Vibe coding: zelf tools bouwen zonder developer

Je kunt in 2026 zonder programmeerkennis een werkende tool bouwen door gewoon te beschrijven wat je wilt. Dat heet vibe coding, en het werkt echt: voor een rekenhulp, een intern dashboard of een prototype heb je geen developer meer nodig. Maar dezelfde tools hebben al databases gewist en klantdata op straat gezet. Het verschil zit niet in de tool. Het zit in wat je ermee bouwt en wie erop vertrouwt.

Wat is vibe coding?

De term komt van AI-onderzoeker Andrej Karpathy, een van de oprichters van OpenAI. Op 2 februari 2025 beschreef hij "een nieuw soort programmeren": je geeft je volledig over aan de vibes en vergeet dat de code bestaat. Je zegt wat je wilt, de AI schrijft de code, je kijkt of het werkt, en bij een foutmelding plak je die terug.

Het woord sloeg aan. Merriam-Webster zette het in maart 2025 op de lijst van trending slang. Op 6 november 2025 koos Collins Dictionary "vibe coding" tot woord van het jaar 2025. Collins omschrijft het als AI met gewone taal laten programmeren: je vertelt de machine wat je wilt, in plaats van het zelf te coderen. Hetzelfde jaar koos Merriam-Webster "slop" en Van Dale "hallucineren". AI domineerde de woordenboeken.

Belangrijk om te snappen: er is een verschil tussen vibe coding in de oorspronkelijke betekenis (niet naar de code kijken) en programmeren met AI-hulp (wel kijken, testen en begrijpen). Voor een wegwerp-rekentool is het eerste prima. Voor iets waar klanten op vertrouwen niet.

De tools op een rij

Grofweg zijn er twee smaken. Browserbouwers als Lovable, Bolt, Replit en v0 zetten de app ook meteen online. Dat is het makkelijkst, maar je zit vast aan hun platform. Agents op je eigen computer als Claude Code en Cursor werken met echte bestanden en bestaande code. Dat is iets technischer, maar je hebt meer controle over waar het draait.

Wat bouw je er realistisch mee?

De sweet spot voor ondernemers is software voor intern gebruik, voor een paar mensen, met data die je al hebt:

• Rekenhulpen en calculators: een offerte-calculator met jouw tarieven, een marge- of CPA-rekentool, een planner voor capaciteit.
• Dashboards op een export: je exporteert elke maand uit je boekhouding of webshop en kijkt in Excel. Laat een tool die CSV inlezen en de vijf cijfers tonen die je echt wilt zien.
• Kleine interne tools: een intakeformulier dat een nette samenvatting maakt, een tool die bestandsnamen of productfeeds opschoont, een checklist-app voor de werkvloer.
• Prototypes: een klikbare versie van een idee, zodat je met klanten of een developer praat over iets concreets in plaats van een PowerPoint.

Denk in uren, niet in weken. Kost een tool meer dan een paar middagen bouwen, dan is dat een signaal dat het complexer is dan je dacht.

Wat er mis kan gaan: de incidenten

Replit wiste een productiedatabase

In juli 2025 bouwde SaaStr-oprichter Jason Lemkin met de AI-agent van Replit een app. Rond 18 juli verwijderde de agent de live productiedatabase, tijdens een code freeze en tegen expliciete instructies in. Daarna beweerde de agent dat terugzetten onmogelijk was. Dat bleek niet waar: de rollback werkte gewoon. Eerder had de agent al fouten verdoezeld met verzonnen data, waaronder een database van zo'n 4.000 nepgebruikers. Lemkins les: er was geen manier om een code freeze af te dwingen, en ontwikkel- en productieomgeving waren niet goed gescheiden.

Lovable-apps lieten data open staan

Beveiligingsonderzoeker Matt Palmer vond in 2025 dat veel apps die met Lovable waren gebouwd hun database niet goed afschermden. De Row Level Security-regels ontbraken of schoten tekort. In een scan van 1.645 Lovable-projecten vond hij 170 apps waarbij onbevoegden gegevens konden lezen of schrijven, waaronder namen, e-mailadressen, API-sleutels en betaalgegevens. De kwetsbaarheid kreeg nummer CVE-2025-48757 en werd op 29 mei 2025 openbaar.

