2026 में Vibe Coding: 16 महीनों के डेटा से क्या पता चला

संक्षेप में

• Andrej Karpathy ने 2 फरवरी 2025 को "vibe coding" शब्द गढ़ा। 2026 के मध्य तक वे खुद इस शब्द को पुराना मान चुके हैं और एक नए framework की ओर बढ़ गए हैं।
• जुलाई 2025 की METR study में पाया गया कि अनुभवी developers AI tools के साथ 19% धीमे हो गए, जबकि उन्हें 24% तेज़ी की उम्मीद थी।
• Q1 2026 की रिसर्च के अनुसार, पाँच स्वतंत्र अध्ययनों में 91.5% vibe-coded ऐप्स में कम से कम एक सुरक्षा खामी पाई गई।
• Vibe coding किसके लिए सही है: MVPs, internal tools, और ऐसे non-developers के लिए जो तेज़ी से किसी आइडिया को परखना चाहते हैं।
• यह कहाँ नाकाम होती है: authentication, payments, या user data से जुड़ी किसी भी चीज़ में, जब तक किसी विशेषज्ञ की समीक्षा न हो।
• पेशेवर दुनिया का नया रुझान है "agentic engineering" — वही tools, लेकिन engineer हर diff पढ़ता है और जवाबदेही बनाए रखता है।

2 फरवरी 2025 को Andrej Karpathy ने एक tweet किया, जिसे उन्होंने बाद में "shower of thoughts throwaway tweet" कहा: "एक नई तरह की coding है जिसे मैं 'vibe coding' कहता हूँ, जहाँ आप पूरी तरह vibes के हवाले हो जाते हैं, exponentials को गले लगाते हैं, और भूल जाते हैं कि code का अस्तित्व भी है।"

वह tweet Collins Dictionary का 2025 का Word of the Year बन गया। उसके इर्द-गिर्द बना बाज़ार अब 4.7 अरब डॉलर का हो चुका है। Lovable, जो अग्रणी tools में से एक है, 2026 के मध्य तक 200M ARR और 6.6B की valuation तक पहुँच गया। Y Combinator के Winter 2025 batch में 25% startups ऐसे codebases पर चल रहे थे जो 95% AI-generated थे।

सोलह महीने इतने लंबे हैं कि अब "क्या यह काम करेगा?" पूछना बंद करके यह पूछा जाए कि "डेटा क्या कहता है?" जवाब हाइप से ज़्यादा पेचीदा है, backlash से ज़्यादा काम का है, और यह वाकई इस बात पर निर्भर करता है कि आप कौन हैं।

उत्पादकता के आँकड़े पूरी कहानी नहीं बताते

हेडलाइन stats ढूँढना आसान है: 55% तेज़ project completion, 5.8x तेज़ application development, 74% developers को productivity में बढ़त महसूस होती है। लेकिन इन सारांशों में जो बात लगातार छूट जाती है वह है जुलाई 2025 की METR study।

इसमें अनुभवी software engineers को AI coding tools के साथ और उनके बिना असली tasks पर परखा गया। नतीजा: वे AI की मदद से 19% धीमे हो गए, जबकि उन्हें पूरा भरोसा था कि वे 24% तेज़ होंगे। उम्मीद और हकीकत के बीच का फर्क गलत दिशा में 43 percentage points का था।

यह AI tools के खिलाफ कोई तर्क नहीं है। यह एक संकेत है कि असल में किसे फायदा होता है। उत्पादकता में बढ़त सच्ची है, लेकिन बेहद असमान:

• 3+ साल के अनुभव वाले senior developers third parties द्वारा मापे गए tasks में 40-81% की बढ़त दर्ज करते हैं
• Junior developers में कोई सांख्यिकीय रूप से महत्वपूर्ण output सुधार नहीं देखा गया
• Non-developers, जो active vibe coding users में 63% हैं (product managers, founders, designers), उन्हें कुछ बिल्कुल अलग मिलता है: वह पहुँच जो पहले थी ही नहीं

