Vibe coding: wat het is, hoe het werkt en hoe betrouwbaar het is.

Wat is vibe coding precies?

Vibe coding is de manier van software ontwikkelen waarbij je een AI-tool een opdracht geeft in natuurlijke taal en die tool zelf de code schrijft. Geen syntax die je vooraf moet kennen, geen frameworks uit je hoofd, geen regel-voor-regel typen. Je beschrijft wat de software moet doen en de AI bouwt het. De term komt van Andrej Karpathy, mede-oprichter van OpenAI. Al in januari 2023 vatte Karpathy de richting samen in één zin: 'the hottest new programming language is English'. Twee jaar later, in februari 2025, gaf hij het een naam met een korte post op X: vibe coding." Wat begon als een tweet, werd binnen een jaar een werkmethode die founders, productmanagers en ook ervaren ontwikkelteams actief gebruiken om ideeën snel tastbaar te maken.

Hoe werkt vibe coding in de praktijk?

De workflow is verrassend kort. Je opent een tool als Cursor, Lovable, v0, Replit, Bolt, Windsurf, Claude Code, Gemini Code Assist of GitHub Copilot. Je typt iets in de trant van: "bouw een webapp waarin gebruikers hun maandelijkse uitgaven kunnen bijhouden, met inlog en een dashboard". Binnen seconden begint de tool code te genereren. Even later staat er een werkende preview. Wat dan volgt is een gesprek. Je vraagt om aanpassingen: "maak de header donker", "voeg een filter toe op categorie", "zorg dat het ook werkt op mobiel". De AI past de code aan, de preview ververst, en zo bouw je iteratief verder. De rol van de gebruiker verschuift hierdoor. Je bent geen programmeur meer in de klassieke zin. Je bent eerder de regisseur van een AI die het feitelijke werk doet. Voor mensen zonder ontwikkel achtergrond opent dat een wereld die voorheen gesloten was. Voor ervaren ontwikkelaars is het een acceleratie: wat eerst dagen kostte, staat in een paar uur.

Vibe coding, AI-assisted development, agentic engineering en low-code.

In gesprekken over AI in softwareontwikkeling belanden vier manieren van werken regelmatig op één hoop. Ze gebruiken allemaal in meer of mindere mate AI of automatisering, maar het verschil bepaalt of het resultaat geschikt is voor een prototype of voor productiesoftware. Even uit elkaar getrokken.

1. Vibe coding is intuïtief en snel. De AI doet het meeste werk, een mens kijkt beperkt mee, en het resultaat staat er in uren. Geschikt voor prototypes, experimenten en validatie van een idee. Wat eruit komt is bedoeld om iets aan te tonen, niet om jaren mee te gaan.

2. AI-assisted development is wat veel ontwikkelaars dagelijks doen. De engineer zit aan het stuur en gebruikt AI als hulpmiddel: suggesties krijgen, refactoring versnellen, testcode genereren, documentatie aanvullen. De mens blijft auteur en reviewer. AI maakt het werk sneller, maar de discipline van het vak verandert niet.

3. Agentic engineering gaat een stap verder. AI-agents nemen zelfstandig meerstapse engineering-taken op zich binnen heldere kaders: ze schrijven code, draaien tests, beoordelen de architectuurprincipes, voeren security-controles uit en leveren een review-klare wijziging op. De mens stuurt op doelen en bewaakt die kaders. Tests, architectuur, security en review zijn vaste structuur, niet optioneel.

4. Low-code en no-code zijn iets anders. Bubble, Webflow, OutSystems: visuele platforms waarbij je apps samenstelt uit kant-en-klare blokken. Geen AI-paradigma, maar een abstractie-paradigma. Je werkt sneller dan met code, maar binnen de grenzen die het platform vooraf heeft bepaald.

Deze vier sluiten elkaar niet uit. In de praktijk zie je een levenscyclus: een idee wordt vibe-coded om te kijken of het werkt, vervolgens nemen ontwikkelteams het over met AI-assisted of agentic werkwijzen om er productiesoftware van te maken. Welke manier past, hangt af van wat je op dat moment nodig hebt.

Hoe betrouwbaar is vibe coding?

Voor prototypes en experimenten: zeer betrouwbaar. Binnen uren staat er iets werkends. Voor productiesoftware: niet zonder vervolg-engineering. Dat verschil is groter dan veel mensen vermoeden, en hier loopt het meestal mis. Het probleem is dat een vibe-coded demo er compleet uitziet. De UI staat scherp. De deploy slaagt. Op je laptop werkt het. En dan komen echte gebruikers. Op dat moment breken er dingen die nooit zichtbaar waren in de tool.

De onzichtbare lagen onder een vibe-coded demo.

