वाइब कोडिंग क्या है? Karpathy की परिभाषा, वर्कफ़्लो, प्रमुख टूल और सुरक्षा हक़ीक़त

फरवरी 2025 में, OpenAI के सह-संस्थापक और Tesla AI के पूर्व प्रमुख Andrej Karpathy ने X पर एक वाक्य पोस्ट किया जिसने एक नया शब्द दुनिया भर में फैला दिया: वाइब कोडिंग।

"There's a new kind of coding I call 'vibe coding', where you fully give in to the vibes, embrace exponentials, and forget that the code even exists."

एक साल बाद, 2026 में, यह शब्द एक ध्रुवीकृत बहस के केंद्र में है। Karpathy ने स्वयं इसका नाम बदलने का प्रस्ताव दिया है, उद्यमों में सुरक्षा घटनाओं में वृद्धि देखी जा रही है, और फिर भी इंडी डेवलपर्स, स्टार्टअप्स और आंतरिक टूल्स के लिए यह एक मानक कोडिंग शैली के रूप में स्थापित हो चुका है। यह लेख आधिकारिक स्रोतों और उद्योग डेटा का उपयोग करते हुए परिभाषा और नवीनतम बहस को समझाता है।

1. वाइब कोडिंग क्या है?

वाइब कोडिंग एक प्रोग्रामिंग शैली है जो कोड लिखने या पढ़ने के बजाय कोड को क्या करना चाहिए, इस बारे में बात करने के इर्द-गिर्द बनी है। आप प्राकृतिक भाषा में AI (Claude, GPT, Cursor Composer आदि) को बताते हैं कि आप क्या चाहते हैं, और जनरेट किए गए कोड को पढ़े बिना उसे चलाते रहते हैं और सुधार माँगते रहते हैं।

केंद्र में तीन विचार हैं:

• कोड से लगाव छोड़ दें: "मैंने जो कोड लिखा" वाली स्वामित्व की भावना को त्याग दें।
• अगर चलता है तो ठीक है: एक बार काम कर जाए, तो आंतरिक संरचना समझना बाद में आता है — या कभी नहीं।
• बातचीत से चलाएँ: जब बग या त्रुटियाँ दिखें, तो बस AI से कहें "इसे ठीक करो।" स्टैक ट्रेस पेस्ट करना ही काफ़ी है।

एक विशिष्ट उदाहरण: एक इंडी डेवलपर प्रॉम्प्ट देता है "Pygame में Tetris गेम बनाओ" → Claude 500 लाइन कोड लौटाता है → वे चलाते हैं → गेंद नहीं गिरती, तो वे कहते हैं "ब्लॉक घूम नहीं रहे" → उन्हें ठीक किया हुआ संस्करण मिलता है। स्वयं एक भी पंक्ति लिखे बिना पूरा हो गया।

2. Karpathy ने इसे गढ़ा — और एक साल बाद नाम बदलने का प्रस्ताव दिया

"वाइब कोडिंग" वाक्यांश Andrej Karpathy द्वारा X (पूर्व में Twitter) पर फरवरी 2025 में गढ़ा गया था। उन्होंने इसका उपयोग Cursor Composer (तब Sonnet चला रहा था) को SuperWhisper (वॉइस इनपुट) के साथ जोड़कर लगभग पूरी तरह से बात करके ऐप्स बनाने के अनुभव का वर्णन करने के लिए किया।

अगले वर्ष क्या हुआ:

• दिसंबर 2025: Karpathy ने अपने स्वयं के वर्कफ़्लो में नाटकीय बदलाव की रिपोर्ट दी — नवंबर में 80% हस्तलिखित, दिसंबर में 80% AI-जनरेटेड।
• फरवरी 2026: Karpathy ने "वाइब कोडिंग" नाम छोड़कर इसे "एजेंटिक इंजीनियरिंग" से बदलने का प्रस्ताव दिया। अंतर: वाइब = आप क्या चाहते हैं यह कहना और जो भी मिले उसे स्वीकार करना; एजेंटिक इंजीनियरिंग = सिस्टम डिज़ाइन करना, बाधाएँ निर्दिष्ट करना, और पहले से सोचे गए कार्यान्वयन को तेज़ करने के लिए AI का उपयोग करना।

