Vibe Coding 2026: 16개월간의 데이터가 말하는 진실

핵심 요약

• Andrej Karpathy는 2025년 2월 2일 "vibe coding"이라는 용어를 만들었습니다. 2026년 중반, 그는 이 용어가 구식이 되었다고 말하며 새로운 프레임워크로 이동했습니다.
• 2025년 7월 METR 연구에 따르면, 숙련된 개발자들은 24% 향상을 예측했음에도 불구하고 AI 도구를 사용했을 때 오히려 19% 느려졌습니다.
• 2026년 1분기에 5개의 독립 연구를 분석한 결과, vibe coding으로 만들어진 앱의 91.5%에 보안 취약점이 하나 이상 존재했습니다.
• Vibe coding이 잘 통하는 경우: MVP, 내부 도구, 비개발자의 빠른 아이디어 검증.
• Vibe coding이 반복적으로 실패하는 경우: 전문가 검토 없이 인증, 결제, 사용자 데이터를 다루는 모든 것.
• 전문적인 진화 방향은 "agentic engineering"입니다. 같은 도구를 사용하되, 엔지니어가 모든 diff를 직접 읽고 책임을 유지합니다.

2025년 2월 2일, Andrej Karpathy는 자신이 나중에 "즉흥적으로 올린 생각의 흐름 트윗"이라고 부른 글을 올렸습니다. "내가 'vibe coding'이라고 부르는 새로운 코딩 방식이 있다. 완전히 분위기에 몸을 맡기고, 지수적 성장을 받아들이며, 코드가 존재한다는 사실조차 잊어버리는 것이다."

그 트윗은 Collins 사전이 선정한 2025년 올해의 단어가 되었습니다. 이를 중심으로 형성된 시장은 현재 47억 달러의 가치를 지닙니다. 주요 도구 중 하나인 Lovable은 2026년 중반까지 연간 반복 매출(ARR) 2억 달러와 66억 달러의 기업가치를 달성했습니다. Y Combinator의 2025년 겨울 배치에서는 스타트업의 25%가 95% 이상 AI가 생성한 코드베이스 위에서 운영되고 있었습니다.

16개월은 "이게 통할까?"라는 질문을 멈추고 "데이터는 무엇을 말하는가?"라는 질문을 시작하기에 충분한 시간입니다. 답은 과대광고보다 복잡하고, 반발보다 유용하며, 어떤 사람인지에 따라 진정으로 달라집니다.

생산성 수치가 전부가 아닙니다

헤드라인 통계는 쉽게 찾을 수 있습니다. 프로젝트 완료 속도 55% 향상, 애플리케이션 개발 속도 5.8배 향상, 개발자의 74%가 생산성 향상을 보고했습니다. 그런데 이러한 요약들이 일관되게 빠뜨리는 것이 있습니다. 바로 2025년 7월의 METR 연구입니다.

이 연구는 숙련된 소프트웨어 엔지니어들에게 AI 코딩 도구를 사용한 경우와 사용하지 않은 경우로 나누어 실제 작업을 수행하게 했습니다. 그 결과, AI 지원을 받았을 때 19% 느려졌습니다. 이들은 24% 빨라질 것이라고 자신 있게 예측했는데도 말입니다. 예측과 현실 사이의 격차는 잘못된 방향으로 43퍼센트 포인트에 달했습니다.

이것은 AI 도구에 반대하는 논거가 아닙니다. 실제로 누가 혜택을 받는지에 대한 신호입니다. 생산성 향상은 실재하지만 분포가 매우 불균일합니다.

• 3년 이상의 경험을 가진 시니어 개발자는 제3자가 측정한 작업에서 40~81%의 향상을 보고합니다.
• 주니어 개발자는 통계적으로 유의미한 산출물 향상을 보이지 않습니다.
• 활성 vibe coding 사용자의 63%를 차지하는 비개발자(제품 관리자, 창업자, 디자이너)는 전혀 다른 것을 얻습니다. 바로 이전에는 없었던 접근성입니다.

