バイブコーディング入門：2026年に安全に始める方法

バイブコーディングとは簡単に言うと何ですか？

バイブコーディングとは、作りたいものを日常の言葉でAIツールに伝え、コードを書かせてアプリやウェブサイト、スクリプトを作ることです^[1]。結果を説明し、ツールが作ったものを試し、うまく動くまで修正を頼みます。

コリンズ英語辞典によると、この言葉はアンドレイ・カルパシー（Andrej Karpathy）氏が考案したもので、自然言語で指示した人工知能を使ってコンピューターのコードを書くことと定義されています^[1]。コリンズはこれを2025年の今年の言葉に選びました^[1]。ただしそれは昨年の話で、2026年11月3日には「mogging」が2026年の言葉に選ばれ、英国放送協会（BBC）はvibe codingが2025年の言葉だったと伝えています^[2]。

その後、この手法は急速に広がりました。2026年11月だけでも、Cursorはプロンプトから動くアプリを作って公開できる機能を追加し、WordPress.comを運営するAutomatticはバイブコーディングで作ったサイトやアプリを公開するためのSpacefastを始めました^[3][4]。

PouyamのガイドVibe Coding Explained: What It Is, How It Works and the Real Risks（バイブコーディング解説：仕組みと本当のリスク）では背景や議論を説明しています。このページは初心者向けの実践的な始め方をまとめたものです。

初心者に向いているバイブコーディングツールはどれですか？

最初のプロジェクトには、データベースやログイン、ホスティングを代わりに用意してくれるホスト型のアプリ作成ツールが最も簡単です^[3][4][5]。エージェント付きのコードエディターは自由度が高い一方、ファイルや端末、公開作業を自分で管理する必要があります。

• Lovableなどのホスト型ツール：ブラウザーで作りたいものを入力すると、動くウェブアプリができます。無料プランは1日5ビルドクレジット、月30クレジットまでです^[5]。
• Cursor Live Apps：クラウドのエージェントがアプリを作り、必要ならPostgresデータベースを用意し、ログイン機能を加え、選んだドメインで公開します。クラウドエージェント付きの有料プランで使えます^[3]。
• AutomatticのSpacefast：バイブコーディングで作ったアプリにデータベース、ログイン、ファイルアップロード、メール、分析機能を提供し、ChatGPT、Claude、Cursorなどのエージェントと連携します^[4]。
• Claude CodeやCodexなどのコーディングエージェント：自分のパソコン上のプロジェクトフォルダーで動き、コードの仕組みを学びたい人に向いています。

PouyamのガイドClaude vs ChatGPT for Coding: Which Is Better in Late 2026?（コーディングにはClaudeとChatGPTのどちらが良いか）では2大コーディングエージェントを比較しています。初心者にとっては、ツール選びよりも以下の習慣のほうが大切です。

バイブコーディングで作ったアプリは安全ですか？

初期状態では安全とは言えません。2026年の研究では、AIが書いたコードにセキュリティ上の欠陥が見つかり、ある監査が調べたバイブコーディングアプリの91%にも及びました^[6][7][8]。動くコードと安全なコードは別物です。

• 実際のアプリ：研究者はClaude CodeとLovableで作られたオープンソースのアプリ9,041件を集め、そのうち公開されている200件を監査しました。見つかった脆弱性は1,186件で、200件中182件（91.0%）に少なくとも1つありました^[7]。
• 深刻度：これらの欠陥の65.77%が「重大」または「高」と評価されました。多かったのはアクセス制御の不備、インジェクション、認証の失敗です^[7]。
• AIモデル全般：Veracodeの「GenAI Code Security Report 2026」では、課題の約44%で既知の脆弱性を含むコードが生成され、最も優れたモデルでもセキュリティ課題の合格率は68%でした^[6]。
• コーディングエージェント：LSCBenchというベンチマークでは、主要な6つのエージェントが73.6%から91.3%の課題で動くコードを書いた一方、動作と安全性を両立できたのは最大でも25.1%でした^[8]。

監査を行った研究者は、より良いプロンプトやツールで問題は減るものの、なくなりはしないと述べています^[7]。そのため初心者は、確認が済むまでバイブコーディング製アプリを信用しないことが大切です。

バイブコーディングを安全に始める手順は？

自分だけが使う小さなものから始め、非公開のまま、機能を1つずつ追加していきましょう^[5][7]。最初の1週間の簡単な計画は次のとおりです。

1. リスクの低い題材を選ぶ：習慣記録、レシピ一覧、個人用ダッシュボードなど。支払い、健康記録、他人の個人情報を扱うものは避けます。
2. 短い要件を書く：誰が使うのか、各画面で何をするのか、どんなデータを保存するのかを書きます。指示が明確なほど結果も良くなります。
3. 小さく作る：機能を1つ頼んで試し、次の機能に進みます。一度に大きな依頼をすると確認が難しくなります。
4. 動いた版を保存する：ツールの版履歴やGitを使えば、変更で何かが壊れても元に戻せます。
5. ツールに説明させる：変更のたびに、何をなぜ変えたのかを尋ねます。基礎が身につき、おかしな判断にも早く気づけます。
6. 最初は非公開にする：Lovableの無料プランは招待した人だけに公開でき、1プロジェクト10人までなので、最初の試作に向いています^[5]。

