Bina aplikasi anda dengan AI? Panduan Vibe Coding SDAIA menganggap setiap baris kod sebagai draf sehingga disemak manusia

Jika aplikasi, laman web atau sistem dalaman anda dibina dengan alat AI, atau pembangun anda menggunakannya, panduan «Vibe Coding» yang dikeluarkan oleh Pihak Berkuasa Data dan Kecerdasan Buatan Saudi (SDAIA) pada April 2026 menetapkan satu peraturan yang jelas: semua yang dijana oleh AI ialah draf yang belum diluluskan sehingga seorang manusia menyemak, mengesahkan dan meluluskannya secara rasmi. Panduan ini setebal 57 halaman, ditujukan kepada pasukan teknikal dalam sektor kerajaan dan swasta, menamakan 4 risiko utama dan 6 had asas, serta menetapkan 5 titik di mana manusia mesti campur tangan sebelum kod sampai kepada pelanggan anda. Dalam artikel ini, kami menukarnya menjadi soalan praktikal yang boleh anda tanya kepada pasukan atau pembekal anda minggu ini.

Apakah vibe coding menurut takrifan SDAIA?

Panduan ini mentakrifkan vibe coding (dalam bahasa Arab «al-barmaja al-tawlidiya», pengaturcaraan generatif) sebagai pendekatan di mana pengguna menerangkan apa yang mereka mahu dalam bahasa biasa, lalu alat AI menulis kodnya. Ia melangkaui penulisan kod kepada apa yang dipanggilnya AI agentik: alat yang membina kod, menjalankan ujian dan menguruskan pelaksanaan sendiri, manakala manusia mengemudi keputusan penting.

Panduan ini membahagikan penggunaan kepada 3 laluan: reka bentuk dan pengalaman pengguna (idea dan prototaip), pengaturcaraan (menulis dan menambah baik kod), dan pengujian (pelan ujian, data ujian dan analisis kerosakan). Ia memetik Microsoft yang menyatakan bahawa alat ini menjana kira-kira 30% kod yang dihasilkan secara dalaman, dan Google yang menyatakan bahawa kira-kira 25% kod baharunya dijana oleh AI lalu disemak oleh manusia sebelum digabungkan. Mesejnya jelas: syarikat terbesar menggunakan alat ini setiap hari, tetapi di dalam sistem semakan.

Peraturan utama: output AI ialah draf

Takrifan pertama dalam panduan ini ialah «draf yang dijana AI»: sebarang output yang dijana oleh sistem kekal sebagai draf awal yang belum diluluskan sehingga melalui semakan manusia, pengesahan dan kelulusan. Ia menyifatkan prinsip «Human-in-the-loop» (manusia dalam gelung) sebagai prinsip tadbir urus yang wajib dalam kaedahnya. Ia juga menambah bahawa campur tangan manusia menjadi wajib apabila alat AI diberi kebenaran pelaksanaan yang boleh membawa kesan operasi, undang-undang atau komersial yang besar.

Dalam bahasa pemilik perniagaan: jika alat AI boleh menerbitkan kemas kini aplikasi anda atau mengubah pangkalan data pelanggan anda tanpa kelulusan sesiapa, itulah tepat yang diberi amaran oleh panduan ini. Untuk jelas, panduan ini bersifat nasihat, bukan peraturan yang membawa penalti, tetapi ia rujukan rasmi Saudi yang paling jelas setakat ini tentang apa yang dikira sebagai «penggunaan bertanggungjawab» alat ini, dan ia melengkapi Rangka Kerja Kebangsaan Pengurusan Risiko AI.

4 risiko yang dinamakan panduan, dan bagaimana ia muncul dalam projek anda

• Halusinasi: kod yang kelihatan kukuh tetapi memanggil API yang tidak wujud, atau mengesyorkan pakej dan pustaka rekaan atau yang tidak lagi disokong. Hasilnya ialah ralat integrasi dengan sistem anda yang lain, dan mungkin lubang keselamatan jika seseorang memasang pakej yang dicadangkan mengikut nama tanpa menyemaknya.
• Terlalu yakin: menerima kod yang dijana tanpa semakan keselamatan atau fungsi, atau memindahkannya terus ke persekitaran langsung yang digunakan pelanggan anda.
• Liputan cetek: analisis keselamatan umum yang terlepas pandang kelemahan, dan ujian yang tidak lengkap, yang memberi anda rasa palsu bahawa semuanya baik.
• Output tidak deterministik: arahan yang sama menghasilkan kod berbeza setiap kali, menjadikan keputusan sukar diulang dan diaudit.

