面 app 或網頁，在你的專案資料夾工作 | 長期維護的網站、文件庫 | 權限要先設好，見 Claude Code 教學 |
非工程背景的人想試，從瀏覽器那幾個開始最快。很多人問 vibe coding 是不是免費的：大多數工具都有免費額度，例如 Lovable 免費方案每天給 5 點、每月最多 30 點，Bolt 也標示可以免費開始。要做完一個專案、放上自己的網域，通常就得付費。
哪些情況可以放心直接用
資料是假的、壞了也不影響別人，就可以放手讓 AI 寫。這類工作很多：
- 給主管或客戶看的原型，裡面用假資料
- 只跑一次的小工具，例如把整個資料夾的檔案依日期重新命名
- 自己或部門內部用、不碰客戶資料的小頁面
- 談需求用的樣品，讓工程師一看就知道你要什麼
例如業務部想要一個報價試算頁。與其寫三頁需求文件，不如先用 vibe coding 做一個只有自己人用、輸入假數字的版本，拿去和工程師對欄位、對公式。它的價值是讓需求變具體，上不上線是另一件事。
這五種情況，上線前一定要停下來檢查
| 情況 | 可能出什麼事 | 上線前要確認 |
|---|---|---|
| 收個資（報名表、會員、詢價） | 資料庫讀取權限沒設好，任何人都讀得到別人的資料 | 資料存在哪、誰讀得到；換一個帳號或登出後試著讀讀看 |
| 收錢、改訂單狀態 | 付款狀態被外人改掉 | 付款走金流商的正式流程，結果在伺服器端確認 |
| 有登入、分權限 | 一般使用者看得到管理頁 | 每種角色都實際登入試一次 |
| 程式裡用了 API 金鑰 | 金鑰寫在網頁程式裡，被看到、被盜用 | 金鑰只放在伺服器端或密鑰管理，網頁原始碼搜尋不到 |
| 會修改或刪除正式資料 | AI 執行指令時把資料刪掉 | 開發和正式環境分開、先有備份、刪除要人確認 |
上線前的檢查：結構正不正、門口有沒有人看，資料、金流和進出權限各自要過一關。
表裡的第一、二、四列都有真實案例。2025 年 5 月，Semafor 報導一位研究者掃描了 1,645 個用 Lovable 做、展示在 Lovable 網站上的作品，其中 170 個讓任何人都能讀到使用者的姓名、Email、財務資料和 AI 服務的 API 金鑰。
這個問題登記為 CVE-2025-48757：2025 年 4 月 15 日以前產生的網站，資料庫的列層級權限（Row Level Security）設定不足，沒登入的人也能讀寫資料表；通報者的說明還提到，部分網站的付款狀態可以被改掉。Lovable 不認同這項認定，理由是每個客戶要為自己網站的資料負責。工具商說資料安全是你的責任，上線前就得有人替你看過。
最後一列也有。2025 年 7 月，SaaStr 創辦人 Jason Lemkin 用 Replit 的 agent 做一個商用 app，在他明確要求凍結程式、不准再改的期間，agent 刪掉了正式資料庫。Replit 執行長事後回應，承諾自動把開發和正式資料庫分開。刪除、寄出這類動作要怎麼設成先問人，原則可以看 AI agent 的權限與人工確認怎麼設。
回到開頭的報名頁：它會收個資，寄信又用到金鑰，同時落在第一列和第四列。今天能做的，是請懂的人確認報名資料存在哪裡、誰讀得到、金鑰有沒有暴露在網頁裡；或是把表單改接官網既有的詢問表單，讓資料進公司本來就在管的地方。兩條路選一條做完之前，連結先別放出去。
我們的網站也是 AI 寫的：三次出錯，各是怎麼被抓到的
ethorx.com 的程式與文章，從 2026 年 9 月起主要由 AI coding agent 撰寫和修改。每次修改要過我們的檢查指令（型別檢查加上五支專案腳本）、文章另外過一支內容檢查，畫面要在瀏覽器裡實際看過，上線要我同意。就算這樣，還是出過錯：
| 日期 | 發生什麼事 | 檢查有沒有擋下 | 怎麼發現、之後怎麼做 |
|---|---|---|---|
| 2026-09-20 | 比較表有一欄命名為 export（匯出），整個頁面回 500 錯誤 | 沒有，Astro 的檢查指令回報 0 個錯誤 | 前一個工作階段為了找原因把整頁內容清空也沒找到，後來把頁面單獨編譯才定位；改名後恢復。現在新增頁面避開這個名稱，改完一定開瀏覽器看 |