無料プランでは、1日5クレジットの付与は暦月で30クレジットに達すると止まり、翌月1日に再開します^[5]。この上限があるので、送信前に依頼内容をよく考えておきましょう。

バイブコーディングで作ったアプリを共有する前に何を確認すべきですか？

誰が何を見られるか、秘密情報がどこにあるか、おかしな入力をしたときにどうなるかを確認してください。バイブコーディング製アプリが最もつまずくのはこの部分です^[7][9]。2026年の監査で多かった3種類の問題は、ウェブアプリのリスク一覧であるOWASP Top 10の項目に当てはまります^[7][9]。

• アクセス制御：テスト用アカウントを2つ作り、一方がもう一方のデータを開いたり、編集・削除したりできないことを確かめます。ページのアドレスの数字を書き換えても同じです。アクセス制御の不備は監査対象アプリの64.00%に見られました^[7]。
• ログイン：非公開のページがすべてログインを求めるか、ログアウトで本当にセッションが終わるかを確認します^[7]。
• 入力：すべての入力欄に変わった文字、非常に長い文章、記号を入れてみます。インジェクションの欠陥は監査対象アプリの54.00%で見つかりました^[7]。
• 秘密情報：APIキーやパスワードはツールのシークレット設定に保存し、コードやチャットのプロンプトには絶対に書かないでください。Cursorの公開手順では、アプリのファイルに書かれた秘密情報や露出した認証情報がブロックされます^[3]。
• データベースのルール：ホスト型データベースを使う場合は、アクセスルールが有効になっていて、誰でも読める状態になっていないか確認します。
• 依存パッケージ：ツールに追加した外部パッケージを一覧にしてもらい、不要なものは削除します。

自動チェックは役に立ちますが、完全な審査ではありません。TechRepublicは、あるユーザーが別のユーザーの記録を見られるかどうかをCursorのチェックが調べるのか、同社は明らかにしていないと指摘しています。自分で確かめてください^[10]。

バイブコーディングを始める費用はいくらですか？

無料で始められます。Lovableの無料プランには1日5ビルドクレジット（月30クレジットまで）に加え、アプリのバックエンド用に月20のCloudクレジットが含まれます^[5]。

Lovable Proは月100クレジットで月25ドル、年払いなら250ドルで、さらに同じ1日5ビルドクレジットが月の上限なしで付きます^[5]。上位プランは最大で月2,250ドル、10,000クレジットです^[5]。CursorのLive Apps機能は、クラウドエージェントを含む有料プランで利用できます^[3]。

見えにくい費用にも注意しましょう。依頼のたびにクレジットを消費します。Lovableのプランには毎月のCloudとAIの付与枠が含まれるため、ホスト型アプリは一般クレジットを使わずにバックエンドとAI機能を利用できますが、その枠を超えた場合にどうなるかはプランのページに書かれていません^[5]。始める前にツールの使用状況ページを確認し、1週間後にもう一度確認してください。

下の表に、始め方の選択肢と主な安全データをまとめました。

バイブコーディングができればプログラミングを学ぶ必要はありませんか？

少なくとも基礎は学ぶべきです。コードが安全で正しいかを判断できる程度には理解しておく必要があるからです^[6][7][8]。2026年の研究はいずれも同じ傾向を示しており、ツールは安全なコードよりも「動くだけのコード」をはるかに多く書きます^[6][8]。

基礎知識はすぐに役立ちます。データベースのテーブル、ログインセッション、APIキーが何かを知っていれば、ツールの説明を理解し、危ない判断に気づき、より良い指示を出せます。作りながら教えてもらうようツールに頼み、提案された変更は受け入れる前に必ず読んでください。

ツールは改善を続けています。Cursorは一部の危険な公開を自動で止めるようになり、ホスティングサービスはバイブコーディング製アプリ向けにログインとファイルストレージを提供するようになりました^[3][4]。こうした安全策がカバーするのはよくある失敗であり、すべての欠陥ではありません。テスト中に作るアカウントについては、PouyamのガイドPassword Managers Explained: How They Work and Whether They Are Safe（パスワード管理アプリ解説）とTwo-Factor Authentication Explained: Which 2FA Method Is Safest?（2段階認証解説：どの2FAが最も安全か）が、ログインを守る方法を説明しています。