तो वाइब कोडिंग एक अजीब स्थिति में है — वह शब्द जिसने अवधारणा को लोकप्रिय बनाया, लेकिन जिस व्यक्ति ने इसे बनाया वह अब इसकी सिफ़ारिश नहीं करता। बाज़ार फिर भी इसका उपयोग करता है, क्योंकि कोई दूसरा शब्द "आकस्मिक" और "कोड पढ़ने से मुक्त" के समान स्वाद को नहीं पकड़ता।

3. विशिष्ट वर्कफ़्लो

अमूर्तता बहुत हो गई — यह वास्तविक लूप है जिसे लोग चलाते हैं।

4. प्रमुख टूल

मई 2026 तक, यहाँ वे टूल हैं जहाँ वाइब कोडिंग शैली विशेष रूप से अच्छी तरह काम करती है।

अगर आप लर्निंग या प्रोटोटाइप के लिए नॉन-इंजीनियर के रूप में इसका उपयोग कर रहे हैं, तो Lovable, v0, और Bolt.new देखें। अगर आप मौजूदा कोड पर काम करने वाले पेशेवर इंजीनियर हैं, तो वर्तमान विकल्प Claude Code, Cursor, और Codex CLI हैं।

5. अंधेरा पक्ष — सुरक्षा और गुणवत्ता की हक़ीक़त

"वाइब कोडिंग बहुत अच्छी लगती है। इसे प्रोडक्शन में भेजना दूसरी कहानी है।" 2026 में यह अंतर अनदेखा करना असंभव हो गया, और तीसरे पक्ष के आँकड़े बेरहम हैं।

यह "AI ख़राब है" वाली कहानी नहीं है — यह एक विकास शैली की संरचनात्मक समस्या है जो अनपढ़ कोड को प्रोडक्शन में धकेलती है। वही AI, जब समीक्षा और सत्यापन जोड़ने वाले मनुष्यों द्वारा चलाया जाता है, नाटकीय रूप से कम घटना दर दिखाता है।

हर अध्ययन अलग कमज़ोरियाँ देखता है — अपने ऐप में क्या और किस क्रम में जाँचें

ऊपर के आँकड़े अलग-अलग चीज़ें मापते हैं। Veracode ने अलग-अलग कोडिंग कामों में देखा कि LLM कोड लिखने का सुरक्षित तरीक़ा चुनता है या नहीं; 86% बार उसने XSS नहीं रोका (Veracode की प्रेस विज्ञप्ति)। वहीं Tenzai ने पाँच कोडिंग एजेंटों (Cursor, Claude Code, Codex, Replit, Devin) से वही तीन ऐप बनवाए। बने 15 ऐप में से किसी में भी इस्तेमाल लायक SQL इंजेक्शन या XSS नहीं था, लेकिन पाँचों एजेंटों ने SSRF डाला, और API एक्सेस में ग़लत ऑथराइज़ेशन (कौन किस डेटा को छू सकता है) सबसे आम समस्याओं में था (SecurityWeek की रिपोर्ट)। और जब Escape.tech ने पहले से चल रहे ऐप्स को बाहर से जाँचा, तो उसे उजागर कुंजियाँ और लीक हुआ निजी डेटा मिला (Escape.tech की रिपोर्ट)।

यानी अब जब एजेंट पूरा ऐप जोड़ते हैं, तो किताबी कमज़ोरियों से ज़्यादा वे छेद बचे रह जाते हैं जिन्हें ऐप को कैसे काम करना चाहिए यह जाने बिना नहीं पहचाना जा सकता। vibe coding से बना ऐप प्रकाशित करने से पहले इस क्रम में जाँचना सबसे कारगर है।