METR 연구 결과는 AI 도구가 실제로 무엇을 하는지 생각해보면 이해가 됩니다. AI 도구는 잘 정의된 모듈형 작업의 마찰을 줄여줍니다. 숙련된 엔지니어는 대부분의 시간을 코드를 입력하는 데가 아니라 아키텍처, 디버깅, 판단에 씁니다. 병목이 사고에 있을 때 더 빠른 타이핑은 도움이 되지 않습니다. 반면, 이전에는 프로토타입을 전혀 만들 수 없었던 창업자는 이제 주말에 하나를 만들 수 있습니다.

이 도구는 진정으로 유용합니다. 다만 모든 사람에게 같은 방식으로 유용하지는 않습니다.

보안 문제는 구조적이며, 우발적이지 않습니다

취약점 통계는 여러 독립적인 출처에서 나왔으며 같은 결론으로 수렴합니다. OX Security는 AI가 생성한 코드의 62%에 보안 결함이 있다고 보고합니다. SoftwareSeni이 2026년 1분기에 발표한 분석에서는 5개의 독립 연구에 걸쳐 vibe coding 애플리케이션의 91.5%에 취약점이 하나 이상 있는 것으로 나타났습니다. Escape.tech는 공개적으로 접근 가능한 vibe coding 앱 5,600개를 스캔하여 운영 중인 프로덕션 시스템에서 2,000개 이상의 고위험 취약점, 400개 이상의 노출된 시크릿, 175건의 개인 데이터 노출 사례를 문서화했습니다.

91.5%라는 수치는 충격적으로 들립니다. 실제로 그렇습니다. 그러나 단순히 놀라는 것보다 왜 그런지 이해하는 것이 더 유용합니다.

AI는 여러분이 프롬프트로 요청한 것을 기반으로 코드를 생성합니다. "사용자 계정이 있는 할 일 앱을 만들어줘"라고 쓰면, AI는 작동하는 인증 기능을 작성합니다. SQL 인젝션 방어, 로그인 시도에 대한 속도 제한, CSRF 토큰은 특별히 요청하지 않는 한 추가하지 않습니다. 이러한 보안 레이어들은 존재 자체를 알려면 도메인 지식이 필요합니다.

Escape.tech는 이 패턴을 직접적으로 지목했습니다. vibe coding의 실패는 구조적인 경향이 있습니다. 즉, AI에게 구현하도록 요청받지 않았기 때문에 전체 보안 레이어가 전혀 구현되지 않은 것입니다. 이것은 AI가 잘못된 코드를 작성하는 것과는 다릅니다. AI는 요청받은 것을 정확히 작성했습니다. 누락된 부분들은 한 번도 요청되지 않은 것들입니다.

무엇을 물어봐야 하는지 아는 사람들은 이것을 고칠 수 있습니다. AI가 묻지 않아도 알아서 해줄 것이라고 기대하는 것으로는 해결되지 않습니다.

CodeRabbit의 2025년 12월 분석에 따르면, AI가 공동 작성한 코드는 인간이 작성한 코드보다 "주요" 이슈를 약 1.7배 더 많이 포함하며, 보안 취약점 발생률은 2.74배 더 높습니다. 이 데이터는 순수 vibe coding 앱만이 아닌 모든 AI 보조 코드를 대상으로 합니다. 이는 AI 감독을 얼마나 줄이느냐에 따라 문제가 함께 커진다는 것을 시사합니다.

도구 스펙트럼 이해하기

"Vibe coding"은 프롬프트 기반 개발 전반을 아우르는 단어가 되었습니다. 하지만 도구마다 서로 다른 사용자를 대상으로 하기 때문에 혼란이 생깁니다.

노코드 AI 빌더 (Lovable, Bolt.new, Replit Agent)는 원하는 것을 평범한 한국어로 설명하면 플랫폼이 코드를 생성, 호스팅, 관리합니다. 기반 파일을 직접 볼 일이 없습니다. 이 도구들은 비개발자와 빠른 아이디어 검증을 위해 설계되었습니다.

