Vibe Coding Nedir? Yazılım Geliştirmenin Geleceği mi, Tehlikesi mi?

2 Şubat 2025'te Andrej Karpathy (OpenAI kurucu ortağı ve eski Tesla AI direktörü) bir tweet attı ve "vibe coding" dediği şeyi tanımladı: AI'a ne istediğinizi söylüyorsunuz, kodu o yazıyor, siz sonucu kabul ediyorsunuz. Üretilen kodu satır satır okumadan.

Terim kısa sürede ana akıma girdi. Collins Dictionary "vibe coding"i 2025 Yılın Kelimesi seçti. Cursor'ın geliştiricisi Kasım 2025'te 2,3 milyar dolarlık Series D, Lovable Aralık 2025'te 330 milyon dolarlık Series B yatırımı duyurdu.

Bir yıl sonra, 4 Şubat 2026'da, Karpathy bu kez "agentic engineering" terimini önerdi. Çünkü vibe coding'in sınırları o zamana kadar netleşmişti.

Kısa cevap: Vibe coding, yazılımı doğal dilde tarif edip kodu yapay zekaya yazdırdığınız ve çıktıyı satır satır incelemeden "çalışıyor mu?" diye test ederek ilerlediğiniz geliştirme tarzıdır. Terimi Andrej Karpathy Şubat 2025'te ortaya attı. En çok kullanılan araçlar:

• AI destekli editörler: Cursor, Windsurf, GitHub Copilot
• Tarayıcıda uygulama üreticiler: Bolt.new, Lovable, Replit Agent
• Arayüz üreticiler: v0

Prototip ve MVP için çok hızlıdır; ancak Veracode'un 2025 testinde AI'ın ürettiği kod örneklerinin %45'i güvenlik testinden geçemedi. Ödeme, kullanıcı verisi veya kimlik doğrulama içeren bir üründe kod gözden geçirme, test ve güvenlik taraması şarttır.

Bu yazıda vibe coding'in ne olduğunu, nasıl çalıştığını, hangi araçlarla yapıldığını, nerede işe yaradığını ve nerede ciddi risk taşıdığını kaynaklı verilerle ele alıyoruz.

Vibe Coding Tam Olarak Ne?

Vibe coding, doğal dilde (İngilizce, Türkçe, herhangi bir dil) yazılım tanımlayıp, AI'ın kodu oluşturmasına izin verdiğiniz bir geliştirme yaklaşımıdır. Klasik programlamadan temel farkı: kodu siz yazmıyorsunuz, sonucu kabul ediyorsunuz.

Geleneksel yazılım geliştirme şöyle işler:

Problem → Analiz → Mimari → Kod yazma → Test → Deploy

Vibe coding ise:

Prompt → AI kodu üretir → Çalışıyor mu? → Evet → Ship it
                                        → Hayır → Prompt'u değiştir

Karpathy'nin kendi sözleriyle: "Tamamen vibes'a teslim oluyorsunuz. Üstel olarak artan kod tabanını hatırlayamazsınız bile. Bazen AI düzeltir, bazen rastgele şeyler deneyerek düzeltirsiniz."

Kimler Kullanıyor?

AI kodlama araçları artık geliştiricilerin büyük çoğunluğunun günlük iş akışında. Stack Overflow'un 2025 geliştirici anketine göre kullanım artarken güven azalıyor:

Ankette en sık dile getirilen şikâyet (%66) "neredeyse doğru ama tam değil" çözümler. Vibe coding'in özü de tam olarak bu: çıktı ilk bakışta çalışıyor, eksikleri sonradan ortaya çıkıyor.

Vibe Coding Araçları: 2026 Haritası

Piyasa üç ana kategoriye ayrılıyor:

1. AI-Native IDE'ler (Profesyonel Geliştirme)

2. Browser Tabanlı App Builder'lar (Hızlı Prototipleme)

3. UI/Komponent Üreticiler

Fiyatlar Ekim 2026'da resmi fiyat sayfalarından alınan, aylık faturalamadaki liste fiyatlarıdır; yıllık ödemede çoğu araç indirim uyguluyor. Windsurf Mart 2026'da Pro planını 15 dolardan 20 dolara çıkardı.

