В этой статье
- Что такое вайб-кодинг по определению SDAIA?
- Главное правило: результат ИИ это черновик
- 4 риска, которые называет руководство, и как они проявляются в вашем проекте
- 6 вещей, которые ИИ не гарантирует
- 5 точек проверки человеком, прежде чем код дойдёт до клиентов
- Вопросы к разработчику или подрядчику на этой неделе
- Позиция Origami
- Источники
Если ваше приложение, сайт или внутренняя система созданы с помощью инструментов ИИ или ваш разработчик ими пользуется, руководство «Vibe Coding» (вайб-кодинг), выпущенное Управлением данных и искусственного интеллекта Саудовской Аравии (SDAIA) в апреле 2026 года, задаёт одно чёткое правило: всё, что создаёт ИИ, остаётся неутверждённым черновиком, пока человек его не просмотрит, не проверит и формально не утвердит. Руководство занимает 57 страниц, адресовано техническим командам и госсектора, и частных компаний, называет 4 основных риска и 6 принципиальных ограничений и определяет 5 точек, в которых человек обязан вмешаться, прежде чем код дойдёт до ваших клиентов. В этой статье мы превращаем его в практические вопросы к вашей команде или подрядчику на эту неделю.
Что такое вайб-кодинг по определению SDAIA?
Руководство определяет вайб-кодинг (по-арабски «al-barmaja al-tawlidiya», генеративное программирование) как подход, при котором пользователь описывает желаемое обычным языком, а код пишут инструменты ИИ. Оно идёт дальше написания кода, к тому, что называет агентным ИИ: инструментам, которые сами собирают код, запускают тесты и управляют развёртыванием, а человек направляет ключевые решения.
Руководство делит применение на 3 направления: дизайн и пользовательский опыт (идеи и прототипы), программирование (написание и улучшение кода) и тестирование (планы тестов, тестовые данные и анализ сбоев). Оно ссылается на Microsoft, по словам которой эти инструменты создают около 30% кода, производимого внутри компании, и на Google, по словам которой около 25% её нового кода генерирует ИИ, после чего его проверяют люди перед слиянием. Вывод ясен: крупнейшие компании пользуются этими инструментами каждый день, но внутри системы проверки.
Главное правило: результат ИИ это черновик
Первое определение в руководстве это «черновик, созданный ИИ»: любой результат работы системы остаётся неутверждённым первым черновиком, пока не пройдёт проверку человеком, верификацию и утверждение. Принцип «Human-in-the-loop» (человек в контуре) руководство называет обязательным принципом управления в рамках своей методики. Оно добавляет, что вмешательство человека становится обязательным, когда инструменты ИИ получают права на выполнение действий, способных повлечь серьёзные операционные, юридические или коммерческие последствия.
Языком владельца бизнеса: если инструмент ИИ может выпустить обновление вашего приложения или изменить базу клиентов без чьего-либо согласия, руководство предупреждает именно об этом. Для ясности: руководство рекомендательное, это не норматив со штрафами, но пока это самый ясный официальный саудовский ориентир того, что считается «ответственным использованием» таких инструментов, и оно дополняет Национальную рамку управления рисками ИИ.
4 риска, которые называет руководство, и как они проявляются в вашем проекте
- Галлюцинации: код, который выглядит надёжным, но вызывает несуществующие API или рекомендует вымышленные либо неподдерживаемые пакеты и библиотеки. Итог: ошибки интеграции с другими вашими системами и, возможно, брешь в безопасности, если кто-то установит предложенный пакет по названию без проверки.
- Чрезмерное доверие: принимать сгенерированный код без проверки безопасности и функциональности или сразу переносить его в рабочую среду, которой пользуются ваши клиенты.
- Поверхностный охват: общий анализ безопасности, который пропускает уязвимости, и неполные тесты, создающие ложное ощущение, что всё в порядке.
- Недетерминированный результат: один и тот же запрос каждый раз даёт другой код, из-за чего результаты трудно воспроизвести и проверить.
