Vibe Codingのリスク: 一人とAIがスタートアップ丸ごと出荷するとき何が壊れるか

AIはプロダクトを出荷することを無料にした。そして同じくらい無料で、負債も出荷できるようになった。

2026年、Lovable、Bolt、v0、Cursor、またはReplitを使うソロ創業者なら、土曜の午後には動くプロダクトをプロダクションに持てる。そのスピードは本物だ。問題は、それらのツールが静かにスキップするすべてのものも本物であり、スキップされた部分こそが動くデモと本物のビジネスを分けるものだということだ。

この論文では、vibe-codedスタートアップの表面下で実際に何が壊れるかをマッピングする。誰かが見つけるまで開いたままのセキュリティホール、ページごとに矛盾するブランディング、作った本人にしか意味をなさないUX、そしてその下にある中身の薄い構造的基盤。そして、すでに出荷したものを強化する方法も説明する。

誰も監査していないゴールドラッシュ

数千の創業者が2025年と2026年にAIが構築したプロダクトを出荷した。そのほとんどは今この瞬間もプロダクション稼働中で、有料顧客、アクティブユーザー、実際の収益を持つものもある。そのほぼすべてが監査されていない。

これは創業者の失敗ではない。ツールの構造的な副作用だ。LovableやBoltが数時間で動くプロダクトを生成すると、心理的な現実として「完成した」と感じてしまう。UIは洗練されていて、フローは機能し、デモは印象的で、外から見るとすべてが堅固に見える。

問題は、「堅固に見える」と「堅固である」が、中を見た瞬間に大きく乖離することだ。生成されたコードにはデフォルトでセキュリティパッチが焼き込まれていない。ブランドの決定は、接続されていないセッションをまたいで孤立して行われる。フォームやオンボーディングのフローは、特定のユーザーがどう考えるかではなく、パターンライブラリから生成される。

一人で全役職

Vibe codingが機能するのは、かつてチームを必要としていた領域を一人でカバーできるようになったからだ。ソロ創業者はプロダクトをデザインし、構築し、コピーを書き、支払いを設定し、誰も雇わずにプロダクションにプッシュできる。これは、一人の人間が達成できることの、本物の非自明な構造的変化だ。

落とし穴は、一つの頭がかぶっていても全役職が存在し続けることだ。開発者がスキップしたからといって、セキュリティ監査が不要になるわけではない。創業者が深夜にロゴを生成したからといって、ブランドの一貫性が自然に保たれるわけではない。作った人間が自分と同じように考えると仮定したからといって、UXリサーチがデフォルトで行われるわけではない。

Lovable、Bolt、v0、Cursor、Replitといったツールは実行のバリアを取り除いた。判断の必要性は取り除いていない。そして判断こそ、開発者であり、デザイナーであり、ライターであり、創業者でもある時に、スピードのプレッシャー下で劣化するものだ。

デザイナーがこれをどう乗り越えているかはデザイナーが実際にvibe codingをどう使うかを参照。

Vibe codingが実際に出荷するもの

典型的なLovableやBoltのビルドは、動作するUI、本物のデータ永続化、Stripeの支払いフロー、認証、そしてチームが手動で構築すれば2スプリントかかるルート構造を出荷する。その部分は本物で、敬意に値する。監査する価値があるのは、それに付随してくるものだ。

生成されたコードは予測可能なギャップのセットを一緒に出荷する傾向がある:

• 間違った場所にあるシークレット、しばしばクライアント側に
• ブラウザで実行されているが本来はサーバー側にあるべきロジック
• 公開エンドポイントにレート制限なし
• 体系的なエラー処理なし

これらはAIツールのバグではない。スピードだけが目標で、プッシュ前にアーキテクチャを誰もレビューしない場合の自然な出力だ。

ブランディングは通常、3つか4つの接続されていないセッションにわたって組み立てられる。ロゴのために一つ、ランディングページのために一つ、アプリダッシュボードのために一つ、メールのために一つ。各セッションは孤立して見て合理的なものを生成した。合わせると、互いに矛盾する。

コピーはスペースを埋めるだけで、意図を埋めない。オンボーディングフォームは、AIが提案した質問を聞くのであって、ユーザーが実際にコンバートするかどうかを示す質問ではない。

見えないセキュリティホール

vibe-codedプロダクトのセキュリティサーフェスは見かけより広い。これが典型的なAI生成ビルドが残すギャップだ。

• 間違ったレイヤーにあるAPIキーとシークレット。 生成されたフロントエンドは、「動作する」への最速経路がコードの実行される場所にキーを置くことであることが多いため、クライアント側でシークレットを扱う頻度が高い。DevToolsを開けば誰でもすぐに見つかる。
• 公開エンドポイントにレート制限なし。 レート制限のないサインアップルートや問い合わせフォームは、悪用への開かれたベクターだ。生成されたバックエンドは、AIが敵対的なトラフィックを予測する理由がないため、これをデフォルトで追加しない。
• 保護されていない内部ルート。 生成されたアプリはメインダッシュボードを保護しても、管理者ルート、APIエンドポイント、データエクスポートを完全に開放したままにすることが多い。作成者が未認証ユーザーとしてプロダクトを歩き回ったことがないからだ。
• サーバー側バリデーションの欠如。 速く作っているときは、クライアント側バリデーションが完全に感じる。セキュリティ原則からではなくプロンプトからコードを生成するとき、サーバー側バリデーションは別のレイヤーとしてスキップされる。
• 依存関係の監査なし。 生成されたコードにバンドルされたnpmパッケージは、AIがトレーニング時に手を伸ばしたものだ。メンテナンスされていないものもあり、既知の脆弱性を持つものもあり、セキュリティ開示を読んだ人間によって選ばれたものは一つもない。