1. क्या कुंजियाँ बाहर से दिखती हैं? ब्राउज़र के डेवलपर टूल में पेज सोर्स और नेटवर्क ट्रैफ़िक खोलें और API कुंजी या डेटाबेस कनेक्शन की जानकारी खोजें। यह भी जाँचें कि किसी सार्वजनिक रिपॉज़िटरी में .env फ़ाइल न हो।
2. क्या किसी और का डेटा दिखता है? (ऑथराइज़ेशन) दो उपयोगकर्ता बनाएँ, एक से लॉग इन रहें और URL या अनुरोध में ID को दूसरे की ID से बदलकर देखें।
3. क्या कोई फ़ीचर बाहरी URL लाता है? (SSRF) अगर "URL डालकर इमेज या पेज आयात करें" जैसा फ़ीचर है, तो आंतरिक पते (जैसे http://localhost या 169.254.169.254) डालें और पक्का करें कि वे ठुकरा दिए जाएँ।
4. क्या इनपुट जैसा का तैसा स्क्रीन पर दिखता है? (XSS) टिप्पणी बॉक्स जैसी जगह में <script> वाली स्ट्रिंग डालें और पक्का करें कि वह चलने के बजाय टेक्स्ट के रूप में दिखे।

हर जाँच कुछ मिनट लेती है और कोड पढ़ना आना ज़रूरी नहीं। अगर कोई जाँच फ़ेल हो, तो AI से कहें "इस कमज़ोरी को ठीक करो और समझाओ कि सुधार क्यों काम करता है", और ठीक होने के बाद वही जाँच दोबारा करें।

6. वाइब बनाम एजेंटिक इंजीनियरिंग

Karpathy का 2026 का नाम बदलने का प्रस्ताव समझने योग्य है — यह उस परिचालन निर्णय को तीक्ष्ण करता है जो आपको लेना है।

आप एक ही टूल (Claude Code, Cursor) का उपयोग कर सकते हैं और अपने रुख के आधार पर उन्हें वाइब कोडिंग या एजेंटिक इंजीनियरिंग में बदल सकते हैं। महत्वपूर्ण बात यह है कि सचेत रूप से जानें "मैं अभी किस मोड में हूँ?" और जानबूझकर स्विच करें।

7. "Vibe & Verify" — व्यावहारिक उपयोग के नियम

2026 में मानकीकृत हो रही सर्वोत्तम प्रथा है "Vibe & Verify": AI को लिखने देने की हल्केपन को बनाए रखें, लेकिन हमेशा बैक एंड पर सत्यापन डालें।

(1) दाँव के अनुसार मोड स्विच करें

• कम दाँव (व्यक्तिगत टूल, लर्निंग, स्क्रिप्ट): पूरा वाइब ठीक है।
• मध्यम दाँव (आंतरिक टूल, MVP, डिस्पोज़ेबल प्रोटोटाइप): वाइब + एक स्मोक टेस्ट + एक त्वरित सुरक्षा स्कैन।
• उच्च दाँव (प्रोडक्शन, ग्राहक डेटा, कुछ भी सार्वजनिक रूप से सामना करने वाला): एजेंटिक इंजीनियरिंग मोड अनिवार्य है। भले ही आपने वाइब मोड में लिखा हो, मानव समीक्षा + स्वचालित सुरक्षा स्कैन + अतिरिक्त परीक्षण के बिना पुश न करें।

(2) AI-जनरेटेड कोड के साथ हमेशा करने वाली तीन चीज़ें

1. डिफ़ देखें: डिस्पोज़ेबल कोड के लिए हर पंक्ति छोड़ देना ठीक है। साझा कोड के लिए, कम से कम डिफ़ पर नज़र डालें।
2. सुरक्षा लिंटर चलाएँ: semgrep, bandit, truffleHog आदि। सीक्रेट्स, SSRF, और XSS के लिए यांत्रिक जाँच गैर-परक्राम्य हैं।
3. AI से परीक्षण लिखवाएँ: हमेशा उसी AI से "अब इसके लिए परीक्षण लिखो" जोड़ें। बिना परीक्षण के कोड वाइब कोडिंग भी नहीं माना जाता।

