Vibecoding en 2026: por qué ya no es opcional y qué futuro les espera a los programadores
El vibecoding ha pasado de experimento a forma estándar de construir software. Analizamos por qué quedarse fuera ya no es una opción, si de verdad genera código más inseguro y por qué los perfiles técnicos profundos serán más necesarios que nunca.
- Desarrollo de software
- Productividad
- Programación
- Inteligencia artificial
En febrero de 2025, Andrej Karpathy (cofundador de OpenAI y exresponsable de IA en Tesla) puso nombre a una nueva forma de programar: describir en lenguaje natural lo que quieres construir y dejar que la IA escriba el código. Lo llamó vibecoding. Lo que entonces parecía un experimento de fin de semana se ha convertido, en poco más de año y medio, en la manera habitual de construir software.
En este artículo repasamos tres preguntas que nos hacen a menudo clientes y otros desarrolladores: ¿hay que subirse sí o sí?, ¿genera peor código? y ¿seguirán haciendo falta programadores?
El vibecoding ya no es una opción: si no lo haces, te quedas atrás
Los datos no dejan lugar a dudas. El informe DORA 2025 de Google Cloud, con casi 5.000 profesionales encuestados, sitúa el uso de IA en el trabajo en el 90%, y su conclusión es que la pregunta ya no es si adoptarla, sino cómo sacarle partido. La encuesta de Stack Overflow de 2026 va en la misma línea: dos de cada tres desarrolladores usan asistentes o agentes de código, y entre quienes usan IA a diario, casi un tercio le dedica cuatro horas o más al día.
La consecuencia práctica es sencilla: los equipos que trabajan con agentes entregan en días lo que antes eran semanas. Quien siga escribiendo cada línea a mano compite con desventaja en plazos y en coste. No es una moda que se pueda esperar a que pase. Hasta el propio Karpathy ha reconocido que nunca se había sentido tan por detrás como programador. Si a él le pasa, al resto también: hay que ponerse al día.
De “vibecoding” a ingeniería agéntica
Al cumplirse un año del término, Karpathy propuso uno más preciso: agentic engineering (ingeniería agéntica). Su razonamiento: hoy el desarrollador casi nunca escribe el código directamente, sino que orquesta agentes que lo hacen y actúa como supervisor. Y habla de ingeniería porque hay técnica y oficio detrás, algo que se aprende y se mejora.
La distinción importa. El vibecoding de “dejarse llevar” baja el listón de entrada: cualquiera puede montar un prototipo. La ingeniería agéntica, en cambio, mantiene el estándar profesional a mucha más velocidad. Addy Osmani, de Google, lo resume así: la IA se encarga de la implementación, y el humano es dueño de la arquitectura, la calidad y la corrección. Cuando en este artículo hablamos de hacer vibecoding bien, hablamos de esto.
¿Se genera peor código? ¿Sistemas más vulnerables?
Es la objeción más repetida y tiene base. Veracode probó más de 100 modelos en 80 tareas de programación y casi la mitad de las muestras (45%) falló pruebas de seguridad del OWASP Top 10. IOActive concluyó en abril de 2026 que el código generado por IA no es seguro por defecto y que debe tratarse como una entrada no confiable. Y CodeRabbit, analizando 470 pull requests, encontró una tasa de vulnerabilidades 2,74 veces mayor en el código de IA que en el humano para tareas equivalentes.
Pero conviene leer la letra pequeña. Según la Cloud Security Alliance, la mayoría de los incidentes documentados en 2025 y 2026 corresponden a aplicaciones desplegadas sin una revisión de seguridad adecuada. Y un estudio de Stanford ya detectó en 2023 la combinación realmente peligrosa: desarrolladores que, con IA, introducían más vulnerabilidades y a la vez confiaban más en que su código era seguro. El problema no es la herramienta; es usarla sin control.
Con buena supervisión, ocurre lo contrario: sistemas más robustos
Nuestra experiencia en Xiltec es clara: bien supervisado, el vibecoding no produce sistemas más frágiles, sino más sólidos. Por varios motivos:
Los guardarraíles funcionan. El mismo estudio de IOActive midió que las herramientas envoltorio y las instrucciones orientadas a seguridad mejoran los resultados hasta en 25 puntos porcentuales.
Los modelos mejoran rápido. Un análisis de AppSec Santa de 2026 encontró vulnerabilidades confirmadas en el 25,7% de las muestras, frente a cerca del 40% del estudio de Copilot de 2021.