露出したAPIキー、レート制限のないエンドポイント、または保護されていない管理者ルートは、出荷した瞬間から負債だ。まだ発見されていないだけだ。

自己矛盾するブランディング

AIビルドツールはセッションをまたいでメモリを持たない。すべてのプロンプトは新鮮なコンテキストだ。つまり、ランディングページセッションのフォントペアリング、ダッシュボードセッションのカラー選択、オンボーディングセッションのボタンスタイルは、それぞれ互いの認識なしに独立して生成された。

その結果、マーケティングサイトがある会社のように見え、アプリが別の会社のように見え、トランザクションメールが第三の会社のように見えるプロダクトができあがる。各スクリーンは内部的に一貫している。スクリーンをまたぐと、何も一致しない。

これは表面的な問題ではない。ブランドの非一貫性は、プロダクトが粗削りであることを洗練された買い手に最も速く伝えるシグナルだ。投資家はそれに気づき、エンタープライズの買い手は特に気づく。

AIが構築したMVPと本物のプロダクトの差はしばしば機能ではない。それは、ビジュアル言語が静かに崩壊している12箇所だ。

修正はすべてを再設計することではない。ブランドを一貫させるシステムを確立して、一度で全体に適用するという規律ある一回のパスをすることだ。

作った本人にしか意味をなさないUX

知識の呪いは、プロダクトデザインにおいてよく記録された罠だ。何かの仕組みを理解すると、それを知らない状態に戻れず、初めてのユーザーが見るものを見る能力を失う。Vibe codingは、作成者が自分の仮定を誰かに説明することを通常強制するすべての摩擦ポイントを取り除くことでそれを増幅させる。

作成者がプロンプターでもあり唯一のテスターでもある場合、プロダクトを構築するために使われたメンタルモデルは、それをナビゲートするために使われたメンタルモデルと同一だ。作成者には明白に感じるフローは、次に何が来るかすでに知っている人のために設計された。新しいユーザーはまったく異なるコンテキスト、事前露出なし、混乱への忍耐なしで到着する。

生成されたオンボーディングフローは、作成者の視点からは完全で論理的だが、初めてプロダクトに触れる人には完全に不透明な傾向がある。すべてのステップは、すでに目的地を知っている人には意味をなす。

修正はAIではない。あなた以外の5人がプロダクトをあなたからの助けなしに使おうとするのを見ることだ。彼らが詰まる場所がUXの負債だ。

すべて生成、何も決定されていない

現代のAIツールはすべてを数分で生成できる。フォーム、アンケート、オンボーディングステップ、メールシーケンス、ランディングコピー、価格ティア。問題は、素早く生成することと戦略的に決定することは同じではないということだ。

生成された価格ページには3分かかる。決定されたものには3週間の思考が必要だ。その違いはデモには現れない。6ヶ月後のコンバージョン率に現れる。

すべてのvibe-codedプロダクトが答えていないコンテンツ戦略の問いは、プロダクト上のすべての言葉が何をしていて、誰のためにあるかということだ。

「動く」はまだビジネスではない

動くデモはビジネスではない。動くMVPもそうではない。「動く」と「持ちこたえる」の差こそ、2026年にvibe-codedスタートアップが失敗しているまさにその場所だ。

本物のビジネスは動くデモが持っていないものを持っている:

• すべてのタッチポイントで信頼を構築する一貫したブランディング
• ペネトレーションテストを生き延びるセキュリティアーキテクチャ
• 創業者以外の人によって検証されたオンボーディングフロー
• スロットを埋めるのではなく特定の読者を動かすコピー
• 最初のユースケースを超えてスケールするデータモデル
• モニタリング、エラーアラート、何かが壊れたときのプラン

GitHubとStripeは速く出荷して「信頼されるインフラ」を獲得したのではない。その信頼が正当化されるまで出荷したものを強化し続けることで獲得した。PlanetScaleのプロダクトがデータを真剣に扱う会社のように見えるのは、スタックのあらゆるレベルでそのように見えるよう構築されたからだ。それが本物のビジネスが超えるバーだ。

2026年の希少なリソースは出荷する能力ではない。AIが出荷をほぼ無料にした。希少なリソースは判断、セキュリティ、そして一貫したブランドだ。それらのどれもプロンプトから出てこない。

あなたは速く、本物のものを出荷した。Brainyはそれをプレッシャーテストし、セキュリティのギャップを閉じ、ブランドを修正し、持ちこたえるスタートアップに変える。私たちとの会話を始めよう。