(3) कोड पढ़ने का कौशल न खोएँ

वाइब कोडिंग के बहुत आदी हो जाएँ और जिस पल AI ग़लत हो — या जिस पल आपको किसी और के कोड को संभालना पड़े — आप पाएँगे कि आप इसे पढ़ नहीं सकते। Karpathy ने स्वयं बार-बार ज़ोर दिया है कि AI-जनरेटेड कोड को विस्तार स्तर पर समझने की क्षमता मायने रखती है। वाइब करते समय भी, कभी-कभार रुककर वास्तव में कोड पढ़ने की आदत बनाएँ; लंबे समय में, यहीं असली कौशल अंतर बनता है।

(4) अपने सीक्रेट्स को वाइब न करें

API कुंजियाँ, डेटाबेस पासवर्ड, प्रोडक्शन एक्सेस टोकन — उन्हें कभी AI को न सौंपें या उन्हें कोड में लिखने न दें। .env + .gitignore + पर्यावरण चर का अनुशासन गैर-परक्राम्य है, वाइब हो या न हो। Escape.tech द्वारा पाए गए वे 400 एक्सपोज़र ठीक वही मामले थे जहाँ यह बुनियादी स्वच्छता टूट गई।

8. किसे, किस पर, और कितनी दूर तक वाइब कोडिंग करनी चाहिए

सारांश

• वाइब कोडिंग "कोड पढ़े बिना AI को सौंप दो" शैली है जिसे Karpathy ने फरवरी 2025 में प्रस्तावित किया।
• Karpathy ने स्वयं बाद में 2026 में इसे "एजेंटिक इंजीनियरिंग" नाम देने का प्रस्ताव दिया है — प्रोडक्शन कार्य को डिज़ाइन, बाधाओं और मानवीय निर्णय की ज़रूरत है।
• प्रमुख टूल: Claude Code, Cursor Composer, Codex CLI, Lovable, v0, Bolt.new, Devin।
• सुरक्षा की हक़ीक़त: जिन कामों में सुरक्षित तरीक़ा संभव था, उनमें से 45% में LLM ने असुरक्षित चुना (Veracode), जाँचे गए सभी 5 एजेंटों ने SSRF डाला (Tenzai), और AI से बने कोड से जुड़े CVE जनवरी से मार्च 2026 के बीच लगभग 6 गुना हो गए।
• Vibe & Verify: दाँव के अनुसार मोड स्विच करें, डिफ़ देखें, सुरक्षा स्कैन चलाएँ, AI से परीक्षण लिखवाएँ, अपने सीक्रेट्स कभी वाइब न करें।
• "कोड पढ़ने की क्षमता" न छोड़ें — जितना अधिक आप वाइब करते हैं, उतना ही कभी-कभार रुककर समझना कि क्या हो रहा है, दीर्घकालिक कौशल विभेदक बन जाता है।

vibe coding से जल्दी कुछ बना लेने के बाद, production के लिए spec तय करने की बारी आती है। आगे spec-driven development (SDD) भी पढ़ें ताकि «खोज के लिए vibe, शिपिंग के लिए spec» का फ़र्क़ समझ आए।

विशेष सुरक्षा स्कैन के लिए हमारा Codex Security के सेटअप, कीमत और नतीजे समझने का गाइड देखें।

FAQ

Q1. अगर Karpathy ने इसका नाम बदल दिया है, तो क्या "वाइब कोडिंग" पहले से ही मृत शब्द है?

यह अभी भी बाज़ार में व्यापक रूप से उपयोग किया जाता है, क्योंकि "आकस्मिक रूप से AI पर छोड़ दो" स्वाद को पकड़ने वाला कोई दूसरा वाक्यांश नहीं है। व्यावहारिक क़दम है उन्हें पूरक मानना: "आकस्मिक अन्वेषण मोड = वाइब कोडिंग," "प्रोडक्शन मोड = एजेंटिक इंजीनियरिंग।"

Q2. क्या एक शुरुआती के लिए वाइब कोडिंग से शुरू करना ठीक है?

