2026 年 9 月 6 日，Engadget 發表專文，釐清近年熱議的「vibe coding」到底指甚麼、為何招來批評，以及它與日常 AI 輔助寫碼有何分別。本文已核對 Engadget 原文、Andrej Karpathy 2025 年 2 月首次公開命名該概念的說法，以及佐治亞理工大學網絡安全與私隱學院（School of Cybersecurity and Privacy）Systems Software & Security Lab 的 Vibe Security Radar 公開研究摘要；以下僅陳述可核實事實。
一、核心事件：一個詞如何變成產業標籤
技術細節
「Vibe coding」由前 Tesla Autopilot Vision 負責人、AI 研究員 Andrej Karpathy 在 2025 年 2 月提出：開發者「完全投入感覺、擁抱指數成長，甚至忘記程式碼本身存在」，因為當時的 LLM（他舉例 Cursor Composer 搭配 Sonnet）已夠強。Engadget 作者 Igor Bonifacic 在 2026 年 9 月 6 日的專文指，隨 LLM 寫碼能力提升，這個標籤迅速普及，同時也引來反彈。
關鍵釐清在於：vibe coding 並不等同「所有 AI 輔助寫碼」。Engadget 引用 Stack Overflow 2025 開發者調查：約 47.1% 受訪者每日使用 AI 工具，但 72% 表示 vibe coding 不是其工作流的一部分，另有 5% 強調「絕非」自己的做法。換言之，多數專業開發者當時主要把 AI 用在自動完成、程式碼審查與障礙討論，而不是把整段產品邏輯交給模型一次性生成。
二、技術原理深度解析
從工程角度看，vibe coding 把「意圖表達」上移到自然語言，把「語法與樣板」下放到模型。這在原型、內部工具與個人小程式上效率極高；Engadget 舉例，一名前獸醫技術人員以 vibe coding 做出追蹤老年貓胰島素注射的應用。
風險面則來自三個結構性因素：
- 可讀性與可維護性下降：若作者本身難以獨立修復模型解不了的錯誤，程式庫會變成「黑箱堆疊」。
- 安全屬性未被預設保證：模型傾向重複已知壞模式（例如命令注入、認證繞過、伺服器端請求偽造），攻擊者只需找到一次即可規模化利用。
- 歸因困難：許多 AI 輔助提交不會留下可追蹤標記，令真實漏洞規模被低估。
佐治亞理工 SSLab 的 Vibe Security Radar 正是為第二、三點而生：掃描公開安全公告（CVE、GHSA、OSV、NVD 等），以修復提交回溯引入缺陷的程式碼，再以 AI 工具簽名（co-author trailer、bot 電郵、提交訊息標記）驗證因果。團隊在約 43,000 則公告中，確認至少 74 宗可追溯至 AI 寫碼工具的漏洞，其中 14 宗被標為 critical、25 宗 high；研究人員估計真實數字可能高五至十倍，因為大量 AI 程式碼沒有可辨識 metadata。公開摘要亦指出 2026 年首季發現節奏加快（一月約 6、二月約 15、三月約 35），三月單月已超過 2025 全年確認量。
Engadget 亦引用一項針對 1,100 名曾試用 AI 工具的專業程式員調查：約 72% 每日使用 AI 寫碼工具，其程式庫中約 42% 為 AI 生成或輔助；同一群人預期翌年 AI 相關程式碼占比將超過一半。這組數字說明「輔助」與「委托」之間的邊界正在移動——當占比上升，安全與可維護性成本也會同步上升。
對企業架構師而言，可把治理拆成四層：（一）模型與資料邊界（公有 SaaS 或私有部署）；（二）提示與上下文是否含密鑰、客戶資料；（三）產出是否經靜態分析與依賴掃描；（四）合併權是否仍由人類擁有。缺任何一層，vibe coding 的速度優勢都可能變成事故放大器。
四、日常應用場景
1. 開發者與技術團隊
適合：原型驗證、樣板生成、重構草稿、測試資料。不適合：未審核即合併到生產主幹、權限與金鑰路徑、支付與身份驗證核心。實務上應把「AI 草稿」與「人類閘門」切開：靜態分析、依賴掃描、威脅模型與人工 code review 不可省略。
2. 企業與隱私敏感行業
金融、法律、醫療等行業若把客戶資料送進公有寫碼代理，除資安外還有數據出境與合規風險。較穩妥路徑是：私有模型或企業專線、程式庫不離開可控環境、審計日誌可追溯「誰／哪個代理改了甚麼」。
3. 一般用戶
低門檻做出個人工具確有價值，但「能跑」不等於「可公開上架」。涉及帳號、檔案系統或網絡權限的小工具，仍需最小權限與基本安全檢查。
4. 香港與亞洲市場視角
香港企業普遍同時面對人手緊張與監管要求。Vibe coding 可縮短內部工具上線時間，但若漏洞進入對外服務，代價會反映在客戶信任與合規審查。本地團隊宜把 AI 寫碼納入既有 SDLC／DevSecOps，而不是另開一條「例外通道」。
五、專業評價與潛在考量
優勢
- 降低空白頁成本，加快探索與原型。
- 讓非全職工程背景的業務人員也能做出可用內部工具。
- 與自動完成、審查助手並用時，可提高日常產能。
需要留意的地方
- Engadget 引述的研究顯示，AI 生成程式碼已出現可確認的公開漏洞軌跡，且發現速度在加速。
- 「不讀碼就上線」與安全審查文化直接衝突。
- 若把 junior 工程師過去負責的練習任務全面自動化，人才管道可能變窄；這是組織議題，不只是工具議題。
結語
Engadget 這篇專文的價值，在於把流行標籤拉回可操作定義：vibe coding 是一種「高度委托模型生成」的寫碼姿態，不是 AI 輔助的全部。佐治亞理工的追蹤則提醒：當委托比例上升，漏洞也會以可量測方式進入公開軟體供應鏈。對香港企業而言，下一步不是禁止 AI，而是把模型放進可控環境、強制審查閘門，並保留人類對高風險變更的最終責任。
若需要在香港以私有環境部署寫碼／審查代理，並讓數據留在本地，可參考 YSK Limited 的企業私有 LLM 全託管（年費 HK$88,000 起，Dataset → QLoRA/LoRA → 私有 API，100% 數據不出境）：https://ysk.hk/services/ai-automation
參考來源
- Engadget：What is vibe coding and why does it get so much hate?（2026-09-06）https://www.engadget.com/2247892/what-is-vibe-coding-explained/
- X 發現來源：@engadget https://x.com/engadget/status/2096668913610219575
- Georgia Tech Research News：Bad Vibes: AI-Generated Code is Vulnerable, Researchers Warn（2026-04-13）https://news.research.gatech.edu/2026/04/13/bad-vibes-ai-generated-code-vulnerable-researchers-warn
- Vibe Security Radar（Georgia Tech SSLab）https://github.com/HQ1995/vibe-security-radar