Vibe coding là gì? Vibe coding là cách làm phần mềm bằng cách mô tả yêu cầu bằng ngôn ngữ tự nhiên để AI viết code, người dùng chạy thử, góp ý và lặp lại mà gần như không đọc code. Từ điển Collins chọn “vibe coding” là Từ của năm 2025. Cách này giúp người không biết lập trình làm được công cụ nhỏ, nhưng code do AI viết thường có lỗ hổng bảo mật nếu không được kiểm tra.
Bài viết giải thích vibe coding, so sánh các công cụ phổ biến kèm giá, hướng dẫn từng bước làm công cụ đầu tiên, các rủi ro đã được ghi nhận và danh sách kiểm tra bảo mật trước khi đưa vào dùng thật. Thông tin cập nhật tháng 10/2026.
Vibe coding là gì?
Thuật ngữ do Andrej Karpathy, cựu giám đốc AI của Tesla và thành viên sáng lập OpenAI, đặt ra trong bài đăng ngày 2/2/2025: “Có một kiểu lập trình mới mà tôi gọi là vibe coding, khi bạn hoàn toàn thả mình theo cảm hứng… và quên rằng code tồn tại” (CO/AI).
- Collins Dictionary chọn “vibe coding” là Từ của năm 2025, định nghĩa là việc dùng trí tuệ nhân tạo, được điều khiển bằng ngôn ngữ tự nhiên, để hỗ trợ viết code máy tính (CNN qua KVIA).
- Merriam-Webster định nghĩa vibe coding là hành động dùng hệ thống AI để tạo code bằng một ngôn ngữ lập trình (Merriam-Webster).
Điểm cốt lõi của vibe coding là vai trò của con người thay đổi: thay vì gõ từng dòng lệnh, người dùng đóng vai “người đặt hàng” và “người nghiệm thu”. Bạn mô tả muốn gì, AI viết code và chạy thử, bạn xem kết quả rồi yêu cầu sửa. Vòng lặp này diễn ra hàng chục lần cho tới khi sản phẩm đạt ý.
Cần phân biệt hai cách dùng AI để viết code. Lập trình viên chuyên nghiệp dùng AI như trợ lý nhưng vẫn đọc, hiểu và chịu trách nhiệm từng dòng code. Vibe coding theo đúng nghĩa của Karpathy là chấp nhận không đọc code, chỉ đánh giá qua kết quả chạy. Cách thứ hai nhanh hơn nhiều với việc nhỏ, nhưng cũng là nguồn gốc của hầu hết rủi ro được nêu ở phần sau.
Mức độ phổ biến và hiệu quả thực tế
Vibe coding lan rất nhanh trong giới khởi nghiệp. Theo Y Combinator, khoảng 25% startup trong khóa W25 có mã nguồn 95% do AI tạo ra, không tính phần code mẫu (TechCrunch).
Tuy vậy, với lập trình viên chuyên nghiệp, bức tranh thận trọng hơn. Khảo sát Stack Overflow Developer Survey 2025 với hơn 49.000 người tại 177 quốc gia, công bố ngày 29/7/2025, cho thấy (Stack Overflow):
- 84% đang dùng hoặc dự định dùng công cụ AI, tăng từ 76% năm 2024.
- 46% không tin vào độ chính xác của kết quả AI, tăng mạnh từ 31% năm trước.
- Gần 77% cho biết vibe coding không nằm trong công việc phát triển phần mềm chuyên nghiệp của họ.
- 45% thấy việc gỡ lỗi code do AI tạo tốn thời gian.
Về năng suất, nghiên cứu có đối chứng của tổ chức METR năm 2025 với 16 lập trình viên mã nguồn mở giàu kinh nghiệm và 246 tác vụ thật cho thấy: khi được dùng AI, họ mất thời gian lâu hơn 19%, dù trước đó dự đoán sẽ nhanh hơn 24% và sau đó vẫn tin rằng mình đã nhanh hơn 20% (METR). Bản cập nhật tháng 2/2026 của METR với 57 lập trình viên và hơn 800 tác vụ cho thấy công cụ cuối năm 2025 có xu hướng giúp tăng tốc, nhưng chính nhóm nghiên cứu nhấn mạnh dữ liệu chỉ là “bằng chứng rất yếu” về mức tăng cụ thể (METR).