Wat eruitziet als een afgerond product, is in werkelijkheid frontend en backend bovenop lagen die niet zijn gebouwd. Deze lagen komen niet voor in een Lovable-preview en niet in een Cursor-screencast. Toch is het precies wat een werkende demo onderscheidt van software waar mensen voor betalen.

Authenticatie, autorisatie en Row Level Security.

Inlog werkt vaak in de demo. Maar Row Level Security, het mechanisme dat ervoor zorgt dat gebruiker A nooit de data van gebruiker B kan zien, staat zelden aan. Permissies zijn hardcoded in plaats van rolgebaseerd. Eén goed gevormde URL en de data van je opdrachtgevers ligt op straat.

Hosting, deployment en CI/CD.

Er is geen staging-omgeving. Geen versiebeheer met review-flow. Geen rollback als er iets misgaat. Code gaat van prompt naar productie zonder dat er een tweede paar ogen overheen is gegaan. Bij elke wijziging knijp je je ogen dicht.

Security, rate limiting en secret management.

API's zonder rate limiting laten zich overbelasten of leegtrekken door één actor die blijft hameren, of de dure endpoints eruit pikt. API-keys en wachtwoorden staan vaak gewoon in de code, klaar om uit te lekken via een Git-commit of een browserinspectie.

Database hardening en performance.

Geen indexen, geen query-optimalisatie. De eerste echte query op honderd records werkt soepel. Bij honderdduizend bevriest de database. Een backup-strategie ontbreekt meestal helemaal, dus als er iets misgaat is de data weg.

Monitoring, logging en disaster recovery.

Errors stapelen zich stil op zonder dat iemand het merkt. Geen tracking, geen alerting, geen incident response. De gebruiker ziet een witte pagina, het ontwikkelteam ziet niets. Als de server uitvalt is er geen herstelplan, omdat dat plan er nooit is geweest.

Wat dat betekent voor B2B en gereguleerde sectoren.

Bij organisaties in gereguleerde sectoren komen er bovenop de technische lagen ook compliance-thema's binnen die in geen enkele prompt zijn benoemd. Persoonsgegevens worden verwerkt zonder verwerkingsregister, rechtsgrondslag of DPIA. Audit trails voor ISO 27001, NIS2 of NEN 7510 ontbreken. Toegangsbeheer is niet aantoonbaar. Code provenance (dus wie wat wanneer en waarom heeft geschreven) is verdwenen in de prompt-historie van één persoon. Voor organisaties waarvoor compliance geen bijzaak is, betekent het dat een vibe-coded app niet zomaar de productie in gaat.

Waar vibe coding wél schitterend werkt.

Met al die kanttekeningen klinkt vibe coding misschien als speelgoed. Dat is het niet. Voor de juiste toepassingen verandert het hoe ideeën binnen organisaties ontstaan en gevalideerd worden. Prototypes en proof-of-concepts zijn de duidelijkste winst. Een idee dat eerder een week kostte om uit te tekenen, kun je nu binnen een middag werkend laten zien. Interne tools, kleine wegwerp-experimenten, demo's voor stakeholders: allemaal terrein waarop vibe coding gewoon werkt. Een validatie van een idee vóór er serieus geld in wordt geïnvesteerd hoeft niet langer een powerpoint te zijn, als je in een paar uur een klikbare versie kunt bouwen. In onze praktijk zien we dat dit een gezonde fase is in de levenscyclus van software-ideeën. Een vibe-coded prototype dat intern is gevalideerd en draagvlak heeft gekregen, bewijst dat een richting werkt voordat er groter in geïnvesteerd wordt. Het maakt de gesprekken over de volgende stap concreet, omdat er iets tastbaars op tafel ligt.

Van vibe-coded prototype naar productiesoftware.

De stap van werkend prototype naar productie-rijpe software is geen iteratie. Het is een herontwerp dat begint met een nuchtere vraag: wat van het prototype is herbruikbaar, wat moet weg, en welke aannames in de oorspronkelijke prompts zijn problematisch geworden? Die vraag stellen vraagt om een ander soort werk dan het prototype zelf bouwen. Dat betekent niet dat alles weg moet. Een datamodel of een UI-opzet is vaak bruikbaar. Het betekent dat je niet voortbouwt op aannames die nooit voor productie bedoeld waren.

Wat de overstap technisch vereist.

De onzichtbare lagen worden niet "later toegevoegd". Ze worden bedacht, ontworpen en gebouwd. De bestaande code wordt erop aangepast of opnieuw geschreven. Dat is geen koffiedik kijken, het volgt uit hoe productiesoftware werkt: authenticatie hoort in de architectuur, niet bovenop een bestaande structuur geplakt. Monitoring moet onderdeel zijn van de deployment-pipeline, niet een dashboard dat achteraf wordt aangezet. Compliance vereist dat audit trails vanaf de eerste commit kloppen, niet dat ze later worden gereconstrueerd.