Hangisini Seçmeli?

• Profesyonel proje: Cursor veya Windsurf — mevcut codebase üzerinde çalışabilir, Git entegrasyonu güçlü
• MVP/prototip: Bolt.new veya Lovable — fikri hızlıca doğrulamak için
• Öğrenme: Replit — her şey cloud'da, kurulum sıfır

Vibe Coding'in Gerçekten İşe Yaradığı Yerler

Her şeyi kötülemek yerine, dürüst olalım. Vibe coding şu senaryolarda gerçekten güçlüdür:

1. Prototipleme ve MVP

Bir iş fikriniz var ve hızlıca doğrulamak istiyorsunuz. Bolt.new ile 30 dakikada çalışan bir demo çıkarabilirsiniz. Yatırımcı toplantısı mı var? Lovable ile bir gece de tam bir MVP oluşturabilirsiniz.

2. Boilerplate ve CRUD

Standart form, tablo, API endpoint, CRUD operasyonları — bu tür tekrarlayan kodlar AI'ın en güçlü olduğu alan. Saatlerce süren işi dakikalara indirir.

3. Öğrenme ve Keşif

Yeni bir framework veya API öğreniyorsanız, AI'a "Next.js App Router ile basit bir todo uygulaması yap" demek, dokümantasyon okumaktan çok daha hızlı bir başlangıç sağlar.

4. Regex, SQL ve Dönüşümler

Karmaşık regex pattern'leri, SQL sorguları ve veri dönüşümleri — AI bu tür pattern-matching görevlerinde insanı aşar.

5. Test Üretimi

Mevcut bir fonksiyon için unit test yazmak, AI'ın en verimli olduğu alanlardan biri. Test coverage'ı hızla artırır.

Korkutucu Gerçekler: Güvenlik ve Kalite

Madalyonun diğer yüzü burada. Aşağıdaki rakamların her biri, yöntemi açıklanmış bir çalışmaya dayanıyor.

Güvenlik Açıkları

• Veracode 2025 GenAI Code Security Report: 100'den fazla dil modeline aynı kodlama görevleri verildi; üretilen kod örneklerinin %45'i güvenlik testlerinden geçemedi ve OWASP Top 10 kapsamında açık içerdi. Java'da başarısızlık oranı %72'ye çıktı. (Veracode)
• Tenzai, "Bad Vibes" (Ocak 2026): Cursor, Claude Code, Codex, Replit ve Devin ile aynı tariflerden 15 uygulama üretildi; toplam 69 güvenlik açığı bulundu ve 15 uygulamanın hiçbiri güvenlik header'larını ayarlamadı. (Tenzai)

Kod incelemelerinde en sık gördüğümüz eksikler de bu çalışmalarla örtüşüyor: güvenlik header'larının hiç ayarlanmaması, sunucu tarafında input doğrulamasının atlanması, API anahtarlarının istemci koduna gömülmesi ve yetkilendirmenin sadece arayüzde yapılması.

Slopsquatting: Yeni Bir Tehdit

AI modelleri bazen var olmayan paket isimleri uydurur. Saldırganlar bu isimlerle kötü amaçlı paketler yayınlıyor; buna "slopsquatting" deniyor. USENIX Security 2025'te yayımlanan çalışmada 16 modelden alınan 576 bin kod örneği incelendi: ticari modellerin önerdiği paketlerin en az %5,2'si, açık kaynak modellerinkinin %21,7'si gerçekte yoktu. (Spracklen vd., arXiv 2406.10279) Siz npm install dediğinizde, farkında olmadan saldırganın paketini yükleyebilirsiniz.

Kod Kalitesi ve Verimlilik

• CodeRabbit'in 470 pull request üzerindeki analizinde AI ile üretilen PR'larda ortalama 10,83, yalnızca insanların yazdığı PR'larda 6,45 bulgu çıktı (yaklaşık 1,7 kat). (CodeRabbit, Aralık 2025)
• METR'in randomize kontrollü deneyinde, iyi tanıdıkları açık kaynak projelerde çalışan 16 deneyimli geliştirici, AI araçlarıyla görevleri %19 daha uzun sürede tamamladı. (METR, Temmuz 2025)
• Stack Overflow 2025 anketinde geliştiricilerin %45'i AI kodunda hata ayıklamanın daha uzun sürdüğünü söylüyor.