Bài học cho chủ doanh nghiệp: cảm giác “AI làm nhanh hơn” chưa chắc đã đúng với mọi việc. Vibe coding phát huy rõ nhất ở công cụ nhỏ, làm mới từ đầu, còn với hệ thống lớn đang chạy thì lợi ích khó đo hơn nhiều.
Vibe coding khác no-code thế nào?
| Tiêu chí | No-code | Vibe coding |
|---|---|---|
| Cách làm | Kéo thả trong nền tảng | Mô tả bằng lời, AI viết code |
| Kết quả | Ứng dụng chạy trên nền tảng | Mã nguồn thật, tự triển khai được |
| Giới hạn | Tính năng của nền tảng | Gần như không giới hạn, nhưng khó kiểm soát chất lượng |
| Rủi ro | Phụ thuộc nhà cung cấp | Lỗi, lỗ hổng bảo mật trong code |
| Người phù hợp | Người muốn quy trình ổn định, ít sửa | Người cần tính năng riêng, chấp nhận thử sai |
Xem thêm no-code là gì. Nếu nhu cầu đã có phần mềm đóng gói sẵn đáp ứng tốt, thuê bao một dịch vụ SaaS thường rẻ và an toàn hơn tự làm.
Công cụ vibe coding phổ biến
Các công cụ chia thành ba nhóm:
- Tạo ứng dụng web từ mô tả: Lovable, Bolt.new, v0 của Vercel. Gõ yêu cầu trong trình duyệt, xem bản chạy thử ngay, phù hợp người không biết code.
- Môi trường lập trình có AI agent: Replit. Vừa viết code, vừa có cơ sở dữ liệu và chỗ chạy ứng dụng trong cùng một nơi.
- Trình soạn code và công cụ cho lập trình viên: Cursor, Claude Code. Mạnh hơn nhưng đòi hỏi biết cài đặt, đọc lỗi và quản lý mã nguồn.
Bảng dưới tổng hợp giá theo trang chính thức của từng hãng, tính đến tháng 10/2026 (giá bằng USD, chưa gồm thuế, thanh toán theo tháng):
| Công cụ | Phù hợp với | Gói miễn phí | Gói trả phí thấp nhất |
|---|---|---|---|
| Lovable | Người không biết code làm web, app có đăng nhập | Có, 5 credit/ngày, tối đa 30/tháng | Pro từ 25 USD/tháng |
| Bolt.new | Làm nhanh bản thử web, trang đích | Có, 1 triệu token/tháng, có logo Bolt | Pro 25 USD/tháng |
| v0 | Giao diện web, triển khai lên Vercel | Có, giới hạn 7 tin nhắn/ngày | Plus 30 USD/người/tháng |
| Replit | App có cơ sở dữ liệu, chạy luôn trên nền tảng | Có, gói Starter giới hạn (Replit Docs) | Core 20 USD/tháng |
| Cursor | Người biết code hoặc đang học | Có, giới hạn lượt dùng agent | Nhiều gói theo tháng, xem trang giá |
| Claude Code | Người biết dùng dòng lệnh, dự án lớn hơn | Không | Pro 20 USD/tháng |
Hầu hết công cụ tính theo lượt hoặc credit: mỗi lần yêu cầu AI sửa đều tốn credit, nên dự án hay sửa đi sửa lại có thể tốn hơn giá gói. Lovable ví dụ một yêu cầu đổi màu nút tốn khoảng 0,5 credit, còn yêu cầu dựng một trang đích có hình ảnh tốn khoảng 1,7 credit (Lovable). Hãy dùng thử bản miễn phí và kiểm tra lại trang giá trước khi trả phí, vì giá thay đổi thường xuyên.
Hướng dẫn làm công cụ đầu tiên bằng vibe coding
Các bước dưới áp dụng cho nhóm công cụ tạo app từ mô tả như Lovable, Bolt.new hay Replit.
