2025年9月にVercelが “State of Vibe Coding Report” を公開しました。本記事では、レポートの要点の紹介と、要点ごとの考察をしてみます。
背景
Vibe Codingとは、AI主導の「日常言語でコードを書く」開発スタイルです。これはOpenAIの共同創業者の一人である Andrej Karpathy が2025年2月に言及したことでその名が広まりました。まだ1年も経っていませんが、急速に浸透しましたね。
同レポートでは、「英語が世界で最もパワフルなプログラミング言語になりつつある」としています。
数字でみるVibe Codingのインパクト
レポート内で提示されているデータに紛らわしい表現が含まれていたため、調査の上整理し直しました。
AI生成コードのインパクト
- Googleでは、新しいコードの30% がAIによって生成されている。 (ただし、その後エンジニアによるレビューがあるため、リリースされているコードの30%ではない) [1]
- Microsoftでも、「特定のプロジェクトにおいて、リポジトリ内のコードの20%から30%程度がAIによって書かれている」とマイクロソフト会長兼CEOのサティア・ナデラ氏が発言 [2]
- Y Combinator の 2025年の冬バッチの参加スタートアップのうち、約4分の1において、プロダクトコードの95% がAIによって書かれている。当時のY CombinatorのCEOであるギャリー・タン氏の発言 [3]
- 米国のソフトウェア開発者の92%がAIコーディングツールを利用 (Githubによる調査、バイブコーディングに限定したものではない) [4]
🤔 この辺りのデータはすでに報道などで目にしたことがあるものが多いですね。全体的にバイブコーディングに限定した話ではないので、より大きな流れとしてAIがソフトウェア開発を大きく変えているよ、という話として受け取るのが良さそうです。体感とも齟齬がないかと。
v0のデータ
v0は、Vercelが提供しているバイブコーディングツールで、特にNext.jsアプリケーションやReactコンポーネントの生成を得意としています。生成したものをワンクリックでVercelにデプロイできるのも特徴です。
- 地域別で見ると多い順に、 41%がAPAC (アジア太平洋地域)、18%がヨーロッパ、14%が北米
- 63%が非開発者
- 開発者と非開発者ではプロンプトの書き方に明確な傾向がある。開発者はフレームワークや言語の指定をする。非開発者は会話的で、ゴールを示すような投げかけが多い、とまとめられています。
- 利用目的の1位が UIコンポーネントの作成で、全体の44%
🤔 v0の利用データは興味深いですね。特に利用者がダントツでAPACが多いというのは意外に思えるかもしれませんが、そのうち16.7%がインドだそうです。また、v0のユーザーがすでに非開発者の方が多いというのも、フロントエンドエンジニアとしては少し驚きでした。そう考えるとReplitやLovableはもっと非開発者の割合が高そうです。
バイブコーディングスタートアップの躍進
こちらもレポート内の言及が限定的だったので調査をして追加しています。
- Lovable: たった15人で $10M ARRを2ヶ月のうちに達成 [5]
- Lovable: $100M ARRを8ヶ月で達成、ユーザー数は230万以上 [6]
- Replit: 2025年6月に $100M ARR を達成 [7]
- Base44: 資金調達なしで、開始から半年で$80M でWixにより買収 [8]
提言
“What you say is what you get” : Vibe Coding は 新しいWYSIWYGだ
WYSIWYGは「What You See Is What You Get（見たままが得られる）」の略で、画面上で見ている表示＝最終的な出力結果 (Webページ・文書など) になるように設計された編集ツールのことです。Wordpressの記事編集画面などが代表例で、No-Codeの祖ともいえます。
これになぞらえて、Vibe Codingは「What You Say Is What You Get for any Idea」、つまり「どんなアイデアも言えば手に入る」としています。
開発者の役割変更と組織構造の変化
開発者の役割は「コードを書く人」から「AIを指揮するAIを指揮するオーケストレーター」へ変化するだろうとしています。
それに伴い、ミドルマネジメント層が減少し、少人数で素早く開発する文化への変化として “The Great Flattening” (大いなるフラット化) を迎えるだろうとしています。
バイブコーディングの課題: セキュリティ・脆弱性
- シークレットキーやパスワードの漏洩 … 多くのVibe Codingツールはクライアントサイドコードを書くようにできているため、デプロイコードの中に、本来含まれてはいけない情報が含まれて公開されてしまうことがある。
- アクセス制限の欠如 … データベースへの書き込み処理を雑に許してしまい、データが消し飛んでしまう事例も。
- クレデンシャル情報のハードコード … テストやデバッグ目的でインフラやデータベースへのアクセス情報をAIに渡してしまい、コードベースにハードコードされ、そのまま公開されてしまうことがある。
バイブコーディングを利用するなら、認証プロバイダーについて気を遣うべきだ、としています。
🤔 一方で、AI生成されたコードを実行する環境をセキュアにするアプローチもあります。例えばE2BやDaytonaなどが有名です。個人的には、そもそも公開状態にデプロイされるべきでないアプリを作るなら、公開インスタンスにデプロイしない方がいいと思ってしまいます。社内向けにも関わらず、わざわざ外部の認証プロバイダー (Auth0やClerk) を導入したNext.jsアプリを作って公開インスタンスにデプロイするよりも、最初からクローズドな環境にデプロイした方が確実だろうと思います。
いかがでしたでしょうか。元レポートはデザイン的に凝っていることもあり、データの提示などが少しわかりにくいところがありましたので、整理してみました。お役にたてば幸いです。
[1] … 25%としている報道もある。https://www.theverge.com/2024/10/29/24282757/google-new-code-generated-ai-q3-2024
[2] … Llamacon 2025での発言。https://www.youtube.com/watch?v=WaJOONFllLc
[3] … https://www.cnbc.com/2025/03/15/y-combinator-startups-are-fastest-growing-in-fund-history-because-of-ai.html
[4] … https://github.blog/news-insights/research/survey-reveals-ais-impact-on-the-developer-experience/
[5] … https://lovable.dev/video/building-lovable-10m-arr-in-60-days-with-15-people-anton-osika-ceo-and-co-founder
[6] … https://lovable.dev/blog/agent
[7] … https://www.growthunhinged.com/p/replit-growth-journey
[8] … http://lennysnewsletter.com/p/the-base44-bootstrapped-startup-success-story-maor-shlomo
Discussion