Kuvailet tekoälylle tavallisella kielellä, millaisen sovelluksen haluat, ja se kirjoittaa koodin puolestasi. Ensimmäinen toimiva versio syntyy usein yhdessä illassa. Se on vibekoodauksen lupaus, ja se pitää yllättävän hyvin paikkansa. Vaikeampi kysymys on, mitä tapahtuu illan jälkeen.
Vibekoodaus aloittelijan harrastuksena tarkoittaa käytännössä kahta asiaa yhtä aikaa: nopeaa alkua ja hidasta loppua. Alkuun pääsee ilman ohjelmointikielen opettelua. Se osuus, jossa sovellus pitäisi saada pysymään kasassa, testatuksi ja turvalliseksi, ei ole helpottunut samassa tahdissa.
Termin tausta ja alkuperäinen rajaus
Andrej Karpathy kirjoitti X:ssä 2. helmikuuta 2025 uudesta koodaustavasta, jota hän kutsui nimellä "vibe coding": antaudut fiiliksille ja unohdat, että koodia on edes olemassa. Samassa viestissä hän kuvasi, miten se hänellä toimii. Hän sanelee muutostoiveet ääneen, hyväksyy tekoälyn ehdotukset lukematta niitä läpi ja liittää virheilmoitukset takaisin keskusteluun ilman omaa analyysia. Vibekoodaus on tämän termin suomenkielinen vastine.
Rajaus on olennainen, koska se katosi julkisesta keskustelusta nopeasti. Simon Willison täsmensi maaliskuussa 2025, että vibekoodauksella tarkoitetaan nimenomaan rakentamista ilman koodin lukemista, ja että se sopii vain matalan riskin projekteihin: harjoitustöihin, kertakäyttöisiin prototyyppeihin ja omiin kokeiluihin. Jos luet koodin läpi, testaat sen ja ymmärrät sen sen verran, että osaat selittää sen toiselle, teet jotain muuta. Se on tekoälyavusteista ohjelmointia, ja se on eri laji.
Karpathy itse on sittemmin luopunut termistä. Kesällä 2026 hän kuvasi ammattimaista työskentelytapaa mieluummin sanalla "agentic engineering". Harrastajalle alkuperäinen määritelmä on silti käyttökelpoinen, kunhan sitä sovelletaan siihen mihin se on tarkoitettu.
Ensimmäinen kuukausi käytännössä
Ensimmäinen projekti kannattaa tehdä selaimessa toimivaksi sivuksi tai sovellukseksi. Selainpohjaisilla työkaluilla, kuten Replitillä, koneelle ei tarvitse asentaa mitään, ja tulos näkyy heti. Hyviä ensimmäisiä aiheita ovat lista- tai muistiinpanosovellus, laskuri, harrastuksen seurantatyökalu ja oma esittelysivu. Mobiilisovellus kannattaa jättää myöhemmäksi, koska siihen tulevat mukaan sovelluskauppojen vaatimukset ja laitetestaus.
Ensimmäinen versio valmistuu tyypillisesti nopeasti. Sen jälkeen alkaa vaihe, joka yllättää lähes kaikki. Stack Overflow'n vuoden 2025 kehittäjäkyselyssä suurin yksittäinen turhautumisen aihe tekoälytyökaluissa oli "ratkaisut, jotka ovat melkein oikein mutta eivät aivan": 66 prosenttia vastaajista nosti sen esiin. Toiseksi yleisin oli se, että tekoälyn tuottaman koodin virheenetsintä vie enemmän aikaa kuin oman, 45 prosentilla. Nämä ovat ammattikehittäjien lukuja. Ilman koodaustaustaa sama seinä tulee vastaan aikaisemmin ja korkeampana.
Konkreettisesti rikki menee yleensä neljä asiaa. Tiedot katoavat sivun päivityksessä, koska sovelluksella ei ole tietokantaa. Kirjautuminen näyttää toimivan mutta ei oikeasti suojaa mitään. Julkaisu omalla osoitteella osoittautuu omaksi työvaiheekseen. Ja tekoäly rikkoo korjatessaan jotain, joka toimi eilen.
Vastalääkkeet ovat tylsiä. Pyydä yksi muutos kerrallaan. Testaa jokainen muutos heti. Kun jokin toimii, ota siitä versio talteen ennen seuraavaa pyyntöä. Kirjoita ylös, mitä sovelluksen pitäisi tehdä, koska tekoäly ei muista sitä puolestasi pitkässä keskustelussa. Realistinen tavoite ensimmäiselle kuukaudelle on yksi pieni sovellus, joka toimii omassa käytössä.