Voor opdrachtgevers in gereguleerde sectoren komt daar nog iets bij: de keuzes die in het prototype zijn gemaakt moeten worden getoetst aan de eisen die voor hun sector gelden. Wat als acceptabel werd beschouwd in een Lovable-preview, is dat zelden in een NEN 7510- of ISO 27001-context. De code review en architectuur-audit waarmee zo'n traject begint, is daarmee net zo goed een gesprek over wat de organisatie eromheen nodig heeft als over wat de code zelf doet.

Wat agentic engineering daarin betekent.

Karpathy zelf noemt vibe coding inmiddels bijna achterhaald en beschrijft agentic engineering als de volgende fase. De bedenker van de term is er dus al voorbij. Agentic engineering werkt anders dan vibe coding en anders dan klassieke AI-assisted development. Een AI-agent krijgt geen losse code-suggestie meer, maar een meerstapse taak binnen vooraf vastgelegde kaders: implementeer een functie conform de bestaande architectuur, schrijf de bijbehorende tests, controleer of de security-regels worden gerespecteerd, en lever een merge request aan. De agent voert die stappen zelfstandig uit en signaleert wat eventueel niet past. Het cruciale verschil zit in de kaders. Tests zijn verplicht, niet optioneel. De architectuur is vooraf vastgelegd en geldt als toetssteen voor elke wijziging. Security-checks horen bij elke stap. En de menselijke review is geen formaliteit, maar het moment waarop een ervaren engineer beoordeelt of het werk klopt, past in het geheel en bestand is tegen wat over twee jaar gevraagd wordt.

Bij Cube zien we dat dit werkt zolang de kaders disciplinair worden gehandhaafd. AI versnelt het werk, maar de discipline van het vak bepaalt of het werk klopt. Een agent die buiten zijn kaders gaat, levert iets op dat eruitziet als progressie maar in werkelijkheid technische schuld is. Een agent binnen scherpe kaders levert getest, traceerbaar werk dat past in een architectuur die meeschaalt.

Wat dat oplevert voor productiesoftware.

Het verschil met een vibe-coded prototype dat naar productie wordt getild is op een paar punten concreet: Software die schaalt zonder dat er in jaar twee een complete herbouw nodig is, omdat schaalbaarheid van begin af aan in de architectuur zit. Codebases die onderhoudbaar blijven voor wisselende teams, omdat de structuur consistent is en niet afhangt van één persoon die de prompt-historie nog kan reconstrueren. Een ontwikkelproces dat aantoonbaar is voor audits, omdat tests, reviews en wijzigingen traceerbaar zijn. Een doorlooptijd die meekomt met wat AI mogelijk maakt, zonder dat er aan kwaliteit, security of compliance wordt ingeleverd.

Daar zit ook iets minder grijpbaars in: het meedenken op proces en techniek. Welke functie verdient prioriteit, welke koppeling kun je beter uitstellen, welke architecturale keuze geeft je over twee jaar de meeste vrijheid. Dat soort vragen wordt zelden door een agent beantwoord. Het is precies waar engineering-vakmanschap blijft tellen, ook (en juist) in een tijd waarin AI veel van het uitvoerende werk overneemt.

Vibe coding in het juiste perspectief.

Vibe coding is geen trend die overwaait en ook geen vervanging van professionele softwareontwikkeling. Het is een nieuwe laag in hoe software ontstaat. Een idee dat eerder weken in een ontwerpfase bleef hangen, kan binnen een dag werkend op tafel liggen. Dat is winst, ongeacht wat erna volgt. Tegelijk verandert die snelheid niet wat productiesoftware nodig heeft. Authenticatie, monitoring, compliance, schaalbaarheid, onderhoudbaarheid: die lagen zijn er omdat zonder die lagen software stukgaat op het moment dat het ertoe doet. Ze verdwijnen niet door ze niet te bouwen, ze verschijnen alsnog in de vorm van datalekken, downtime of audit-bevindingen.

De twee werelden volgen elkaar op.

Vibe coding bewijst snel dat een idee werkt. Een ontwikkelteam dat AI-assisted en agentic werkt zorgt vervolgens dat het werkende idee productie-rijp wordt. AI als versterker, vakmanschap als basis. Voor organisaties die nu met een werkend prototype rondlopen is dat misschien wel het belangrijkste signaal: de demo is niet het eindpunt, het is het startpunt van een gesprek over wat dit kan worden als echte gebruikers, echte data en echte verantwoordelijkheid eronder komen te liggen.