6 perkara yang tidak dijamin oleh AI

Panduan ini menyenaraikan 6 had asas: AI hanya memahami niat perniagaan anda setakat yang anda tulis dengan jelas; ia tidak dapat menilai risiko atau keutamaan khusus organisasi anda; ia tidak menggantikan pemikiran seni bina dan keputusan reka bentuk; ia tidak menjamin kod itu betul atau sesuai untuk kegunaan sebenar; ia tidak sentiasa menghasilkan keputusan yang sama; dan outputnya bukan bukti ujian rasmi dan bukan pengganti ujian sebenar. Panduan ini menyatakan dengan terang bahawa tanggungjawab pengesahan, pengujian dan kelulusan adalah «sepenuhnya milik manusia».

5 titik semakan manusia sebelum kod sampai kepada pelanggan anda

1. Menyemak setiap perubahan kod sebelum digabungkan ke cabang utama.
2. Menilai kesediaan setiap keluaran sebelum dilaksanakan.
3. Mengawasi keputusan untuk melaksanakan atau mengembalikan semula.
4. Menjelaskan sebarang tingkah laku luar jangka dalam produksi.
5. Meluluskan pelan pembangunan dan peta hala tuju teknikal jangka panjang.

Soalan untuk pembangun atau pembekal anda minggu ini

• Siapa yang menyemak kod tulisan AI sebelum digabungkan, dan adakah setiap perubahan mempunyai rekod semakan?
• Adakah ujian benar-benar dijalankan pada sistem, atau alat itu sekadar «berkata» bahawa kod berfungsi?
• Apakah kebenaran yang dimiliki alat AI? Bolehkah ia melaksanakan keluaran atau mencapai pangkalan data sebenar? (Lihat apa yang berlaku kepada ejen pengaturcaraan yang menjalankan arahan penyerang.)
• Adakah data ujian bersifat sintetik? Panduan ini meminta data ujian yang mematuhi peraturan privasi dan menghalang penggunaan sebarang data sebenar atau sensitif, yang penting bagi data peribadi pelanggan anda.
• Siapa yang meluluskan keluaran sebelum ia disiarkan, dan siapa yang membuat keputusan pengembalian semula jika berlaku kerosakan?

Jika anda tidak mendapat jawapan yang jelas bagi tiga daripada lima soalan ini, masalahnya bukan pada alat AI tetapi pada cara kerja. Jika anda sedang memilih rakan pembangunan baharu, tambahkan soalan ini ke dalam kriteria memilih syarikat perisian anda.

Pandangan Origami

Kami menggunakan alat AI dalam reka bentuk, pengaturcaraan dan pengujian kerana ia benar-benar menjimatkan masa pelanggan kami. Tetapi kami melayan apa yang ditulisnya tepat seperti yang diterangkan oleh panduan SDAIA: sebagai draf. Setiap perubahan melalui semakan pembangun, ujian benar-benar dijalankan, data pelanggan sebenar tidak pernah memasuki persekitaran ujian, dan keputusan pelaksanaan dibuat oleh manusia. Kelajuan tanpa semakan akan dibayar kemudian dalam bentuk gangguan perkhidmatan dan lubang keselamatan. Jika anda telah membina prototaip dengan AI dan mahu menjadikannya sistem yang boleh dipercayai oleh pelanggan anda, hubungi kami.

Sumber

• SDAIA: panduan Vibe Coding, April 2026 (PDF, bahasa Arab)
• Al-Madina: SDAIA menggalakkan amalan lanjutan vibe coding (bahasa Arab)
• OWASP: Secure Coding Practices (dipetik dalam panduan)