Karpathy bile uyardı: 26 Ocak 2026'da 2026'yı GitHub'dan arXiv'e kadar tüm dijital mecralarda bir "slopacolypse" yılı olarak beklediğini yazdı: düşük kaliteli AI içeriğinin seli.

Vibe Coding vs Profesyonel Yazılım Geliştirme

İşte kritik ayrım:

Gerçek Dünya Örneği

Aynı e-ticaret sepet fonksiyonunu vibe coding ve profesyonel yaklaşımla karşılaştıralım:

Vibe coding çıktısı:

// "Sepete ürün ekleyen bir API yaz" prompt'unun tipik sonucu
app.post('/cart', (req, res) => {
  const { productId, quantity } = req.body;
  cart.push({ productId, quantity });
  res.json({ success: true, cart });
});

Sorunlar: Input validation yok, authentication yok, rate limiting yok, hata yönetimi yok, veritabanı yok (in-memory), race condition riski var.

Production-ready versiyon:

export async function POST(request: Request) {
  const session = await getServerSession();
  if (!session?.user) {
    return NextResponse.json({ error: 'Unauthorized' }, { status: 401 });
  }

  const body = await request.json();
  const parsed = cartItemSchema.safeParse(body);
  if (!parsed.success) {
    return NextResponse.json({ error: parsed.error }, { status: 400 });
  }

  const product = await db.product.findUnique({
    where: { id: parsed.data.productId, isActive: true },
  });
  if (!product || product.stock < parsed.data.quantity) {
    return NextResponse.json({ error: 'Out of stock' }, { status: 409 });
  }

  const cartItem = await db.cartItem.upsert({
    where: { userId_productId: {
      userId: session.user.id,
      productId: parsed.data.productId,
    }},
    update: { quantity: { increment: parsed.data.quantity } },
    create: {
      userId: session.user.id,
      productId: parsed.data.productId,
      quantity: parsed.data.quantity,
    },
  });

  return NextResponse.json({ cartItem });
}

Fark: Authentication, Zod validation, stok kontrolü, veritabanı persistance, upsert ile race condition önleme, uygun HTTP status kodları.

Karpathy'nin Evrimi: Vibe Coding → Agentic Engineering

4 Şubat 2026'da Karpathy yeni bir terim önerdi: "Agentic engineering."

Fark şu:

• Vibe coding: Siz prompt yazıyorsunuz, AI kod üretiyor, siz kabul ediyorsunuz
• Agentic engineering: AI agent'ları kodu otonom olarak yazıyor, test ediyor, düzeltiyor; siz hedefi, sınırları ve kalite çıtasını belirleyip sonucu denetliyorsunuz

Karpathy'nin kendi deneyimi bu geçişi özetliyor: 26 Ocak 2026 tarihli paylaşımında, Kasım 2025'te işinin yaklaşık %80'ini elle ve otomatik tamamlamayla, %20'sini agent'larla yaptığını; Aralık 2025'te bu oranın tersine döndüğünü yazdı. Aynı paylaşımda hataların artık basit sözdizimi hataları değil, "aceleci bir junior geliştiricinin yapacağı türden ince kavramsal hatalar" olduğunu ve önemsediğiniz kodda modelleri "şahin gibi izlemeniz" gerektiğini ekledi. Daha önce, 26 Aralık 2025'te, yaşananları "mesleği sarsan 9 büyüklüğünde bir deprem" olarak nitelemişti.

Bizim için çıkarım basit: agent'lar ne kadar yetenekli olursa olsun, kabul kriterlerini yazan ve sonucu doğrulayan bir mühendis hâlâ döngünün içinde olmalı.