6 вещей, которые ИИ не гарантирует
Руководство перечисляет 6 принципиальных ограничений: ИИ понимает замысел вашего бизнеса лишь настолько, насколько вы его явно описали; он не может оценить риски и приоритеты, присущие вашей организации; он не заменяет архитектурное мышление и проектные решения; он не гарантирует, что код правилен или пригоден для реального использования; он не всегда выдаёт одинаковые результаты; и его результат не является ни формальным доказательством тестирования, ни заменой реальных тестов. Руководство говорит прямо: ответственность за проверку, тестирование и утверждение «полностью лежит на человеке».
5 точек проверки человеком, прежде чем код дойдёт до клиентов
- Проверять каждое изменение кода перед слиянием в основную ветку.
- Оценивать готовность каждого релиза перед развёртыванием.
- Контролировать решение о развёртывании или откате.
- Объяснять любое неожиданное поведение в рабочей среде.
- Утверждать планы разработки и долгосрочную техническую дорожную карту.
Вопросы к разработчику или подрядчику на этой неделе
- Кто проверяет код, написанный ИИ, перед слиянием, и есть ли зафиксированная проверка каждого изменения?
- Тесты действительно запускаются на системе, или инструмент просто «сказал», что код работает?
- Какие права у инструментов ИИ? Могут ли они выполнять развёртывание или обращаться к настоящей базе данных? (Посмотрите, что случилось с агентами для программирования, которые выполнили команду злоумышленника.)
- Тестовые данные синтетические? Руководство требует тестовых данных, соответствующих правилам конфиденциальности и исключающих использование любых реальных или чувствительных данных, что важно для персональных данных ваших клиентов.
- Кто утверждает релиз перед выпуском и кто принимает решение об откате, если что-то сломается?
Если вы не получаете ясного ответа на три из этих пяти вопросов, проблема не в инструменте ИИ, а в организации работы. Если вы выбираете нового партнёра по разработке, добавьте эти вопросы в свои критерии выбора компании-разработчика.
Позиция Origami
Мы используем инструменты ИИ в дизайне, программировании и тестировании, потому что они экономят нашим клиентам реальное время. Но то, что они пишут, мы рассматриваем ровно так, как описывает руководство SDAIA: как черновик. Каждое изменение проходит проверку разработчиком, тесты действительно запускаются, реальные данные клиентов никогда не попадают в тестовую среду, а решение о развёртывании принимает человек. За скорость без проверки потом платят сбоями и брешами в безопасности. Если вы создали прототип с помощью ИИ и хотите превратить его в систему, на которую смогут положиться ваши клиенты, свяжитесь с нами.
Источники
Частые вопросы
Обязательно ли руководство SDAIA по вайб-кодингу для моей компании?
Руководство носит рекомендательный характер, это не норматив со штрафами, и адресовано техническим командам госсектора и частных компаний. Тем не менее это самый ясный официальный саудовский ориентир по ответственному использованию инструментов программирования с ИИ, и в своей методике оно называет проверку человеком обязательным принципом управления.
Можно ли создать полноценное приложение с ИИ без разработчика?
Быстрый прототип для проверки идеи создать можно. Для системы, от которой зависят ваши клиенты, руководство указывает, что ИИ не гарантирует ни правильности кода, ни его пригодности к использованию, а ответственность за проверку, тестирование и утверждение полностью лежит на человеке, поэтому перед запуском нужен разработчик, который всё проверит.
Какой главный риск у кода, написанного ИИ?
Руководство называет 4 риска: галлюцинации, например предложение несуществующих библиотек или API; чрезмерное доверие, когда код уходит в продакшн без проверки безопасности; поверхностный охват анализа и тестов; и результаты, которые каждый раз меняются.
Как убедиться, что мой разработчик проверяет код, созданный ИИ?
Спросите о 5 контрольных точках руководства: проверка каждого изменения до слияния, оценка готовности релиза, утверждение развёртывания или отката, объяснение неожиданного поведения и утверждение плана разработки. Попросите, чтобы проверки и прогоны тестов фиксировались, а не просто обещались.
