Vibe-coded bir uygulamanın birinci günü, şimdiye kadar yaptığınız en iyi demodur. İstem çalışmış, ekranlar temiz, veritabanında veriler var ve ekran kaydıyla bir tweet paylaştınız. Biz de bu günü defalarca yaşadık. Bunu elinizden almak için burada değiliz.
Biz ikinci gün hakkında konuşmak için buradayız, çünkü hiç kimsenin lansman zinciri buna değinmiyor. İkinci gün, gerçek bir kullanıcının giriş yaptığı, test etmeyi düşünmediğiniz bir şeyi yaptığı ve uygulamanızın “oluşturulmuş olan” ile “mühendisliği yapılmış olan” arasındaki uçurumla karşılaştığı gündür.
İkinci gün aslında nasıl görünür
Çoğu zaman bir çökme ile başlamaz. Tuhaf bir şeyle başlar: geçersiz verileri kabul eden bir form, yalnızca belirli bir kullanıcıda bozulan bir sayfa, kimsenin yeniden oluşturamadığı yanlış bir rakam. Hatayı sohbete yapıştırırsınız. Yapay zeka güvenle düzeltir. Düzeltme, başka bir şeyi bozar.
İstemle “köstebek vurma” oyununa hoş geldiniz. Yapay zeka kök nedenler yerine semptomları düzelttiği için, her yama bir öncekinin üzerine biner ve kod tabanı yavaşça geliştiricilerin “Frankenstein kodu” dediği şeye dönüşür: çelişen stillerin, yinelenen fonksiyonların ve veritabanı sorgularının arayüz kodlarının içinde yaşadığı karmaşık bir mantık yığını. Proje, yapay zekanın bağlam penceresini (context window) aştıkça, model kendi önceki kararlarını unutmaya başlar ve onlarla çelişen kodlar önerir. Artık bir uygulamayı yönetmiyorsunuz; bir uygulama ile müzakere ediyorsunuz.
Daha da acımasız bir varyant vardır: sessiz yayım hatası. Hosting derlemeniz küçük bir hata nedeniyle başarısız olur, canlı URL eski versiyonu göstermeye devam eder ve siz -hiçbir değişiklik görmeyerek- yapay zekaya düzeltmenin “işe yaramadığını” söylersiniz. Böylece yapay zeka, zaten çözülmüş bir problem için tamamen farklı ve daha karmaşık bir çözüm üretir. Birkaç tur sonra, birinci versiyonu gayet iyi olan kodun şişmiş beşinci versiyonuna sahip olursunuz.
Göremediğiniz kısım
Hata ayıklama döngüsü en azından görünürdür. Güvenlik sorunları görünmez ve iş amaçlı kurulumlarda bu konuda sert olmamızın nedeni de budur.
Buradaki araştırmalar gerçekten rahatsız edici. LLM tarafından oluşturulan kodlar yaklaşık %90 oranında başarıyla derleniyor, ancak yaklaşık %45’i OWASP Top 10 açıklarını (atlatılabilir giriş kontrolleri, enjeksiyon kusurları) içeriyor. Yapay zeka araçları demonun çalışmasına odaklanır, bu da öngörülebilir kestirme yollara yol açar: herhangi bir kullanıcının sayfayı düzenleyerek atlatabileceği tarayıcı tabanlı erişim kontrolleri, kurulum sırasında hiçbir hata çıkmaması için tamamen açık bırakılan veritabanı izinleri ve geliştirici ortam değişkeninin (environment variable) ne olduğunu bilmediği için dosyalara sabitlenen API anahtarları. Bu dosyalar daha sonra herkese açık GitHub depolarına yüklenir ve kimlik bilgisi tarayıcıları tarafından düzenli olarak bulunur.
Bunu özellikle bir “ikinci gün problemi” yapan şey şudur: istismar edilebilir bir uygulama mükemmel çalışır. “A müşterisi teknik olarak B müşterisinin kayıtlarını okuyabilir” şeklinde bir hata mesajı yoktur. Şanslıysanız bunu bir kullanıcıdan öğrenirsiniz, şanssızsanız çok daha kötü yollarla. Ve standart tavsiye (“sadece test edin!”) gerçeklerle çarpışır: teknik olmayan geliştiriciler “mutlu yolu” (happy path) test ederken, hata uç durumlarda yaşanır - eşzamanlılık hataları veya demonun ihtiyaç duymadığı için yapay zekanın asla oluşturmadığı şifre sıfırlama akışları gibi.
