Как довести приложение после вайб-кодинга до продакшена (и сколько стоит его починить)

Приложение после вайб-кодинга - это обычно 80% продукта. Оно регистрирует людей, показывает экраны и проходит счастливый сценарий достаточно хорошо, чтобы показать на демо. Остальные 20% - то, чего никто не просил в промпте: авторизация, секреты, неудачные платежи, обработка ошибок, тесты и мониторинг. Именно это ломается на реальных пользователях, и исправить это стоит $750-2,625 (≈33 800-118 200 грн) за 5-10 дней с командой, которая сама каждый день строит с AI. Традиционное агентство возьмет вчетверо больше и будет работать вчетверо дольше, потому что переписывает вручную то, что управляемый AI-пайплайн может перегенерировать под контролем.

Мы строим с AI каждый проект, так что это не текст о том, что AI пишет плохой код. Это текст о том, что происходит, когда его никто не читает.

Почему приложения после вайб-кодинга ломаются в продакшене

Lovable, Bolt, Cursor, Replit и Claude Code без инженерии делают одно и то же: строят ровно то, что описали. Сбои скапливаются в одних и тех же пяти местах:

• Авторизация. Вход работает, но правила о том, кто какую строку может видеть, отсутствуют или ошибочны. В 2025 году баг row-level security в Lovable (CVE-2025-48757) позволял сгенерированным приложениям отдавать данные других пользователей, потому что политики никто не написал. Позже Escape.tech нашел 2 038 критических уязвимостей в 1 400 приложениях с платформ вайб-кодинга.
• Секреты во фронтенде. Ключи OpenAI, Stripe или почтового сервиса оказываются в клиентском коде, потому что так было быстрее всего заставить функцию работать.
• Платежи без несчастливых сценариев. Оплата проходит. Отказы, возвраты, двойное нажатие, вебхуки, которые прилетают дважды, и подписка, которая не продлилась, в промпте не упоминались.
• Продублированная логика. Модель решает одну и ту же задачу пять раз пятью немного разными способами вместо одной функции. GitClear зафиксировал восьмикратный рост дублированных блоков с 2022 года, и каждая копия расходится со своими сестрами.
• Никаких тестов и мониторинга. Первый сигнал о баге - сообщение от клиента.

Цифры за этим стоят немаленькие. Veracode протестировал более 100 моделей и обнаружил, что 45% образцов AI-сгенерированного кода содержат уязвимость из OWASP Top 10. Vibe Security Radar от Georgia Tech насчитал 35 CVE только за март 2026 года, которые напрямую ведут к AI-инструментам для кода.

Вайб-кодинг против agentic engineering: разница в том, кто управляет AI

Андрей Карпаты придумал термин "вайб-кодинг" в начале 2025 года, а через год сказал, что эта эра заканчивается и на смену приходит то, что он назвал agentic engineering. Инструменты не изменились. Изменилась дисциплина вокруг них.

Agentic engineering - это четыре привычки, которые вайб-кодинг пропускает:

1. Планировать. Письменная спецификация до кода: модель данных, кто что может делать, что происходит, когда платеж не прошел. Spec Kit от GitHub в этом году перевалил за 111 000 звезд, потому что команды увидели: агент, который работает по спецификации, значительно чаще справляется с первого раза, чем агент, который работает из чата.
2. Управлять. Senior-инженер решает архитектуру, границы и те части, которые AI не имеет права импровизировать.
3. Ревьюить. Каждое сгенерированное изменение читает тот, кто отличит ошибочный ответ от правдоподобного.
4. Проверять. Тесты и проверки, которые агент обязан пройти, потому что агент отчитывается об успехе на коде, который не запускается. Лучшее, что мы сделали для скорости собственного AI-пайплайна, - перестали верить ему на слово.

Рандомизированное исследование METR здесь как предостережение: опытные разработчики с AI-инструментами выполняли реальные задачи на 19% медленнее, при этом считая, что работают на 20% быстрее. Скорость без ревью - это ощущение. Скорость с ревью - это то, как мы доставляем вчетверо быстрее.

Чеклист готовности AI-собранного приложения к продакшену

Если приложение проходит эти пункты, оно может принимать реальных пользователей. Если проваливает больше двух, ему нужен production pass до того, как оно примет реальные деньги:

1. У каждой таблицы базы есть правила авторизации, и тест доказывает, что пользователь А не может прочитать строки пользователя Б.
2. Ни одного API-ключа, токена или пароля нет ни во фронтенде, ни в истории git.
3. Платежи обрабатывают отказы, возвраты, повторы и дублированные вебхуки, а неудачное продление подписки понижает аккаунт, а не роняет его.
4. Входные данные валидируются на сервере, а не только в форме.
5. Ошибки перехватываются, логируются и отправляются туда, куда смотрит человек.
6. Основной сценарий покрыт автотестами, которые запускаются перед каждым деплоем.
7. У базы есть бэкапы, и вы хотя бы раз восстанавливались из одного из них.
8. Кто-то с вашей стороны читает код достаточно хорошо, чтобы изменить его без инструмента, который его сгенерировал.