METR का नतीजा समझ में आता है जब आप सोचते हैं कि AI tools वास्तव में क्या करते हैं। वे अच्छी तरह परिभाषित, modular tasks में बाधाएँ कम करते हैं। अनुभवी engineers का ज़्यादातर समय architecture, debugging, और judgment calls में जाता है, न कि code टाइप करने में। टाइप करने की रफ़्तार बढ़ने से मदद नहीं मिलती जब bottleneck सोचना हो। इसी बीच, एक founder जो पहले prototype बिल्कुल नहीं बना सकता था, अब एक weekend में बना सकता है।

यह tool वाकई काम का है। लेकिन यह सभी के लिए एक ही तरह से काम का नहीं है।

सुरक्षा की समस्या ढाँचागत है, आकस्मिक नहीं

कमज़ोरियों के आँकड़े कई स्वतंत्र स्रोतों से आते हैं और एक ही निष्कर्ष पर आकर मिलते हैं। OX Security के अनुसार 62% AI-generated code सुरक्षा खामियों के साथ ship होता है। SoftwareSeni द्वारा Q1 2026 में प्रकाशित विश्लेषण में पाया गया कि पाँच स्वतंत्र अध्ययनों में 91.5% vibe-coded applications में कम से कम एक कमज़ोरी है। Escape.tech ने 5,600 सार्वजनिक रूप से उपलब्ध vibe-coded ऐप्स को scan किया और 2,000 से ज़्यादा high-impact vulnerabilities, 400 से अधिक exposed secrets, और live production systems में 175 बार personal data उजागर होने के मामले दर्ज किए।

91.5% का आँकड़ा चौंकाने वाला लगता है। है भी। लेकिन क्यों को समझना सिर्फ चौंकने से ज़्यादा काम का है।

AI उसी के आधार पर code generate करता है जो आप prompt करते हैं। जब आप लिखते हैं "user accounts के साथ एक todo app बनाओ," तो AI ऐसा auth लिखता है जो काम करता है। वह SQL injection protection, login attempts पर rate limiting, या CSRF tokens नहीं जोड़ेगा जब तक आप खास तौर पर न माँगें। उन security layers के लिए domain knowledge चाहिए ताकि आप जान सकें कि वे exist करती हैं।

Escape.tech ने इस pattern को सीधे नाम दिया: vibe coding की विफलताएँ अक्सर ढाँचागत होती हैं, यानी पूरी की पूरी security layers जो कभी implement हुई ही नहीं क्योंकि AI को कभी उन्हें implement करने का prompt नहीं मिला। यह AI के टूटा हुआ code लिखने से अलग है। AI ने बिल्कुल वही लिखा जो माँगा गया था। जो चीज़ें गायब थीं, वे कभी माँगी ही नहीं गईं।

जो लोग जानते हैं कि क्या माँगना है, वे इसे ठीक कर सकते हैं। यह उम्मीद रखकर ठीक नहीं होगा कि AI खुद-ब-खुद इसे संभाल लेगा।

CodeRabbit के दिसंबर 2025 के विश्लेषण में पाया गया कि AI co-authored code में human-written code की तुलना में लगभग 1.7 गुना ज़्यादा "major" issues होते हैं, जिनमें security vulnerabilities की दर 2.74 गुना अधिक है। यह डेटा सभी AI-assisted code पर लागू होता है, न कि सिर्फ pure vibe coding ऐप्स पर — जो सुझाता है कि समस्या उतनी ही बढ़ती है जितना AI oversight कम होता है।

Tool Spectrum को समझना

"Vibe coding" हर prompt-driven development के लिए एक shorthand बन गई है, जिससे भ्रम पैदा होता है क्योंकि ये tools बिल्कुल अलग-अलग users की ज़रूरत पूरी करते हैं।

No-code AI builders (Lovable, Bolt.new, Replit Agent) आपको plain English में describe करने देते हैं। Platform code generate करता है, host करता है, और manage करता है। आपको underlying files कभी नज़र नहीं आतीं। ये non-developers और तेज़ idea validation के लिए बने हैं।