Bước 1: Chọn một việc nhỏ, rõ ràng
Chọn việc nội bộ đang làm thủ công bằng Excel hoặc giấy, có ít người dùng và không chứa dữ liệu nhạy cảm. Ví dụ: form đăng ký nghỉ phép, bảng theo dõi đơn hàng mẫu, máy tính báo giá. Viết ra giấy ai dùng, nhập gì, xem gì.
Bước 2: Viết prompt có cấu trúc
Prompt tốt mô tả rõ mục đích, người dùng, dữ liệu, màn hình và giới hạn. Mẫu tham khảo:
Tạo ứng dụng web nội bộ "Đăng ký nghỉ phép" cho công ty 20 nhân viên. Người dùng: - Nhân viên: đăng nhập bằng email, gửi đơn nghỉ phép, xem trạng thái đơn của mình. - Quản lý: xem tất cả đơn, duyệt hoặc từ chối kèm ghi chú. Dữ liệu mỗi đơn: họ tên, phòng ban, ngày bắt đầu, ngày kết thúc, loại nghỉ (phép năm, ốm, việc riêng), lý do, trạng thái. Yêu cầu: - Giao diện tiếng Việt, dùng tốt trên điện thoại. - Nhân viên chỉ thấy đơn của chính mình. - Không cho chọn ngày kết thúc trước ngày bắt đầu. - Chưa cần gửi email, chưa cần thanh toán. Hãy làm phiên bản đơn giản nhất trước, sau đó liệt kê những gì còn thiếu.Nguyên tắc: mỗi lần chỉ yêu cầu một thay đổi, nói rõ điều KHÔNG muốn AI làm, và dùng tiếng Việt hoặc tiếng Anh nhất quán.
Bước 3: Chạy thử và sửa theo vòng lặp
Mở bản xem trước, tự đóng vai từng loại người dùng. Khi gặp lỗi, chụp màn hình hoặc dán nguyên thông báo lỗi cho AI, kèm mô tả “tôi làm gì, mong đợi gì, thực tế ra gì”. Tránh yêu cầu chung chung như “sửa cho đẹp hơn”.
Bước 4: Kiểm tra phân quyền
Tạo hai tài khoản thử, đăng nhập bằng tài khoản nhân viên A rồi thử xem đơn của nhân viên B. Nếu xem được, ứng dụng đang có lỗ hổng. Hãy yêu cầu AI giải thích nó đã bảo vệ dữ liệu như thế nào và kiểm tra lại.
Bước 5: Lưu phiên bản và triển khai
Bật đồng bộ GitHub hoặc tính năng lưu phiên bản để quay lại khi AI sửa hỏng. Khi đưa vào dùng, chia sẻ cho một nhóm nhỏ trước, dùng song song với cách cũ một hai tuần rồi mới bỏ hẳn quy trình thủ công.
Vibe coding có an toàn không?
Có rủi ro đáng kể, và các rủi ro này đã xảy ra trên thực tế:
- Lỗ hổng trong code: báo cáo của Veracode năm 2025 thử hơn 100 mô hình AI với 80 tác vụ lập trình, cho thấy 45% mẫu code do AI tạo có lỗ hổng bảo mật; tỷ lệ thất bại khi phòng chống tấn công XSS lên tới 86% (Veracode).
- Ứng dụng công khai rò rỉ dữ liệu: công ty bảo mật Escape quét hơn 5.600 ứng dụng công khai làm bằng các nền tảng vibe coding như Lovable, Base44, Create.xyz, Bolt.new, phát hiện hơn 2.000 lỗ hổng, hơn 400 khóa bí mật bị lộ và 175 trường hợp lộ dữ liệu cá nhân như hồ sơ y tế, số tài khoản ngân hàng, số điện thoại (Escape).
- AI agent làm sai trên dữ liệu thật: tháng 7/2025, agent của Replit đã xóa cơ sở dữ liệu thật của người dùng dù đang trong giai đoạn “đóng băng code”; CEO Replit gọi đây là điều “không thể chấp nhận” và bổ sung tách riêng cơ sở dữ liệu thử nghiệm và thật (eWeek).
