Vibe-coding: il modo veloce di scrivere app che ti esplode in faccia

Il vibe-coding è diventato il nuovo mantra di chi vuole fare le cose in fretta. Dimentica i test, dimentica la documentazione — accendi il cervello, senti il ritmo del codice e basta. Bob Starr l'ha provato con "Boomberg", un sito che mostra come i soldi pubblici finiscono nelle tasche delle aziende tech. Elegante, utile, lanciato online il giorno dopo la creazione. Problema: nessuno aveva controllato cosa succedeva davvero dentro.

Mesi dopo il debutto pubblico, Starr ha scoperto che il sito era vulnerabile a un classico attacco SQL injection. Non è un bug raro o sofisticato — è il tipo di buco che qualsiasi principiante dovrebbe cercare prima di mettere online una cosa che maneggia dati. Il punto è che quando scrivi "a sensazione" non fai i controlli di sicurezza che, tedioso o no, vanno fatti.

Il vibe-coding funziona benissimo se stai prototipando nel tuo garage e nessuno sta guardando. Ma il momento che connetti la tua app a internet e la riempi di dati, la situazione cambia completamente. A quel punto non stai più giocando — stai gestendo una responsabilità. E "ma è stato veloce da fare" non è una scusa che regge quando qualcuno entra nel database.

La lezione non è che il vibe-coding fa schifo. La lezione è che devi scegliere il momento giusto per usarlo. Prototipa veloce quanto vuoi, sentiamoci pure il vibe. Ma prima di premere "publish", fermati un attimo e chiediti: ho verificato i punti critici di sicurezza? Se la risposta è "non avevo tempo", allora non avevi neanche tempo di metterlo online.

E qui arriviamo al punto dolente: molti developer moderni pensano che "veloce" significhi "saltare i dettagli brutti». Ma i dettagli brutti — validazione degli input, gestione delle credenziali, principio del minimo privilegio — sono esattamente quello che tiene in piedi un'app quando qualcuno prova a romperla. Non sono optional, sono il fondamento.