Kimsenin kalem almadığı bakım borcu
Bu mekanikleri aylar boyunca üst üste eklediğinizde, teknik borcun “tefeci kredisi” gibi bir durumla karşılaşırsınız: şimdi anında yazılım, sonra biriken faiz. Yapay zekanın aldığı her kestirme yol, gelecekte bir düzeltme gerektirir. Her düzeltme, birkaç kredi daha harcanması ve kodun biraz daha şişmesi demektir. Platform güncellemeleri yayınlanır ve dokunmadığınız şeyleri bozar; istemden uygulamaya (prompt-to-app) platformlarda uzun süre çalışan geliştiriciler, yalnızca platformun kendisinden kaynaklanan hataları gidermek için müşterilerinden aylık bakım ücreti aldıklarını belirtiyorlar.
İşin merkezindeki acı şaka şudur: vibe coding yazılımı demokratikleştirmeyi vaat etti ancak üretim uygulamaları için çoğunlukla teknik borcu demokratikleştirdi. Teknik olmayan geliştirici, yapay zekayı kullanarak kaçınmaya çalıştığı şeyle baş başa kalır - geliştirici muhakemesi gerektiren bir kod tabanı - ancak artık bu kod tabanı işletmesinin ana taşıyıcısıdır ve geliştirici onu okuyamaz.
Dürüst yol ayrımı
Peki aslında ne yapmalısınız? Birçok kurulum ve birkaç yara izinden sonra, bunun iki dürüst yolun olduğu bir yol ayrımına geldiğine inanıyoruz ve dürüst olmayan orta yol, tek yanlış cevaptır.
Birinci yol: kodu yönetmeyi öğrenmek. Eğer bunu derinlemesine keşfedecek kadar seviyorsanız, vibe coding bir tuzak değil, meşru bir hızlandırıcıya dönüşür. Ajanın ne yazdığını okuyun. Bir uygulamayı yayına almadan önce RLS’nin (Row Level Security) ne anlama geldiğini öğrenin. Sadece istem odaklı araçlardan, kodun arayüz olduğu ve gerçek bir muhakeme yeteneği geliştirebileceğiniz Cursor veya Replit gibi araçlara geçiş yapın. Bu yol gerçekten harikadır; sadece yürünmesi aylar süren bir yoldur. Okunmamış kodları müşterilere gönderirken bu yoldaymış gibi davranmak ise asıl tuzaktır.
İkinci yol: riskli kısımları oluşturulmamış bir temele oturtmak. Uygulamanızın bir iş aracı (müşteri portalı, takip çizelgesi, dahili CRM) olduğu konusunda dürüst olun ve bunun %80’inin yapay zekanın en kötü oluşturduğu kısımlar (kimlik doğrulama, izinler, şifre sıfırlama, veri erişimi) olduğunu fark edin. Bu kategoriyi, altyapının görsel olarak yapılandırdığınız test edilmiş bir sistem olduğu ve AI Co-Builder’ın size yine de birinci gün hızını sunduğu Softr gibi bir no-code platformu üzerinde inşa edin. Özel bir dokunuş istediğinizde, vibe-coding bloğu oluşturulan kodu tek bir bileşenle sınırlar; böylece yapay zeka, çatıyı yıkmadan evi dekore edebilir. Bu yolda ikinci gün, bir arkeolojik kazı değil, basit bir düzenlemedir; işte bu yüzden müşteri portalları sıralamasında zirvede yer alıyor.
Eğlenceli şeyleri vibe coding ile yapmaya devam edin - prototipler, oyuncaklar ve hafta sonu deneyleri, bu araçların gerçekten parlak olduğu alanlardır. Sadece gerçek kullanıcılar gelmeden önce, yol ayrımının hangi tarafında duracağınıza karar verin. İkinci gün nazikçe sormaz.