Vibe coding 2026: 55% più veloci, 45% del codice con falle

Il vibe coding è arrivato. Non è più una pratica di nicchia: secondo la Stack Overflow Developer Survey 2025 e i dati Hostinger di inizio 2026, l’84% degli sviluppatori usa o pianifica di usare strumenti AI, e il 51% dei professionisti li usa ogni giorno. La produttività è misurata, le aziende investono, il mercato cresce con un CAGR del 24%.

E però c’è un secondo livello di lettura, fatto di numeri scomodi: la fiducia degli sviluppatori nel codice generato dall’AI sta scendendo, e una scansione di sicurezza su due intercetta vulnerabilità nel codice prodotto. Vediamo i dati con un po’ di ordine.

Quanto è veloce davvero il vibe coding

I dati positivi sulla produttività sono solidi e consistenti tra fonti diverse.

• +55,8% sui task completati rispetto al baseline senza AI, secondo l’analisi GitHub su un campione di 4.867 sviluppatori
• +26% sui task chiusi sullo stesso campione
• +21% di velocità in un randomized controlled trial Google su 100 ingegneri
• +67% di pull request mergiate al giorno dichiarato da Anthropic sui propri team interni
• +81% di produttività dichiarata dagli sviluppatori senior con più di 10 anni di esperienza

Il quadro complessivo lo riassume IBM: tra il 25 e il 90% del nuovo codice nelle Big Tech è generato con AI, a seconda dell’organizzazione. Google dichiara oltre il 30%, Microsoft 20-30% in alcuni repository, Anthropic dichiara il 70-90% interno. Un quarto delle startup uscite dalla Y Combinator Winter 2025 ha codebase per il 95% e oltre AI-generato.

I numeri che rovinano la festa

Lo stesso periodo che registra adozione record registra anche dati più problematici sulla qualità del codice.

Sicurezza. Veracode ha analizzato 470 pull request: il codice AI-generato presenta 1,7 volte più problemi rispetto a quello scritto a mano. Il 45% dei campioni di codice AI fallisce i controlli OWASP Top 10. Il 30% degli snippet di Copilot esaminati da uno studio Apiiro contiene vulnerabilità di sicurezza significative.

Il dato più citato arriva da una analisi Fortune 50 di giugno 2025: con l’adozione di vibe coding, le scoperte di security in audit sono cresciute di 10 volte, le privilege escalation sono salite del 322%, i design flaws del 153%.

Bug funzionali. L’analisi GitHub su 30 milioni di commit registra un +3,6% di output di codice e contestualmente un +41% di bug rispetto al baseline. La velocità aumenta, ma aumenta anche il volume di errori da correggere a valle.

Sviluppatori esperti su codebase mature. Lo studio METR ha misurato un -19% di velocità per i senior engineer su codice complesso e familiare. In altre parole: chi conosce già bene il sistema su cui lavora, qualche volta perde tempo a far revisionare all’AI cose che farebbe più rapidamente da solo.

La fiducia che scende

Il dato culturale più significativo è il calo di fiducia misurato dalla Stack Overflow Developer Survey 2025: nel 2024 il 40% si fidava del codice AI, nel 2025 è sceso al 29% (-11 punti percentuali). Il 46% degli sviluppatori dichiara di diffidare attivamente. Solo il 3% si fida ad alti livelli del codice generato.

Eppure il 96% non si fida pienamente, e contemporaneamente l’82% concorda che l’AI aiuta a programmare più velocemente. La sintesi onesta del paradosso: gli sviluppatori usano l’AI di più e si fidano dell’AI di meno. Convivono perché il 48% rivede sempre il codice prima del commit, secondo i dati Hostinger 2026.

Una conseguenza interessante riguarda la sicurezza percepita. Uno studio randomizzato di Stanford ha confrontato due gruppi che scrivevano lo stesso programma con e senza AI: il gruppo con AI ha prodotto codice più insicuro, ma ha dichiarato a fine task una maggiore fiducia nella sicurezza del proprio output. Significa che la percezione di solidità che dà l’AI può essere disallineata rispetto alla solidità effettiva.

Gli scenari di mercato

Il mercato del vibe coding cresce comunque a ritmo sostenuto. Le proiezioni dei principali analisti convergono su una traiettoria importante:

• 2025: 7,65 miliardi di dollari di mercato
• 2030: stimati 22,2 miliardi (CAGR 23,8%)
• 2035: stimati 91 miliardi (CAGR 27,65%) secondo Precedence Research

Sul lato investimenti, il deal size medio per startup AI-coding è passato da 7,4 milioni a 527,8 milioni di dollari tra il 2022 e il 2025: 71 volte tanto. Cursor ha chiuso una serie D da 2,3 miliardi a una valutazione di 29 miliardi. Replit vale 9 miliardi. Lovable ne vale 6,6.

Gartner stima che il 90% degli ingegneri enterprise userà AI code assistants entro il 2028. Lo stesso istituto però indica un altro numero più inquietante: senza una governance strutturata sulla qualità, l’aumento atteso dei difetti software entro il 2028 è del 2.500%. È una stima volutamente provocatoria, ma il segnale di rischio è chiaro.

Cosa fanno i team che gestiscono bene la transizione

Dai casi pubblicati più interessanti del 2026 emergono tre pattern ricorrenti.

1. Rivedere il codice come se l’avesse scritto un junior. La regola d’oro nei team che hanno adottato vibe coding senza disastri è trattare l’output AI come una proposta da revisionare, non come una soluzione finale. Tempo risparmiato sulla scrittura, tempo investito sulla review.
2. Aggiungere un layer di scansione automatica. SAST classici, scanner specializzati di vulnerabilità AI, prodotti come Claude Security in beta da maggio. La scansione è lo strumento giusto per intercettare il 45% di codice OWASP-fail prima che vada in produzione.
3. Misurare la qualità, non solo la velocità. I team che si concentrano solo sui PR mergiati al giorno spesso accumulano debito tecnico e di sicurezza che si paga sei mesi dopo. Le metriche utili sono il bug rate post-merge, le findings di security per release, il tempo di onboarding di un nuovo sviluppatore sulla codebase.

La sintesi

Il vibe coding nel 2026 è una pratica matura sul lato adozione e immatura sul lato qualità. La produttività aumenta in modo misurabile, e contemporaneamente i difetti di sicurezza salgono. La fiducia degli sviluppatori scende, ma l’uso non si ferma.

Per chi scrive codice oggi il messaggio operativo è diretto: l’AI fa bene quello che le si chiede, ma il livello di review e di scansione automatica deve crescere alla stessa velocità dell’adozione. Altrimenti il guadagno di produttività sul fronte sviluppo si paga sul fronte sicurezza, e il delta non è marginale.

Fausto Pitzalis

Blogger dal 2001, Nativo Digitale, Developer.
Da 15 anni mi occupo di IT per una grande Azienda.
Lavoro per abbattere il Digital Divide.
Visita i miei altri progetti
sardiniamobility.com
www.cyberness.it