Junior Developer Krizi

Vibe coding'in en tartışmalı etkisi kariyer basamaklarının alt kısmında görülüyor. The Register'ın İngiltere'deki Institute of Student Employers (ISE) verilerine dayanan haberine göre teknoloji sektöründe yeni mezun alımları bir yılda %46 düştü ve işverenler sonraki dönem için %53'lük ek bir düşüş öngörüyor (The Register, Ekim 2025).

Temel sorun şu: AI, junior'ların geleneksel olarak yaptığı işleri (boilerplate, unit test, CRUD, basit endpoint'ler) saniyeler içinde yapıyor. Ama AI çıktısını değerlendirmek için önce neyin doğru olduğunu bilmeniz gerekiyor ve bu bilgi tam da o "basit" işlerde kazanılıyordu. Junior alımını kısan ekipler, birkaç yıl sonra AI'ı denetleyebilecek senior'ları nereden bulacakları sorusuyla karşılaşacak.

Vibe Coding'i Nasıl Akıllıca Kullanmalı?

AI araçlarını tamamen reddetmek gerçekçi değil. Ama "vibes'a teslim olmak" da kabul edilemez. İşte dengeli yaklaşım:

1. Doğru Katmanda Kullanın

✅ Prototip ve MVP          → Vibe coding ideal
✅ Boilerplate ve CRUD       → AI üretsin, siz review edin
✅ Test üretimi              → AI yardımcı, kapsamı siz belirleyin
⚠️ İş mantığı               → AI taslak yapsın, siz mimariyi planlayın
❌ Güvenlik kritik kod       → Authentication, ödeme, veri işleme → profesyonel geliştirme
❌ Production altyapısı      → CI/CD, monitoring, scaling → mühendislik gerektiriyor

2. Her Zaman Review Edin

AI'ın ürettiği kodu okumadan kabul etmeyin. Özellikle:

• Input validation var mı?
• Authentication/authorization doğru mu?
• SQL injection, XSS riski var mı?
• Hallüsinasyon yapılmış paket isimleri var mı? (npm audit çalıştırın)

3. Güvenlik Taramalarını Otomatize Edin

AI kodunu kabul etmeden önce: ESLint security rules, npm audit, SAST araçları (Snyk, Semgrep) pipeline'a entegre edin.

4. Temel Bilgiyi Atlayamayın

AI'ın yazdığı kodu değerlendirebilmek için mimari, veritabanı tasarımı, güvenlik prensipleri ve sistem tasarımı bilgisine ihtiyacınız var. Vibe coding, bu bilginin yerini alamaz — sadece onu kaldıraç olarak kullanır.

Sonuç: Araç Güçlü, Ama Araç

Vibe coding, yazılım geliştirmeyi demokratikleştiren gerçek bir adım. Daha önce hiç kod yazmamış insanların çalışan uygulamalar oluşturabilmesi etkileyici.

Ama "çalışan" ile "production-ready" arasındaki uçurum hâlâ derin. Veracode testinde kod örneklerinin %45'inin güvenlik testinden geçememesi, CodeRabbit'in ölçtüğü 1,7 kat bulgu farkı ve METR deneyindeki %19'luk yavaşlama görmezden gelinecek sonuçlar değil.

Doğru formül: Vibe coding ile hızlı başla, profesyonel mühendislikle ölçekle.

AI araçlarını prototipleme, boilerplate ve keşif için kullanın. Ama canlıya çıkacak, gerçek kullanıcılara hizmet edecek, ödeme alacak bir yazılım inşa ediyorsanız mimari, güvenlik, test ve bakım süreçlerini deneyimli bir ekiple yürütün. Bu kararı verirken yazılım ajansı mı, freelancer mı? karşılaştırmamız işinize yarayabilir.

Kullandığımız vibe coding araçları hakkında daha fazla bilgi edinmek veya hangi aracın projenize uygun olduğunu öğrenmek için teknoloji sayfamızı inceleyebilirsiniz.

AI ile başlattığınız projeyi production kalitesine taşımak mı istiyorsunuz? Digitexa, Next.js ve React odaklı bir yazılım ajansı olarak vibe coding ile çıkarılmış prototipleri kod incelemesi, test ve güvenlik taramasıyla canlıya hazırlıyor. Bizimle iletişime geçin.