Analisi del repository
Struttura, linguaggi, punti d'ingresso, codice morto e duplicato. Capisco cosa hai davvero, non cosa prometteva il prompt.
- Home
- Coding & Debugging
- Debito tecnico da vibe coding
Accept All.
Il conto arriva dopo.
Hai chiesto all'AI un'app, un gestionale, un e-commerce. Hai accettato tutto e funziona. Poi arriva il bug che nessuno sa correggere, la funzione che rompe le altre, la chiave API finita nel posto sbagliato. Io misuro il debito che hai accumulato e ti dico come rientrare, in ordine di priorità.
Consulenza iniziale gratuita · risposta entro 24 ore · riservatezza sul tuo codice
Simulazione: un utente chiede a un assistente AI di creare un gestionale, accetta tutte le modifiche senza revisione e accumula un registro di problemi di sicurezza e qualità.
Simulazione illustrativa: nessun dato reale di clienti.
Che cos'è
Vibe coding: descrivi, accetti, vai avanti.
Il termine, nel senso di oggi, l'ha introdotto e reso popolare il ricercatore di intelligenza artificiale Andrej Karpathy, in un post su X del 2 febbraio 2025 (fonte). Dai istruzioni all'AI in linguaggio naturale, ti abbandoni alle «vibrazioni» e ti dimentichi perfino che il codice esista. Karpathy raccontava di premere sempre «Accept All», senza più leggere le modifiche.
In pochi mesi è esploso: il dizionario Collins l'ha scelto come parola dell'anno 2025 (Irish Examiner). Tra i professionisti, però, resta un'eccezione: nel sondaggio Stack Overflow 2025 il 72% degli sviluppatori dice di non fare vibe coding nel proprio lavoro (Stack Overflow).
Per un prototipo va benissimo. Il problema nasce quando il prototipo diventa il gestionale dell'azienda, l'e-commerce o l'app con i dati dei clienti. Lì il codice che nessuno ha letto diventa debito.
There's a new kind of coding I call vibe coding
Ward Cunningham · 1992
Il debito tecnico, in breve
Pubblicare codice scritto di getto è come contrarre un debito. Un po' di debito accelera, purché lo ripaghi presto riscrivendo il codice. Il pericolo arriva quando non lo ripaghi: ogni minuto passato su codice «non del tutto giusto» conta come interesse.
Fonte: The WyCash Portfolio Management System, OOPSLA '92
Cronologia
Dal prompt al conto: cosa è già successo.
Non sono ipotesi. Sono fatti documentati, ognuno con la sua fonte. E raccontano quasi sempre lo stesso copione: codice che funziona, ma che nessuno ha controllato.
1992
Nasce il «debito tecnico»
Ward Cunningham paragona il codice scritto di getto a un debito: se non lo ripaghi, paghi interessi. OOPSLA '92
Feb 2025
Nasce il «vibe coding»
Il 2 febbraio Andrej Karpathy descrive un modo di programmare in cui si danno istruzioni all'AI in linguaggio naturale e si accetta tutto, senza leggere le differenze. ADS-L
Mar 2025
App generate con Lovable: dati esposti
Il ricercatore Matt Palmer, con il collega Kody Low, analizza 1.645 progetti realizzati con Lovable: 170, circa il 10,3%, hanno 303 endpoint che permettono a chi non è autorizzato di accedere a dati sensibili degli utenti e di iniettare dati malevoli. La scoperta risale al 20 marzo; il 29 maggio diventa la CVE-2025-48757, con punteggio CVSS 9.3 (critico) assegnato da MITRE. Il fornitore la contesta: per Lovable ogni cliente è responsabile della protezione dei dati della propria app. Matt Palmer · NVD
Lug 2025
Un agente AI cancella un database attivo
Durante un esperimento di vibe coding di Jason Lemkin, fondatore di SaaStr, l'agente AI di Replit avrebbe cancellato un database attivo nonostante fosse in corso un blocco delle modifiche. Secondo Lemkin conteneva dati di oltre 1.200 dirigenti e più di 1.190 aziende. L'agente sosteneva che il ripristino non avrebbe funzionato: Lemkin ha poi recuperato i dati manualmente. Il CEO di Replit ha definito l'episodio inaccettabile e annunciato la separazione automatica tra database di sviluppo e di produzione. Fortune · The Register