- Cấu hình bảo mật sai: lỗ hổng CVE-2025-48757 cho phép người lạ đọc và ghi dữ liệu của một số trang làm bằng Lovable do thiếu chính sách phân quyền dữ liệu; Lovable cho rằng khách hàng chịu trách nhiệm bảo mật dữ liệu của mình (SentinelOne).
Lỗi cấu hình phân quyền là điểm yếu phổ biến nhất vì nhiều công cụ dùng Supabase làm cơ sở dữ liệu. Tài liệu chính thức của Supabase cảnh báo bảng dữ liệu không bật Row Level Security (RLS) có thể bị đọc và ghi bởi bất kỳ vai trò nào được cấp quyền, và yêu cầu bật RLS cho mọi bảng được truy cập từ bên ngoài (Supabase).
Về pháp lý, nếu ứng dụng lưu thông tin khách hàng hoặc nhân viên, doanh nghiệp vẫn là bên chịu trách nhiệm theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ 1/1/2026. Việc “app do AI làm” không miễn trách nhiệm khi để lộ dữ liệu. Tương tự, cẩn thận khi dán dữ liệu khách hàng vào khung chat AI, xem thêm dùng ChatGPT có bị lộ dữ liệu không.
Làm web bằng AI được không?
Được, với điều kiện chọn đúng việc. Bảng dưới giúp phân loại công cụ nội bộ nào doanh nghiệp nhỏ có thể tự vibe code và việc nào nên thuê lập trình viên:
| Loại công cụ | Tự vibe code | Cần lập trình viên |
|---|---|---|
| Trang giới thiệu, trang đích chiến dịch | Được | Không bắt buộc |
| Máy tính báo giá, tính hoa hồng nội bộ | Được | Không bắt buộc |
| Form khảo sát, đăng ký sự kiện | Được, nếu không thu dữ liệu nhạy cảm | Khi thu CCCD, sức khỏe, tài chính |
| Bảng theo dõi việc, nghỉ phép cho nhóm nhỏ | Được, có kiểm tra phân quyền | Khi trên 50 người dùng hoặc nối với hệ thống lương |
| Bản thử ý tưởng sản phẩm để gọi vốn | Được | Khi chuyển sang bản thật cho khách |
| Cổng khách hàng có đăng nhập, lưu dữ liệu cá nhân | Không nên | Có |
| Thanh toán, ví, tích hợp ngân hàng | Không nên | Có |
| Kết nối phần mềm kế toán, CRM qua API để ghi dữ liệu | Chỉ bản thử | Có, trước khi chạy thật |
Doanh nghiệp chưa có website có thể bắt đầu bằng một trang giới thiệu tạo bằng AI, xem thêm doanh nghiệp nhỏ có cần website không.
Danh sách kiểm tra bảo mật trước khi dùng thật
Trước khi đưa ứng dụng vibe coding cho nhân viên hoặc khách hàng dùng, rà theo danh sách sau:
- Không đưa dữ liệu thật, mật khẩu, API key vào giai đoạn thử nghiệm.
- Tách môi trường thử nghiệm và môi trường thật, có bản sao lưu và đã thử khôi phục.
- Bật phân quyền dữ liệu (ví dụ RLS trên Supabase) cho mọi bảng và thử truy cập chéo giữa hai tài khoản.
- Bật xác thực người dùng; trang quản trị không được mở công khai.
- Kiểm tra mã nguồn phía trình duyệt không chứa khóa bí mật; Supabase nhấn mạnh không bao giờ dùng khóa secret trong trình duyệt (Supabase).
- Chỉ thu thập dữ liệu thật sự cần, có thông báo mục đích sử dụng cho người dùng.
- Giới hạn quyền của AI agent: không cho agent thao tác trực tiếp trên cơ sở dữ liệu thật.
- Bật lưu phiên bản hoặc đồng bộ GitHub để quay lại khi có lỗi.
- Dùng chức năng quét bảo mật có sẵn của nền tảng nếu có, rồi hỏi AI liệt kê điểm yếu của chính ứng dụng.
- Nhờ người có chuyên môn rà soát trước khi đưa cho khách hàng dùng.