AI 코드 편집기 (Cursor, Windsurf, Claude Code)는 프로그래밍 지식이 필요합니다. 개발 환경 내에서 코드를 생성하며, 커밋하기 전에 모든 변경 사항을 읽고 검토합니다. AI는 매우 빠르지만 때로는 신뢰할 수 없는 협업자이지, 자율적인 개발자가 아닙니다.

많은 팀이 겪는 실패 패턴이 있습니다. Lovable로 MVP의 80%를 만들고, 그 아래에 무엇이 만들어졌는지 이해하지 못한 채 프로덕션 시스템으로 확장하려 할 때입니다. 노코드로 생성된 코드베이스는 장기적인 유지보수성이 아닌 생성기에 최적화된 패턴을 가지는 경우가 많습니다.

실용적인 의사결정 프레임워크:

Karpathy는 이미 앞으로 나아갔습니다

이 용어를 만든 사람은 이제 그것이 구식이 되었다고 말합니다.

Sequoia Ascent 2026에서 Karpathy는 자신이 "agentic engineering"이라고 부르는 프레임워크를 소개했습니다. 그의 주장은 이렇습니다. 2025년 12월까지 모델 신뢰성이 충분히 향상되어 실제 병목이 이동했습니다. 이제 질문은 AI가 코드를 쓸 수 있느냐가 아닙니다. 인간이 AI가 작성한 시스템에 대해 의미 있는 감독을 유지할 수 있느냐입니다.

그가 구분하는 차이점:

Vibe coding은 하한선을 높입니다. 누구나 작동하는 것을 만들 수 있습니다. 코드 품질은 Karpathy가 말하는 "비대하고, 복사-붙여넣기가 많고, 불안정한 추상화"인 경우가 많습니다. 그래도 배포되고, 그것 자체로 가치 있습니다. 위험 부담이 낮기 때문에 낮은 책임 수준도 적절합니다.

Agentic engineering은 상한선을 높입니다. 전문 개발자들은 AI 에이전트를 조율하면서 배포되는 것에 대한 완전한 책임을 유지합니다. 프롬프트를 작성하기 전에 사양을 설계하고, 병합하기 전에 diff를 검토하며, 테스트를 작성하고, 평가 루프를 구축하고, 권한을 신중하게 관리합니다.

그 강연에서 가장 많이 인용된 말: "생각은 외주를 줄 수 있지만, 이해는 외주를 줄 수 없습니다."

실질적으로, 두 접근 방식의 경계는 어떤 도구를 사용하느냐가 아닙니다. AI가 코드를 생성한 후 무엇을 하느냐에 달려 있습니다. Cursor를 사용하면서 읽지 않고 모든 제안을 수락하는 개발자는 vibe coding을 하고 있는 것입니다. AI가 생성한 모든 diff를 주니어 엔지니어의 PR처럼 한 줄씩 읽고, 설명할 수 없는 것은 병합을 거부하는 개발자는 agentic engineering을 하고 있는 것입니다. 같은 도구, 다른 규율.

항상 직접 작성하거나 검토해야 할 것들

문서화된 실패 패턴에 따르면, 어떤 접근 방식을 사용하든 다음 카테고리들은 인간 검토 없이 프로덕션에 나가서는 안 됩니다.

• 인증 로직: 비밀번호 해싱, 세션 관리, 토큰 검증
• 결제 처리: 웹훅 처리, 멱등성 키, 오류 상태 복구
• 사용자 입력이 포함된 데이터베이스 쿼리: 외부 데이터로 쿼리를 구성하는 모든 코드
• 권한 확인: 누가 어떤 레코드를 읽고, 쓰고, 삭제할 수 있는지
• 시크릿 처리: 환경 변수, API 키 순환, 토큰 저장

그 외의 모든 것은 검토를 전제로 AI 보조 생성의 합리적인 후보입니다. 구조적 실패는 이 다섯 가지 카테고리에 집중됩니다.

자주 묻는 질문

비개발자도 vibe coding으로 프로덕션 앱을 실제로 배포할 수 있나요?