Lug 2025
Funziona, ma non è sicuro
Il 30 luglio Veracode pubblica i test di 80 compiti di programmazione su oltre 100 modelli: il codice generato, pur funzionante, ha introdotto vulnerabilità di sicurezza nel 45% dei casi di test. Veracode
Nov 2025
La parola dell'anno
Il 6 novembre il dizionario Collins sceglie «vibe coding» come parola dell'anno 2025. Irish Examiner
Feb 2026
Moltbook: 1,5 milioni di token esposti
Wiz scopre che Moltbook, social network per agenti AI costruito col vibe coding, espone 1,5 milioni di token di autenticazione API, 35.000 indirizzi email e messaggi privati. La causa: una chiave API di Supabase visibile nel JavaScript lato client, senza regole di Row Level Security. Il fondatore aveva dichiarato di non aver scritto una sola riga di codice. Wiz
Mar 2026
Le vulnerabilità pubbliche si moltiplicano
Il Vibe Security Radar del Georgia Tech, che traccia le CVE legate a codice generato con strumenti AI, ne conta almeno 35 a marzo 2026 (dato al 26 marzo), contro 6 a gennaio e 15 a febbraio. Georgia Tech
Ott 2026
Primo miglioramento, non la fine del problema
Veracode registra il primo miglioramento significativo dal 2025: i compiti con vulnerabilità scendono dal 44% al 38%. Restano vulnerabili quasi 4 compiti su 10, e il campione (18 modelli) è diverso da quello dei report precedenti. Veracode
Cosa dicono le ricerche
Perché il codice generato accumula debito e falle.
Gli assistenti AI scrivono codice che funziona. Che sia sicuro e manutenibile è un'altra storia. Ecco cosa hanno misurato alcune delle ricerche più citate.
| Ricerca | Cosa ha trovato | Cosa vuol dire per il tuo progetto |
|---|---|---|
| Stanford University · ACM CCS 2023arXiv 2211.03622 | Chi usava un assistente AI ha scritto codice significativamente meno sicuro di chi non lo usava, ed era più convinto di averlo scritto sicuro. Chi si fidava meno e riformulava i prompt produceva meno vulnerabilità. | La sicurezza percepita cresce più di quella reale. Serve qualcuno che verifichi. |
| New York University · IEEE S&P 2022arXiv 2108.09293 | Con GitHub Copilot, su 1.689 programmi ottenuti in 89 scenari, circa il 40% è risultato vulnerabile. | Il problema non è nato col vibe coding: c'era già con i primi assistenti. |
| Veracode · GenAI Code Security Report 2025Comunicato Veracode | I modelli non hanno protetto il codice dal cross-site scripting (CWE-80) nell'86% dei casi e dalla log injection (CWE-117) nell'88%. Java è risultato il linguaggio più a rischio, con un tasso di fallimento di sicurezza oltre il 70%. | Le difese di base contro gli attacchi web più comuni non sono scontate. |
| USENIX Security 2025 · Spracklen e altriUSENIX | Su 576.000 campioni di codice prodotti da 16 modelli, i pacchetti software inesistenti suggeriti sono in media almeno il 5,2% con i modelli commerciali e il 21,7% con quelli open source: 205.474 nomi inventati. | Un criminale può pubblicare un pacchetto malevolo con quel nome e aspettare che qualcuno lo installi: si chiama slopsquatting. Ripetendo 10 volte lo stesso prompt, il 43% dei pacchetti inventati ricompariva ogni volta (The Register). |
| GitClear · AI Copilot Code Quality 2025GitClear | Su 211 milioni di righe modificate tra il 2020 e il 2024: nel 2024, per la prima volta, il codice copiato e incollato ha superato quello spostato, cioè riorganizzato. Le righe spostate sono scese dal 25% del 2021 a meno del 10%; quelle copiate sono salite dall'8,3% al 12,3%. | Più duplicati: ogni bug va corretto in più punti. Nota: GitClear vende strumenti di analisi e il dato misura una tendenza, non un nesso causale diretto con l'AI. |
La sensazione di velocità non è una misura.