La IA abarata lo que antes se recortaba. Tests, documentación, refactorizaciones y revisiones de seguridad eran lo primero que caía cuando apretaban los plazos. Ahora cuestan mucho menos, y el tiempo que se ahorra escribiendo se reinvierte en verificar.
Más capas de detección. Alrededor del 60% de las vulnerabilidades en código de IA solo las detecta una de las herramientas SAST analizadas, así que combinar varios escáneres (y agentes revisores) multiplica la cobertura.
DORA lo resume en una palabra: amplificador. La IA magnifica lo que ya existe. En un equipo con buenas prácticas multiplica la velocidad y la calidad; en uno desordenado multiplica el caos. De hecho, el informe observa que la adopción de IA mejora el ritmo de entrega, pero puede perjudicar la estabilidad cuando el equipo no tiene las capacidades para sostenerla.
Cómo hacer vibecoding con garantías
La arquitectura y las decisiones clave las toma siempre una persona.
Especificación antes del prompt: qué se construye, con qué restricciones y con qué criterios de aceptación.
Las reglas del proyecto (convenciones, librerías permitidas, patrones de seguridad) viven en un archivo que el agente lee siempre.
Cambios pequeños y revisión de cada diff antes de aceptarlo.
Los tests automáticos son el contrato: una tarea no está terminada si no pasan.
Integración continua con varios escáneres de seguridad y revisión reforzada en autenticación, permisos, criptografía y datos personales.
La salida de la IA se trata como código de un tercero: se audita, no se da por buena.
¿Seguirán siendo necesarios los programadores?
Sí, pero su trabajo cambia. Generar código ya no es el cuello de botella; verificarlo sí. Cuando un agente escribe en minutos lo que antes llevaba días, el valor pasa a quien sabe distinguir si lo que ha escrito es correcto.
Karpathy contó un ejemplo muy ilustrativo: en uno de sus proyectos, un agente intentó relacionar a los usuarios por su email en lugar de por un identificador persistente. En la demo funciona; en producción se rompe el día que alguien cambia de correo. Ese error no lo detecta quien no sabe programar. Lo detecta alguien con criterio técnico.
Por eso seguirá siendo imprescindible contar con personas con conocimientos técnicos profundos para:
Identificar cuándo un agente no hace lo que debería, aunque el código “funcione”.
Diseñar la arquitectura y los límites del sistema.
Pensar como un atacante: la seguridad exige una mentalidad adversarial que los modelos no traen de serie.
Depurar sistemas que nadie ha escrito línea a línea.
Tomar las decisiones importantes: según Stack Overflow, solo un 6,6% de los desarrolladores confiaría a la IA una decisión de peso, y casi la mitad confía en ella solo cuando puede verificar el resultado.
En el sector ya se habla de la “deuda de criterio”: decisiones erróneas que se van acumulando cuando la IA construye sola, sin nadie que entienda lo que hay debajo. Es la versión moderna de la deuda técnica, y solo la evita alguien que sepa leer el código.
El reto de los perfiles junior
La barrera para empezar a programar es hoy más baja que nunca, pero la barrera para ser realmente competente es más alta. El riesgo es formar a una generación que sepa pedir código pero no leerlo. Nuestro consejo: usa la IA para ir más rápido, pero entiende cada línea que aceptas, pídele que te explique sus decisiones y, de vez en cuando, escribe tú las partes críticas.
Conclusión
El vibecoding no sustituye a los programadores: sustituye a la forma antigua de programar. Quien no lo adopte se quedará atrás; quien lo adopte sin criterio construirá sistemas frágiles. El lugar ganador está en medio: equipos técnicos sólidos que dirigen agentes, verifican todo y aprovechan el tiempo ganado para construir software más robusto que antes.
Así es como trabajamos en Xiltec. Si quieres llevar tu proyecto con este enfoque, escríbenos y lo hablamos.
Fuentes
DORA 2025 – State of AI-assisted Software Development (Google Cloud)
Encuesta de desarrolladores de Stack Overflow 2026 (IT Brief)
From Vibe Coding to Agentic Engineering – resumen de la charla de Karpathy
Agentic Engineering vs. Vibe Coding (Growth Acceleration Partners)
AI-Generated Code Is a Security Liability (datos de CodeRabbit y Veracode)
Imágenes de Pexels: portada y foto de ciberseguridad de cottonbro studio; resto de fotos de Lukas Blazek y Christina Morillo.