हाँ — लेकिन कोड भी पढ़ें। अगर आप केवल वाइब करते हैं, तो जब AI ग़लत हो तो आपके पास वापस गिरने के लिए कोई निर्णय नहीं होगा। एक यथार्थवादी पथ है शुरू में प्रेरणा के रूप में "मेरे पास काम करने वाला कोड है" की खुशी का उपयोग करना, फिर धीरे-धीरे वास्तव में कोड समझने में बिताए समय का अनुपात बढ़ाना।

Q3. मैं काम पर अपने बॉस को वाइब कोडिंग कैसे बेचूँ?

तीन चीज़ें लाएँ: (1) Vibe & Verify परिचालन नियम, (2) CI में एकीकृत सुरक्षा स्कैनिंग, और (3) कोड समीक्षाएँ पहले की तरह सख़्त रहें। एक बार जब आप स्पष्ट रूप से कह सकें "हम सुरक्षा कम किए बिना गति बढ़ा रहे हैं," तो अधिकांश संगठन स्वीकृति देंगे।

Q4. वाइब कोडिंग पुरानी "AI-सहायता प्राप्त कोडिंग" (Copilot आदि) से कैसे अलग है?

अंतर है ड्राइवर की सीट पर कौन है। Copilot एक "पेयर प्रोग्रामिंग" मॉडल है — मनुष्य कोड लिखता है जबकि AI उसे पूरा करता है। वाइब कोडिंग AI को प्राथमिक बनाती है, मनुष्य केवल बातचीत और पुष्टि करता है। सीमा धुंधली है, और व्यवहार में कई डेवलपर्स दोनों के बीच आगे-पीछे जाते हैं।

Q5. मुझे किस टूल से शुरू करना चाहिए?

इंडी डेव या लर्निंग के लिए, Lovable, Bolt.new, या v0 आज़माएँ (केवल ब्राउज़र, इंस्टॉल करने के लिए कुछ नहीं)। गंभीर सॉफ़्टवेयर विकास के लिए, Claude Code या Cursor आज़माएँ — Claude Code एक CLI है, Cursor IDE-एकीकृत है, स्वाद के अनुसार चुनें। Karpathy की पसंद Cursor Composer है।

Q6. AI द्वारा लिखे गए कोड पर कॉपीराइट के बारे में क्या?

मई 2026 तक, अमेरिका और जापान दोनों में आधार रेखा यह है कि केवल AI द्वारा जनरेट किया गया कोड कॉपीराइट द्वारा संरक्षित नहीं है। ऐसा कोड जिसे एक मनुष्य ने पर्याप्त रूप से संशोधित या क्यूरेट किया हो, संरक्षणीय बन सकता है। बड़ा वाणिज्यिक-उपयोग जोखिम है लाइसेंस संदूषण — AI द्वारा GPL या अन्य लाइसेंस प्राप्त कोड को आपके कोडबेस में फिर से उत्सर्जित करना — इसलिए अपने CI में एक लाइसेंस चेकर जोड़ें।

Q7. क्या वाइब कोडिंग "इंजीनियरों की नौकरियाँ ले लेगी"?

"केवल कोड लिखने वाले इंजीनियरों" का बाज़ार दर नीचे जा रहा है। दूसरी ओर, स्पेक डिज़ाइन, आर्किटेक्चर निर्णय, सुरक्षा और प्रोडक्शन ऑपरेशन का मूल्य, यदि कुछ है, तो वाइब कोडिंग के प्रसार के कारण बढ़ गया है। 2026 तक, AI द्वारा उत्पन्न कोड की बड़ी मात्रा को "पढ़ने, निर्णय लेने और ठीक करने" वाले लोग कम आपूर्ति में हैं।

संबंधित लेख: गेम डेवलपमेंट के लिए AI टूल्स.