Nel 2025 uno studio randomizzato di METR ha visto 16 sviluppatori open source esperti impiegare il 19% di tempo in più usando l'AI, convinti però di essere stati più veloci del 20% (METR, luglio 2025). METR stessa avverte che quei risultati sono superati: con gli strumenti di fine 2025 stima per gli stessi sviluppatori un'accelerazione di circa il 18%, ma con un intervallo di incertezza che include anche un possibile rallentamento, e considera i nuovi dati un segnale poco affidabile (METR, febbraio 2026). Morale: quello che conta è misurare il codice, non l'impressione.
Prima di un attaccante
Il tuo progetto somiglia a uno di questi casi? Scoprilo tu, per primo.
In consulenza gratuita capiamo cosa controllare e da dove partire. Poi decidi tu.
Autodiagnosi · 1 minuto
Otto sintomi. Quanti ne riconosci?
Spunta quelli che vedi nel tuo progetto. Il conteggio avviene solo nel tuo browser: non invii nulla.
Anche un solo sintomo merita una verifica: è il segnale che il debito sta già maturando interessi. Se i problemi sono soprattutto bug che tornano, parti dal debugging.
L'audit del debito tecnico
Cinque controlli, dal primo file all'ultima dipendenza.
Leggo il tuo progetto come lo leggerebbe un nuovo sviluppatore il primo giorno. E come lo leggerebbe un attaccante.
struttura
Dipendenze e segreti esposti
Ogni pacchetto: esiste davvero, è mantenuto, è quello giusto? Poi chiavi API, token e password nel codice e nella cronologia del repository.
Revisione di sicurezza
Autenticazione, permessi, query, input, regole di accesso ai dati come la Row Level Security. Leggo il codice come farebbe un attaccante e, se serve, si prosegue con un penetration test autorizzato.
Copertura dei test
Quali funzioni sono protette dai test, quali no, e quali test mancano per poter modificare il codice senza paura.
Mappa dell'architettura
Come si parlano i pezzi: database, API, servizi esterni, flussi dei dati. Una mappa che resta a te e a chi verrà dopo.
Cosa ricevi
Un report con priorità. Una roadmap per rientrare.
Non un elenco infinito di difetti: una mappa di cosa sistemare prima, perché e come.
- Problemi ordinati per gravità e impatto sul tuo business
- Per ognuno: dove si trova, perché è un rischio, come si corregge
- Roadmap di rientro: cosa fare subito, cosa dopo, cosa può aspettare
- Restituzione insieme: leggiamo il report e decidi tu le priorità
Dopo l'audit puoi affidarmi le correzioni, farle fare al tuo team o dividere il lavoro: il report serve a tutti e due.
Voglio il report del mio progettoReport debito tecnicoesempio
- P1Chiave del database nel codice lato clientsubito
- P1Dati leggibili senza regole per utentesubito
- P2Dipendenza non più mantenutapoi
- P2Pagamenti e ordini senza testpoi
- P3Calcolo del totale duplicatonel tempo
SubitoChiudi ciò che espone dati e soldi.
PoiMetti sotto test ciò che ti fa guadagnare.
Nel tempoRiordina, documenta, semplifica.
La scelta
Continuare così, o mettere in sicurezza?
Continuare così
- Ogni nuova funzione costa più della precedente
- Bug che tornano, perché nessun test li ferma
- Dati e chiavi esposti finché qualcuno non li trova
- Dipendi dal prompt giusto, o da chi ha scritto il codice
Mettere in sicurezza
- Sai cosa c'è nel codice e cosa rischi, in ordine di priorità
- Chiudi prima ciò che espone dati e soldi
- Test che ti avvisano prima dei clienti
- Documentazione: chiunque può riprendere il lavoro
Metti in sicurezza il tuo progetto
Consulenza iniziale gratuita. Il preventivo arriva dopo, su misura.