Пункт 8 основатели пропускают чаще всего. Приложение, с которым нельзя уйти с платформы, - это подписка, а не актив.

Чинить или переписывать?

Чинить, когда в приложении есть реальные пользователи, основной сценарий работает и модель данных примерно правильная. Те 80%, что собрал AI, стоит сохранить, и production pass каждый раз дешевле переписывания.

Переписывать, когда выполняется одно из трех: приложение нельзя экспортировать с платформы в виде, который вы запустите сами; модель данных не подходит продукту, которым оно стало (инструмент для одного пользователя, которому теперь нужны команды и роли); в коде не осталось структуры, которую можно исправить. Двухдневный аудит дает ответ доказательствами, а не мнением, и это самые дешевые два дня во всем проекте.

Сколько стоит довести приложение после вайб-кодинга до продакшена

Это наши цифры. Они низкие потому, что те же исправления требуют меньше часов, когда код перегенерирует AI, а senior-инженеры управляют и ревьюят, а не потому, что проход легче. Традиционные агентства обычно берут вчетверо больше и работают вчетверо дольше, потому что переписывают вручную.

Тот же production pass со стандартной ручной разработкой стоит $3,000-10,500 (≈135 100-472 800 грн) и занимает 3-6 недель. Разница - в пайплайне, а не в объеме. Что входит в аудит и исправления, описано на странице услуги спасение vibe-кода.

Как мы это делаем в DForce

Мы не пишем код вручную и не позволяем AI выпускать непроверенное. Каждый проект начинается со спецификации, AI-пайплайн генерирует код по ней, а senior-инженеры управляют архитектурой, ревьюят каждое изменение и отвечают за то, где ошибка дорого стоит: модель данных, авторизация, платежи и все, что касается боевых данных. Проверка автоматизирована, потому что мы рано усвоили, что "готово" от агента ничего не значит, пока с ним не согласился тест.

Та же дисциплина нужна приложению, которое спасают, поэтому мы применяем ее в том же порядке: сначала аудит, потом исправления по приоритету, потом тесты, которые не дадут сломаться снова. Вы получаете код, который прочитает ваш следующий инженер, и письменный отчет о том, что изменилось и почему.

Частые вопросы

Что такое приложение после вайб-кодинга? Это программа, которую собрали, описывая желаемое AI-инструменту вроде Lovable, Bolt, Cursor, Replit или Claude Code, и принимая код, не читая его. Термин ввел Андрей Карпаты в начале 2025 года. Это быстрый путь к рабочему демо и медленный путь к продукту, потому что то, чего никто не просил в промпте, а именно авторизация, неудачные платежи и обработка ошибок, и есть то, что ломается на реальных пользователях.

Почему приложения после вайб-кодинга ломаются в продакшене? Потому что AI сделал ровно то, что описали, и ничего больше. Типичные сбои: отсутствующие правила авторизации, из-за которых один пользователь видит данные другого; API-ключи во фронтенде; платежи без обработки отказов и возвратов; продублированная логика, которая расходится; никаких тестов и мониторинга, поэтому первый сигнал о баге приходит от клиента. Veracode обнаружил, что 45% образцов AI-сгенерированного кода содержат уязвимость из OWASP Top 10.

Сколько стоит починить приложение после вайб-кодинга? С AI-first командой аудит безопасности и кода стоит $300-600 (≈13 500-27 000 грн) и длится 1.5-2 дня. Полный production pass, который закрывает авторизацию, секреты, платежи, обработку ошибок, тесты и мониторинг, стоит $750-2,625 (≈33 800-118 200 грн) и занимает 5-10 дней. Перенос приложения с no-code платформы на собственный стек - $3,000-6,000 (≈135 100-270 200 грн) за 1.5-3 недели. Традиционные агентства берут вчетверо больше, потому что переписывают вручную то, что AI-пайплайн может перегенерировать под контролем.

Чинить приложение после вайб-кодинга или переписать с нуля? Чинить, если у приложения есть реальные пользователи, основной сценарий работает и модель данных примерно правильная. Большую часть того, что собрал AI, стоит сохранить. Переписывать, когда приложение нельзя забрать с платформы, модель данных не подходит продукту, которым оно стало, или в коде не осталось структуры, которую можно исправить. Двухдневный аудит дает ответ с доказательствами до того, как вы вложитесь в любой из вариантов.

Если у вас есть AI-собранное приложение, которое работает на демо и тревожит в продакшене, запишитесь на discovery-звонок, и мы прогоним его через чеклист и скажем с доказательствами, нужны ли ему десять дней или переписывание.

Суммы в гривнах указаны по курсу НБУ на 22.10.2026 (1 $ = 45,03 грн).