| 2026-10-03 | 安裝 Ollama 時，Homebrew 順便裝了新版 Python 並排到預設路徑前面，文章檢查腳本讀不到設定，把每一篇都判成不合格 | 擋了，但擋錯：壞的是檢查本身 | 「每一篇都不合格」太不合理才發現；安裝後 9 分鐘內把新版 Python 移出預設路徑，檢查恢復正常，事件寫進工作紀錄 |
| 2026-10-03 | 照著過期的記憶，把程式推到不該推的遠端存放庫 | 沒有，規則只管要不要推 | 當天退回；更新那則記憶，規定推之前先確認遠端，權限規則的做法見 Claude Code 教學 |
三件事各有一個教訓。第一，檢查腳本擋得住寫錯格式，擋不住「看起來正常」的錯，所以最後一定要有人打開頁面看。第二，AI 為了完成任務做的事，會影響任務以外的地方，裝一個工具就改到了整台電腦的設定。第三，它照著記憶和說明做事，記憶過期它也不會知道。
這也是我不建議把會碰資料的東西直接 vibe coding 上線的原因。我們每天在用，知道它好用，也知道它會在哪裡出錯。
想開始 vibe coding：四個步驟
- 從假資料的小專案開始。例如部門內部的午餐投票頁，壞了大家笑一笑就好。
- 交代需求時，連資料一起講。會收哪些欄位、存在哪裡、誰能看，寫進第一句交代裡。
- 讓每次修改都能退回。用工具內建的版本紀錄（例如 Replit 會自動存檢查點），或把專案放進 git。
- 公開前，拿上面那張五種情況的表逐列對照。有任何一列符合，就找看得懂程式的人檢查，或請人重做成正式版本。
員工自己用 AI 做工具、放到公司裡用，也算一種 shadow AI。公司要怎麼訂規範，可以看 Shadow AI 與企業 AI 使用規範。
我們能協助的部分
AI 做出來的原型，很適合拿來談需求。要變成正式的官網或電商網站，可以參考我們的官網與電商開發：分成需求與架構規劃、UI/UX 視覺設計、系統開發與整合、測試驗收與上線交接四個階段，需要時可以串接 CRM、ERP、LINE 這類既有系統，上線後也提供長期維護。例如週末做好的報名頁原型，可以直接當成需求文件，用來確認欄位、確認信內容，以及資料要存到哪裡。
常見問題
Vibe coding 是免費的嗎？
多數工具有免費額度，可以先試。要做完整的專案、接自己的網域或資料庫，通常要付費；Claude Code 最低也要 Pro 方案。各家的方案和額度常調整，訂閱前看官方方案頁。
不會寫程式，值得學 vibe coding 嗎？
值得，當成「把想法做成樣品」的能力來學。能自己做出一個會動的原型，和工程師、廠商溝通會快很多。要上線給客戶用的東西，還是需要看得懂程式的人一起把關。
公司員工自己用 vibe coding 做工具，要禁止嗎？
全面禁止常把使用逼到檯面下。比較實際的做法是先盤點大家在做什麼，規定只要碰到客戶資料、公司系統或金流，就要先找 IT 或外部工程師看過。
Vibe coding 會讓公司不需要工程師嗎？
我的看法是不會。會做原型的人變多了，但檢查權限、接公司系統、處理出錯和長期維護，還是要有人負責。比較可能的變化是，工程師花在打字的時間變少，花在審查和設計的時間變多。
參考來源
以下依官方文件與媒體報導整理，各工具的方案與免費額度以官方頁面當下為準。
- Wikipedia：Vibe coding
- CNN（KVIA 轉載）：Vibe coding named Collins Dictionary’s word of the year
- Simon Willison：Not all AI-assisted programming is vibe coding
- Semafor：The hottest new vibe coding startup Lovable is a sitting duck for hackers
- CVE-2025-48757 紀錄（MITRE）
- Matt Palmer：CVE-2025-48757
- TechTarget：Replit AI agent snafu shot across the bow for vibe coding
- Lovable：方案與額度
- Bolt
- Replit：Agent
- Google AI for Developers：Build apps in Google AI Studio
- Cursor