AI code editors (Cursor, Windsurf, Claude Code) को programming knowledge चाहिए। वे आपके development environment में code generate करते हैं, जहाँ आप commit करने से पहले हर बदलाव पढ़ते और review करते हैं। AI एक बहुत तेज़, कभी-कभी अविश्वसनीय collaborator है, न कि कोई autonomous builder।

जो failure mode ज़्यादातर teams को झेलनी पड़ती है: Lovable से शुरू करना, एक working MVP का 80% बना लेना, फिर यह समझे बिना कि नीचे क्या बना है, उसे production system में extend करने की कोशिश करना। No-code-generated codebases में अक्सर ऐसे patterns होते हैं जो generator के लिए optimized हैं, न कि long-term maintainability के लिए।

एक व्यावहारिक decision framework:

Karpathy पहले ही आगे बढ़ चुके हैं

जिस शख़्स ने यह शब्द गढ़ा, वे अब इसे पुराना मानते हैं।

Sequoia Ascent 2026 में Karpathy ने एक framework पेश किया जिसे वे "agentic engineering" कहते हैं। उनका तर्क है: दिसंबर 2025 तक model reliability इतनी बेहतर हो गई कि असली bottleneck बदल गया। सवाल अब यह नहीं है कि AI code लिख सकता है या नहीं। सवाल यह है कि क्या इंसान AI-written systems की सार्थक निगरानी बनाए रख सकते हैं।

वह जो अंतर बताते हैं:

Vibe coding floor ऊँचा करती है। कोई भी कुछ functional बना सकता है। Code quality अक्सर वैसी होती है जिसे Karpathy "bloaty, lots of copy-paste, awkward abstractions that are brittle" कहते हैं। यह ship हो जाता है, और यह valuable है। कम जवाबदेही उचित है क्योंकि दाँव कम होता है।

Agentic engineering ceiling ऊँची करती है। Professional developers पूरी जवाबदेही बनाए रखते हुए AI agents को orchestrate करते हैं। वे prompt करने से पहले specs design करते हैं, merge करने से पहले diffs review करते हैं, tests लिखते हैं, eval loops बनाते हैं, और permissions को ध्यान से manage करते हैं।

उस talk की सबसे ज़्यादा quote की गई line: "You can outsource your thinking but you can't outsource your understanding।" (आप अपनी सोच को आउटसोर्स कर सकते हैं, लेकिन अपनी समझ को नहीं।)

व्यावहारिक रूप से, दोनों approaches के बीच की रेखा यह नहीं है कि आप कौन सा tool इस्तेमाल करते हैं। यह है कि AI के code generate करने के बाद आप क्या करते हैं। Cursor use करने वाला developer जो बिना पढ़े सभी suggestions accept करता है, वह vibe coding कर रहा है। जो developer हर generated diff को एक junior engineer के PR की तरह treat करता है, उसे line by line पढ़ता है, और जो explain न कर सके उसे merge नहीं करता — वह agentic engineering कर रहा है। एक ही tool। अलग discipline।

क्या हमेशा खुद लिखें या review करें

दर्ज की गई failure patterns के आधार पर, कुछ categories को कभी भी बिना human review के production में नहीं जाना चाहिए, चाहे approach कोई भी हो:

• Authentication logic: Password hashing, session management, token validation
• Payment processing: Webhook handling, idempotency keys, error state recovery
• User input वाले database queries: कोई भी code जो external data से queries बनाता हो
• Authorization checks: कौन किन records को read, write, या delete कर सकता है
• Secret handling: Environment variables, API key rotation, token storage

बाकी सब कुछ review के साथ AI-assisted generation के लिए उचित candidate है। ये पाँच categories वहाँ हैं जहाँ ढाँचागत विफलताएँ सबसे ज़्यादा देखी जाती हैं।

अक्सर पूछे जाने वाले सवाल

क्या non-developers vibe coding से वाकई production ऐप्स ship कर सकते हैं?