FAQ: Câu hỏi thường gặp về vibe coding
Vibe coding là gì?
Vibe coding là cách làm phần mềm bằng cách mô tả yêu cầu bằng ngôn ngữ tự nhiên để AI viết code, rồi chạy thử và góp ý lặp lại mà gần như không đọc code. Thuật ngữ do Andrej Karpathy đặt ra ngày 2/2/2025 và được Collins chọn là Từ của năm 2025. Khác với lập trình viên dùng AI làm trợ lý, người vibe coding đánh giá sản phẩm qua kết quả chạy chứ không qua code.
Công cụ vibe coding phổ biến là gì?
Các công cụ phổ biến gồm Lovable, Bolt.new, v0 để tạo ứng dụng web từ mô tả; Replit có AI agent và cơ sở dữ liệu tích hợp; Cursor và Claude Code cho người biết code. Tính đến tháng 10/2026, phần lớn có gói miễn phí giới hạn, gói trả phí thấp nhất từ khoảng 20 đến 30 USD/tháng, riêng Claude Code chỉ có trong gói trả phí.
Vibe coding có an toàn không?
Không hoàn toàn. Veracode ghi nhận 45% mẫu code do AI tạo có lỗ hổng bảo mật, còn Escape tìm thấy hơn 2.000 lỗ hổng trong hơn 5.600 ứng dụng vibe coding công khai. Cần tách dữ liệu thật, sao lưu, bật phân quyền, không để lộ khóa bí mật và rà soát trước khi dùng thật.
Làm web bằng AI được không?
Được với trang giới thiệu, trang đích, máy tính báo giá và công cụ nội bộ đơn giản. Ứng dụng lưu dữ liệu cá nhân của khách hàng, nhận thanh toán hoặc ghi dữ liệu vào hệ thống kế toán cần người có chuyên môn kiểm tra, vì doanh nghiệp vẫn chịu trách nhiệm theo luật bảo vệ dữ liệu cá nhân.
Vibe coding có thay thế lập trình viên không?
Chưa. Vibe coding giúp làm nhanh bản thử và công cụ nhỏ, nhưng sản phẩm cần bảo mật, ổn định vẫn cần lập trình viên thiết kế và kiểm tra. Nghiên cứu của METR năm 2025 thậm chí ghi nhận lập trình viên giàu kinh nghiệm làm chậm hơn 19% khi dùng AI trên dự án quen thuộc, cho thấy kinh nghiệm con người vẫn quyết định chất lượng.
Không biết tiếng Anh có vibe coding được không?
Được ở mức cơ bản. Các công cụ như Lovable, Bolt.new hay Replit hiểu yêu cầu bằng tiếng Việt và có thể tạo giao diện tiếng Việt. Tuy nhiên thông báo lỗi, tài liệu hướng dẫn và giao diện quản trị chủ yếu bằng tiếng Anh, nên bạn sẽ cần dịch hoặc nhờ chính AI giải thích khi gặp lỗi.
Chi phí vibe coding một công cụ nhỏ khoảng bao nhiêu?
Với công cụ nội bộ đơn giản, nhiều người có thể làm xong bản đầu tiên trong gói miễn phí. Khi cần dùng nhiều hơn, gói trả phí phổ biến khoảng 20 đến 30 USD/tháng theo trang giá chính thức tháng 10/2026. Chi phí thực tế còn phụ thuộc số lần yêu cầu sửa, tên miền riêng và chi phí lưu trữ nếu chạy lâu dài.
Kết luận
Tóm lại: vibe coding giúp người không biết code tự làm app bằng AI với chi phí thấp, nhưng chỉ an toàn khi chọn đúng việc và kiểm soát rủi ro dữ liệu.
- Dùng cho bản thử, trang đích, công cụ nội bộ ít người dùng và không chứa dữ liệu nhạy cảm.
- Code do AI viết thường có lỗ hổng, đặc biệt ở phân quyền dữ liệu, cần kiểm tra trước khi dùng thật.
- Tách dữ liệu thật, sao lưu, bật phân quyền và thuê lập trình viên cho ứng dụng có dữ liệu khách hàng hoặc thanh toán.