すでに構築したものを強化する方法

何も再構築する必要はない。正しい順序でギャップを監査し、優先順位をつけ、閉じる必要がある。

順序が重要だ:

• まずセキュリティ。外部への即時的な影響を持つ唯一のリスク
• 次にブランド。新しい画面を出荷するたびに複利で効いてくるから
• 次にUX。大きなユーザーベースが悪い習慣を固定化する前に
• 次にコンテンツ。ダメージが最も遅く現れる
• 基盤は並行して。モニタリングが他の四つが見逃したものを明らかにするから

早期に効果を発揮する強化策がいくつかある:

• すべてのレスポンスにContent-Security-Policyヘッダーを追加
• すべての環境変数を監査し、どれもクライアントレイヤーに露出していないことを確認
• 本番のトラフィックが来る前に、公開エンドポイントすべてにレート制限を設定
• ログアウトしたユーザーとしてプロダクト全体を歩き、ロードされるすべてのルートをリストアップ
• すべてのサードパーティパッケージを最新の公開セキュリティ開示と照らし合わせてレビュー

Brainyアーカイブで本物のプロダクト構築についてもっと読む。

Brainyに持ってくる

強化作業は派手ではなく、一人でやっていると速くはない。特に新しい機能を出荷しながら同時にビジネスを運営しているときは。ほとんどの創業者はセキュリティのバックグラウンドを持っていない。ほとんどはブランドシステムのバックグラウンドを持っていない。ほとんどは適切なユーザビリティリサーチを実施する時間がなかった。

Brainyのチームはそれを監査し、本物にする。セキュリティサーフェスをプレッシャーテストし、ブランドシステムを確立し、ユーザーをチャーンさせているUXフローを修正し、何も獲得していないコピーを書き直す。Lovable、Bolt、v0、Cursor、Replitを含むすべての主要AIツールで構築されたプロダクトと作業してきた。どこでギャップが生まれやすいかを正確に知っている。

ブリーフはシンプルだ。構築したものを持ってくれば、実際に何が問題かを伝える。そして修正する。

デモするだけの価値ではなく、信頼するに値するプロダクトになる。

BrainyにスタートアップのHardeningを依頼する。

FAQ

Vibe codingとは何か?

Vibe codingは、AIツールにコード、デザイン、コンテンツを生成するようプロンプトすることでソフトウェアを構築すること。欲しいものを自然言語で説明し、すべての行をレビューせずに出力を受け入れる。この用語はAndrej Karpathyがワークフローを説明した後、2025年に広く広まった。ツールが本当に機能するため、急速に普及した。

Vibe codingは悪いアイデアか?

いいえ。以前はチームを必要としていたものを一人で出荷できるようにする、本物の生産性乗数だ。リスクはアプローチにあるのではなく、スピードが生み出すセキュリティ、ブランド、UX、構造的ギャップを監査せずに速いビルドを完成品として扱うことにある。

最大のVibe codingセキュリティリスクは何か?

クライアント側で露出したAPIキーとシークレットが最も一般的で即座に悪用可能な問題だ。AIツールは「動作する」を最適化し、それはしばしばコードが実行される場所にシークレットを置くことを意味する。ブラウザも含めて。DevToolsで見えるシークレットはすべてライブの負債だ。

ブランドの非一貫性は本当にビジネスの結果に影響するか?

買い手の利害関係が高くなるほど重要になる。コンシューマーアプリはB2Bプロダクトよりも粗いブランディングを長く生き延びられる。買い手が購入前に信頼を評価するほど、ブランドの非一貫性がそれを速く破壊する。企業に販売したり機密データを扱うものにとっては、矛盾したビジュアル言語は美的問題ではなく積極的な販売上の問題だ。

プロダクト全体を再構築せずにVibe codingのリスクを修正できるか?

できる。ほとんどの強化作業は再構築ではなく追加的または修正的なものだ。シークレットはUIに触れずにサーバーに移動し、デザイントークンシステムは一回のパスで既存の画面全体に適用され、UXフローはユーザビリティの発見から一つずつ改訂される。主な例外は深く欠陥のあるデータモデルで、これは時に構造的な変更を必要とする。

速く構築し、次に正しく構築する

Vibe codingは間違いではない。それが解き放ったスピードは本物で、一人の人間が構築できるものを変えた。間違いは、スピードが生み出したものを監査せずに最初のビルドを最終版として扱うことだ。

セキュリティホールは自ら告知しない。ブランドの負債は静かに複利で増える。UXの問題はフローを構築した人には問題なく見えて、それ以外の人には見えない壁だ。

生成されたコンテンツは何も獲得せずにスペースを埋める。これらは仮説的なリスクではない。スピードだけを完全に最適化し、健全性のために何も最適化しないプロセスの予測可能な出力だ。

前に進む創業者は、速く出荷してから意図的に強化した人たちだ。自分のビルドへの自信が低かったからではなく、「デモで動作する」と「プロダクションで、精査の下で、成長の下で持ちこたえる」が異なることを理解していたからだ。そしてそのどちらかだけがビジネスだ。

速く構築せよ。次に正しく構築せよ。