हाँ, लेकिन "production" का मतलब समझना ज़रूरी है। 5 लोगों द्वारा इस्तेमाल किया जाने वाला internal tool, 5,000 लोगों के payment data store करने वाले consumer app से बिल्कुल अलग है। Non-developers पहली category में सफलतापूर्वक बना और ship कर रहे हैं। दूसरी category के लिए, 2026 में security researchers की राय है: अपने आइडिया को vibe coding से validate करें, फिर real users और real data serve करने से पहले किसी developer से security-critical paths का audit करवाएँ।

Lovable और Cursor में असली फर्क क्या है?

Lovable code को पूरी तरह छुपा देता है। आप describe करते हैं, वह बनाता है, आप ship करते हैं, आप files को कभी नहीं छूते। Cursor एक code editor है जहाँ AI आपको तेज़ लिखने में मदद करता है, लेकिन आप codebase में रहते हैं, हर बदलाव पढ़ते और commit करते हैं। सही चुनाव इस बात पर निर्भर करता है कि आप code पढ़ सकते हैं या नहीं, न कि इस पर कि किस tool के बेहतर reviews हैं। Developers के लिए Cursor। शुरुआत करने वाले बाकी सभी के लिए Lovable या Bolt।

क्या vibe coding खत्म हो गई?

एक practice के रूप में, नहीं — यह mainstream है। GitHub के अनुसार अब 46% नया code AI-generated है। एक ऐसे शब्द के रूप में जो सटीक रूप से describe करे कि अनुभवी engineers इन tools के साथ क्या कर रहे हैं — यह fade हो रहा है। Karpathy खुद इससे आगे बढ़ गए। Tools वही हैं; निगरानी की पेशेवर अपेक्षा बदल गई है।

Vibe coding शुरू करने में कितना खर्च आता है?

Lovable का paid plan 25/month से शुरू होता है (जून 2026 तक)। Cursor Pro 20/month है। Bolt.new में प्रति दिन सीमित tokens के साथ एक free tier है। Claude Code API-usage-based है और Anthropic की API के ज़रिए priced है। एक solo founder जो MVP बना रहा है, वह आमतौर पर कम usage पर 50/month से कम में रह सकता है। बड़े codebases पर production workloads 200-500/month तक जा सकते हैं, यह इस बात पर निर्भर करता है कि आप token-intensive operations कितना इस्तेमाल करते हैं।

असली फैसला

Vibe coding न तो कोई धोखा है और न ही software engineering का विकल्प। यह एक spectrum है: एक छोर पर, non-technical लोग पहली बार असली चीज़ें बना रहे हैं; दूसरे छोर पर, अनुभवी engineers AI को high-velocity collaborator के रूप में इस्तेमाल करते हुए ship होने वाली चीज़ों की जवाबदेही बनाए रखते हैं।

विफलताएँ पूर्वानुमेय हैं। वे एक pattern का पालन करती हैं: बड़ी मात्रा में generated code को बिना पढ़े accept करना, ऐसी security layers को skip करना जो कभी prompt नहीं किया गया, और underlying architecture को समझे बिना no-code prototype को production system में scale करने की कोशिश करना।

जो लोग 2026 के मध्य में इन tools से सबसे ज़्यादा फायदा उठा रहे हैं, वे वे नहीं हैं जो "पूरी तरह vibes के हवाले हो जाते हैं।" वे वे हैं जो बिल्कुल जानते हैं कि कब AI को delegate करना है और वापस आने पर क्या inspect करना है।

AI coding tool landscape का व्यापक overview के लिए, हमारा best AI coding assistants guide 2026 की pricing के साथ Cursor से GitHub Copilot तक पूरे spectrum को cover करता है।

अगर आप सिर्फ code generation से आगे बढ़कर agent-driven workflows बनाना शुरू कर रहे हैं, तो how to use AI agents उन व्यावहारिक orchestration patterns को समझाता है जो one-off generation को repeatable automated systems से अलग करते हैं।