バイブコーディングとは

バイブコーディングとは

生成AIに作成したいものを自然言語で説明し、AIが生成したコードの内容を精査せずに採用し、動作の結果だけを確認して修正を指示し続ける開発の仕方です。

語は2025年2月の投稿から普及し、当初は使い捨ての試作を目的とした進め方として紹介されました。
その後、Collins英語辞典がAIに自然言語で指示してコードを生成させること全般と定義したように、意味が拡大しています。

実務では次の2つの意味が混在します。

• 狭義: AIの出力を精査せず、動作すればよいとして採用する作り方
• 広義: 生成AIによるコーディング支援全般

技術者が出力を精査し、テストし、内容を他人に説明できる状態で採用するなら、AIを利用していても通常のソフトウェア開発だという整理があります。
発注や導入の判断で問題になるのは狭義のほうで、誰もコードの中身を把握していない状態です。

会議でこの語が登場したらどちらの意味で使用しているかを最初に確認するべきです。

なぜ普及したか

業務には開発会社に依頼する規模ではない課題があります。
表計算ファイルの集計、社内向けの入力画面、データ形式の変換などです。
情報システム部門に依頼しても優先して対応されません。
生成AIがプログラムを生成できるようになりました。
その結果プログラミングを習得していない社員でも、言葉で指示するだけで数時間から数日程度で動作するものを用意できます。

技術者も仕様を確定する前の段階で、画面や動作を試作して関係者へ提示する手段として利用しています。

効果

• 事業部門が開発を依頼せずに、小規模な業務の自動化を自分たちで実現できる
• 発注の前に、動作する試作で作成したいものの範囲と関係者の認識を確認できる
• 不要になれば軽微な損失で廃棄できる

コストとリスク

保守と費用

• 誰もコードを理解していないので、不具合や仕様変更のたびにAIへ指示し直すほかなく、修正が別の機能に不具合を生じさせても検知が困難になる
• 作成した本人が異動・退職すると中身を説明できる人が不在になる。情報システム部門が把握しないまま業務で使用され続け、部門の管理外のシャドーITとなる
• 利用者や機能が増加すると試作の作りのまま継ぎ足した部分が技術的負債になる。設計の手直しを先送りした分が借金の利子のように加算され、改修のたびに費用と時間が増加する

データと安全対策

• 作成の途中で、顧客データや社外秘の資料をAIツールに入力して社外へ送信してしまう。個人契約のツールでは会社の契約条件も適用されない
• 認証、権限、入力値の確認といった安全対策が欠落しやすい。Veracodeの2026年3月の調査では、安全な実装と危険な実装のどちらも可能な80の課題を多数のモデルに生成させた。セキュリティを指示しない条件で、4種類の既知の脆弱性が45%のコードに混入した。その1つのSQLインジェクションは、入力欄に入力されたデータベースへの命令文がそのまま実行され、データを不正に読み書きされる脆弱性である
• AIでWebアプリを作成するサービスでは、生成したアプリのデータベースの権限設定が不十分で、認証なしに第三者がデータベースを読み書きできる問題が2025年に脆弱性として登録された。提供元はデータの保護を利用者側の責任と主張した。このため作成した会社が責任を負う前提で検討する
• APIキーなどの秘密情報がコードに直接記述される。API（Application Programming Interface）は外部サービスの機能を他のシステムから使用するための窓口で、APIキーはその使用権限を示す文字列である。漏えいすると第三者に利用される。従量課金のAPIを上限なく利用して想定外の請求が発生することもある
• AIに本番のデータベースやクラウドの操作権限を付与すると、指示に違反した操作でデータを削除・上書きされるおそれがある。2025年7月には変更禁止を指示されていたAIエージェントが本番データベースを削除した事例が報道された

バイブコーディングを許容できる範囲

作成した本人か部署内の数人が利用し、顧客の個人情報や会計データを使用せず、3か月以内に利用を終了するものなら、目安としてバイブコーディングで問題ありません。
どれか1つでも該当しないなら、コードを理解して説明できる技術者が関与する開発に移行するほうが安全です。

目安	バイブコーディングでよい	技術者の関与が必要
利用者	本人か部署内の数人	複数の部署の人や社外の人が利用する
対象のデータ	公開情報、架空のデータ、個人を特定しない集計	顧客の個人情報、会計・決済、取引先との契約情報
利用期間	3か月以内の検証	3か月を超えて使い続け、業務がそれに依存する
外部との接続	自分のパソコンにあるファイルの処理だけ	他システムのデータの更新、従量課金のAPI、インターネットへの公開、本番環境の権限
停止したときの影響	手作業で代替できる	業務や顧客対応が停止する

動作する試作は完成に近く見えますが、権限、エラー時の処理、データのバックアップといった本番に必要な部分はほぼ手つかずのことが多いです。
このため、試作によって要件が確定しても、そのコードを本番にそのまま流用しないほうが安全です。
試作は仕様の見本として利用し、本番用に再構築するか、技術者がコードを精査して改修する前提で見積もります。

事業部門が作成したツールを引き継ぐとき

引き継ぐ側はコードの出来より先に、対象のデータ、利用者、停止したときの影響を確認します。

• 利用者の範囲と、ツールに依存している業務
• 使用しているデータと、作成の途中でAIツールに入力したデータ
• APIキーやパスワードがコードや設定ファイルに直接書き込まれていないか
• 外部サービスとAIツールの契約者と稼働環境が、個人と会社のどちらに属するか

秘密情報の直接の書き込みや個人のアカウントによる外部接続が判明した場合は、改修の検討より先にツールの停止か鍵の無効化を実施します。

引き継いだ技術者がコードを調査しても構成を説明できない状態なら、解読の工数が再構築の工数に匹敵します。
その場合は試作を仕様の見本として再構築するほうが総額を低減しやすいです。

開発会社へ引き継ぐ場合は発注側の担当者が上の項目を整理した一覧とツールの実物を開発会社に提示し、調査の工数を含めた見積もりを依頼します。

よくある誤解

社員がバイブコーディングによって数日で試作できるものなら本番の開発の見積もりも数日分になる

本番の開発で費用を削減できる可能性があるのはバイブコーディングでなく、技術者がAIの出力を精査しながら利用する開発です。
この使い方ならコードの記述のほか、要件の整理、権限やデータの設計、テスト、本番環境の運用と保守の作業もAIで短縮できます。
その代わり、AIの出力の正誤を評価する専門知識の比重が増加します。
精査せずに作成した試作の所要時間は、本番の開発の見積もりの目安になりません。
開発会社がAIを利用するかどうかより、AIの出力を誰がどう確認しているかを質問するほうが品質の評価に有効です。

社員のバイブコーディングは禁止すべき

禁止しても、個人契約のAIツールによる利用は継続するおそれがあります。
その場合は情報システム部門が利用の実態を把握できません。
このため、使用してよいデータと利用者の範囲を決定し、範囲を超えるものは申請させて技術者が確認する運用のほうが安全です。