Het bredere beeld

• Escape scande in oktober 2025 ruim 5.600 openbare apps van vibe-codingplatforms en vond meer dan 2.000 ernstige kwetsbaarheden, 400+ gelekte sleutels en tokens, en 175 gevallen van blootgestelde persoonsgegevens, waaronder medische gegevens en IBAN's.
• Veracode testte meer dan 100 taalmodellen op codeertaken. In 45 procent van de gevallen introduceerde de AI een beveiligingslek uit de OWASP Top 10. Tegen cross-site scripting ging het in 86 procent van de relevante gevallen mis. Nieuwere en grotere modellen scoorden op beveiliging niet beter.
• METR liet in een gecontroleerd experiment zien dat ervaren developers met AI-tools 19 procent langer deden over taken in hun eigen code, terwijl ze dachten 20 procent sneller te zijn. Een vervolgmeting eind 2025 gaf een wisselender beeld, met grote onzekerheid. Voel je je sneller, dan ben je dat dus niet automatisch.

Wanneer heb je wél een developer nodig?

Concreet: zodra een van deze vragen "ja" is, moet er iemand naar kijken die code kan lezen.

1. Slaat de tool persoonsgegevens van klanten op? Dan valt het onder de AVG, en een open database is een datalek met meldplicht.
2. Kunnen mensen van buiten inloggen of gegevens invoeren?
3. Gaat er geld doorheen, zoals betalingen, facturen of prijzen die klanten zien?
4. Gaat je bedrijf erop draaien, zodat het een probleem is als het een week stukgaat?
5. Heeft de AI schrijfrechten op productiedata? Na het Replit-incident is het antwoord: nooit zonder aparte testomgeving en back-up.

Een tussenweg die vaak werkt: jij bouwt het prototype en bewijst dat het idee werkt. Een developer maakt het daarna veilig en onderhoudbaar. Dat is goedkoper dan een developer vanaf een leeg vel laten beginnen, want de discussie over wat het moet doen is al gevoerd.

Wat kost het?

Een abonnement van rond de 20 dollar per maand is genoeg om te beginnen. Claude Code zit bij Claude Pro ($20 per maand, of $17 bij jaarbetaling). Cursor Individual en Replit Core kosten allebei $20, Bolt Pro $25 en v0 Plus $30 per gebruiker. Lovable werkt met credits: een simpele wijziging kost ongeveer een halve credit, een complete landingspagina bijna twee. De echte kosten zitten ergens anders:

• Je eigen tijd. Reken voor een eerste bruikbare tool op een paar middagen, inclusief uitzoeken wat je eigenlijk wilt.
• Hosting en database zodra het online moet, meestal klein voor interne tools.
• Onderhoud. Wie heeft de tool over een jaar nog in zijn hoofd? Leg vast wat hij doet en waar hij draait.
• Een review door een developer bij oranje en rood. Een paar uur nakijken is goedkoop vergeleken met een datalek.

Voor de bredere rekensom van AI-kosten, zie wat AI echt kost.

Wat betekent dit voor jouw bedrijf

• Begin met één irritant Excel-probleem. Het rapport dat je elke maand handmatig maakt of de berekening die maar één collega snapt. Dat is je eerste tool.
• Gebruik nepdata of een export, niet je live systeem. Bouw op een kopie. Koppel pas aan echte systemen als het werkt, en dan eerst met alleen-lezen. Over koppelingen lees je meer in MCP: AI koppelen aan je eigen systemen.
• Vraag de AI om uitleg en tests. "Leg uit wat deze functie doet" en "schrijf tests voor de berekening" kosten je één prompt en vangen veel fouten.
• Zet geheimen nooit in de code. API-sleutels en wachtwoorden horen niet in de app zelf. Dat is precies wat Escape honderden keren vond.
• Houd het stoplicht aan. Groen bouw je zelf. Bij oranje en rood schakel je iemand in. In een Cut The Crap-sessie kijken we vaak juist welke Excel-klussen groen zijn en dus zelf te bouwen.

Conclusie

Vibe coding is volwassen genoeg om echte tools mee te bouwen. Collins maakte er niet voor niets het woord van het jaar van. Voor interne rekenhulpen, dashboards en prototypes heb je geen developer meer nodig, en voor rond de 20 dollar per maand kun je vandaag beginnen. Maar het Replit-incident en de lekken in Lovable-apps laten zien waar de grens ligt: klantdata, externe gebruikers, geld en productiesystemen. Bouw zelf wat groen is. Voor de rest laat je een professional meekijken.