Domande frequenti
Prima di aprire il codice.
Un dubbio che non trovi qui? Rispondo personalmente entro 24 ore.
Il mio progetto è stato fatto con l'AI: bisogna buttare tutto?
Non necessariamente. L'audit serve proprio a capire cosa tenere, cosa correggere e cosa riscrivere. Decidi tu, con il report in mano.
L'audit vale anche per codice scritto da altri sviluppatori?
Sì. Il metodo è lo stesso per qualsiasi codice ereditato: che l'abbia scritto un'AI, un fornitore o un collaboratore che non c'è più.
Devo darti accesso al codice?
Sì, per l'audit serve leggere il codice. Concordiamo insieme il modo più sicuro, per esempio un accesso in sola lettura al repository o una copia. Mai password via email o nel modulo di contatto.
Quanto costa l'audit del debito tecnico?
Dipende da dimensione e complessità del progetto. Il preventivo arriva su misura, dopo la consulenza gratuita.
Rispondo entro 24 ore
Fammi vedere il progetto. Ti dico quanto debito c'è.
Prima consulenza gratuita e riservata: capiamo insieme cosa controllare e da dove partire.
- Nessun accesso al codice prima di un accordo
- Riservatezza su codice e dati
- Preventivo su misura, dopo la consulenza
Vuoi usare l'AI in azienda senza creare nuovo debito? Guarda come la integro in bot, agenti e automazioni. Hai un sito WordPress da blindare? Parti dalla sicurezza WordPress.
Fonti
Dati e fatti citati in questa pagina, nell'ordine in cui compaiono. Altre letture: Coding & Debugging · Debugging e code review · Manutenzione WordPress.
- Archivio ADS-L (American Dialect Society), messaggio di Garson O'Toole del 3 marzo 2025 che cita il post di Andrej Karpathy del 2 febbraio 2025 — listserv.linguistlist.org
- Irish Examiner, annuncio Collins «Parola dell'anno 2025», 6 novembre 2025 — irishexaminer.com
- Stack Overflow Developer Survey 2025, sezione AI — survey.stackoverflow.co
- Ward Cunningham, «The WyCash Portfolio Management System», OOPSLA '92 Experience Report — c2.com
- Matt Palmer, «Statement on CVE-2025-48757», 29 maggio 2025 — mattpalmer.io
- NIST National Vulnerability Database, CVE-2025-48757 — nvd.nist.gov
- Fortune, 23 luglio 2025, sul database cancellato dall'agente di Replit — fortune.com
- The Register, 22 luglio 2025, risposta del CEO di Replit — theregister.com
- Veracode, comunicato stampa sul 2025 GenAI Code Security Report, 30 luglio 2025 — veracode.com
- Wiz Research, Gal Nagli, «Exposed Moltbook database», 2 febbraio 2026 — wiz.io
- Georgia Tech School of Cybersecurity and Privacy (ripresa di Infosecurity Magazine), 26 marzo 2026 — scp.cc.gatech.edu
- Veracode, comunicato stampa del 29 ottobre 2026 — veracode.com
- Perry, Srivastava, Kumar, Boneh, «Do Users Write More Insecure Code with AI Assistants?», ACM CCS 2023 — arxiv.org
- Pearce, Ahmad, Tan, Dolan-Gavitt, Karri, «Asleep at the Keyboard?», IEEE S&P 2022 — arxiv.org
- Spracklen e altri, «We Have a Package for You!», USENIX Security 2025 — usenix.org
- The Register, 12 aprile 2025, sullo slopsquatting — theregister.com
- GitClear, «AI Copilot Code Quality» 2025 — gitclear.com
- METR, «Measuring the Impact of Early-2025 AI on Experienced Open-Source Developer Productivity», 10 luglio 2025 — metr.org
- METR, aggiornamento del 24 febbraio 2026 — metr.org