네, 가능합니다. 다만 "프로덕션"의 의미에 대한 중요한 구분이 있습니다. 5명이 사용하는 내부 도구와 5,000명의 결제 데이터를 저장하는 소비자 앱은 다릅니다. 비개발자들은 전자를 성공적으로 만들고 배포하고 있습니다. 후자의 경우, 2026년 보안 연구자들의 공통적인 의견은 이렇습니다. vibe coding으로 아이디어를 검증하되, 실제 데이터를 가진 실제 사용자에게 서비스하기 전에 개발자가 보안에 중요한 경로를 감사하게 하십시오.

Lovable과 Cursor의 실제 차이점은 무엇인가요?

Lovable은 코드를 완전히 추상화합니다. 설명하면 만들어주고, 배포하면 되며, 파일은 건드릴 일이 없습니다. Cursor는 AI가 더 빠르게 작성할 수 있도록 돕는 코드 편집기로, 코드베이스 안에 머물면서 모든 변경 사항을 읽고 커밋합니다. 올바른 선택은 어떤 도구의 리뷰가 더 좋은지가 아니라, 코드를 읽을 수 있는지 여부에 달려 있습니다. 개발자라면 Cursor, 처음 시작하는 분이라면 Lovable이나 Bolt입니다.

Vibe coding은 끝났나요?

실천 방식으로서는 아닙니다. 이미 주류가 되었습니다. GitHub는 새로운 코드의 46%가 이제 AI가 생성한다고 보고합니다. 숙련된 엔지니어들이 이 도구들을 사용하는 방식을 정확하게 묘사하는 용어로서는 점차 사라지고 있습니다. Karpathy 본인도 이미 앞으로 나아갔습니다. 도구는 같지만, 감독에 대한 전문적인 기대치가 바뀌었습니다.

Vibe coding을 시작하는 데 실제로 얼마나 드나요?

Lovable 유료 플랜은 월 25부터 시작합니다 (2026년 6월 기준). Cursor Pro는 월 20입니다. Bolt.new는 일일 토큰이 제한된 무료 플랜이 있습니다. Claude Code는 Anthropic의 API를 통해 사용량 기반으로 요금이 청구됩니다. 개인 창업자가 MVP를 만들 경우, 낮은 사용량에서는 보통 월 50 이하로 유지할 수 있습니다. 대형 코드베이스의 프로덕션 워크로드는 토큰 집약적인 작업을 얼마나 자주 사용하느냐에 따라 월 200~$500 정도가 될 수 있습니다.

최종 결론

Vibe coding은 사기도 아니고 소프트웨어 엔지니어링의 대체재도 아닙니다. 스펙트럼입니다. 한쪽 끝에는 처음으로 실제 무언가를 만드는 비기술 인력이 있고, 다른 쪽 끝에는 AI를 고속 협업자로 활용하면서 배포되는 것에 대한 완전한 책임을 유지하는 숙련된 엔지니어가 있습니다.

실패는 예측 가능합니다. 패턴을 따릅니다. 읽지 않고 대량의 생성된 코드를 수락하거나, 한 번도 요청되지 않은 보안 레이어를 건너뛰거나, 기반 아키텍처를 이해하지 못한 채 노코드 프로토타입을 프로덕션 시스템으로 확장하려 할 때 실패합니다.

2026년 중반, 이 도구들에서 가장 많은 것을 얻고 있는 사람들은 "완전히 분위기에 몸을 맡기는" 사람들이 아닙니다. AI에게 언제 위임할지, 그리고 결과물이 돌아왔을 때 정확히 무엇을 검토해야 할지 아는 사람들입니다.

AI 코딩 도구 환경 전반에 대한 개요는 저희의 최고의 AI 코딩 어시스턴트 가이드에서 Cursor부터 GitHub Copilot까지 2026년 가격 기준으로 전체 스펙트럼을 다룹니다.

코드 생성을 넘어 에이전트 기반 워크플로를 구축하기 시작했다면, AI 에이전트 활용법에서 일회성 생성을 반복 가능한 자동화 시스템으로 전환하는 실용적인 조율 패턴을 다룹니다.