Työkalujen hinnat syyskuussa 2026
Alla olevat hinnat on tarkistettu palveluiden omilta hinnastosivuilta 6.9.2026. Ne ovat dollareissa ja ilman arvonlisäveroa, joten suomalaiselle kuluttajalle päälle tulee 25,5 prosentin alv.
Alkuun pääsee ilmaiseksi. Replitin Starter-taso ei maksa mitään ja sisältää päivittäisen määrän agenttiluottoja sekä yhden julkaistun projektin. Lovablen ilmaisversiossa on viisi rakennusluottoa päivässä, enintään 30 kuukaudessa. ChatGPT:llä ja Claudella on molemmilla ilmainen taso.
Maksullinen käyttö asettuu pääosin samaan haarukkaan. Replitin Core maksaa 20 dollaria kuukaudessa ja sisältää 20 dollarin edestä mallikäyttöä, Pro maksaa 100. Cursorin Pro on 20 dollaria kuukaudessa, Pro Plus 60 ja Ultra 200. Lovablen Pro alkaa 25 dollarista kuukaudessa sadalla luotolla ja Business 50 dollarista, ja lisäluotot maksavat Pro-tasolla 0,30 dollaria kappaleelta. Claude Pro on 20 dollaria kuukaudessa ja Max alkaa sadasta. ChatGPT Go on 8 dollaria kuukaudessa, Plus 20 ja Pro joko 100 tai 200.
Harrastajan kannalta olennaista on se, että luotot kuluvat. Kuukausimaksu ei osta rajatonta käyttöä vaan tietyn määrän tekoälyn työtä. Virheenetsintä kuluttaa niitä nopeimmin, koska samaa ongelmaa yritetään ratkaista uudestaan. Aloittelijalta kuukausi menee helposti niin, että luotot loppuvat kesken viikon, jolloin joko odottaa seuraavaa laskutusjaksoa tai ostaa lisää.
Tietoturva-aukot ja datan menetys
Tämä on se osa, joka jää innostuksen jalkoihin. Veracoden maaliskuussa 2026 julkaiseman päivityksen mukaan yli 150 testatun kielimallin tuottama koodi läpäisee tietoturvatestit noin 55 prosentissa tapauksista. Lähes joka toinen ratkaisu sisältää siis tunnetun haavoittuvuuden. Syntaksi on samaan aikaan kunnossa yli 95-prosenttisesti. Ero on juuri se, mikä aloittelijaa harhauttaa: koodi toimii, mutta se ei ole turvallista. Heikoimmin mallit pärjäsivät XSS-haavoittuvuuksissa (läpäisyprosentti 15) ja lokitietojen käsittelyssä (13).
Georgia Techin tietoturvatutkijat seuraavat samaa ilmiötä toisesta päästä. Huhtikuussa 2026 julkaistun katsauksen mukaan ryhmä oli käynyt läpi yli 43 000 tietoturvatiedotetta ja vahvistanut 74 haavoittuvuutta, jotka johtuivat suoraan tekoälytyökalun tuottamasta koodista. Niistä 14 luokiteltiin kriittisiksi. Tahti myös kiihtyi: 18 tapausta vuoden 2025 jälkipuoliskolla, 56 tapausta kolmessa kuukaudessa alkuvuonna 2026.
Kaksi konkreettista tapausta kannattaa tuntea. Tutkija Matt Palmer kävi läpi Lovablella tehtyjä sovelluksia ja löysi 303 rajapintaa 170 projektissa, joiden Supabase-tietokantataulut olivat kenen tahansa luettavissa julkisella avaimella. Sähköpostiosoitteita ja osoitetietoja oli auki, koska rivikohtaisia käyttöoikeuksia ei ollut kytketty päälle. Tapaus sai tunnuksen CVE-2025-48757 ja julkaistiin toukokuussa 2025.
Toinen on datan menetys. Heinäkuussa 2025 Replitin tekoälyagentti poisti SaaStr-yhtiön perustajan Jason Lemkinin tuotantotietokannan kesken muutoskiellon, vaikka ohje oli olla tekemättä mitään ilman lupaa. Sen jälkeen se ilmoitti, ettei palautus ole mahdollista. Se oli. Replit lisäsi tapauksen jälkeen kehitys- ja tuotantotietokantojen erottelun sekä tilan, jossa agentti vain suunnittelee.
Harrastajalle tästä seuraa kolme sääntöä. Älä kerää sovellukseesi muiden ihmisten henkilötietoja ennen kuin tiedät, kuka niihin pääsee käsiksi. Pidä maksutiedot ja rajapinta-avaimet erillään kokeiluprojekteista. Oleta, että kaikki mitä julkaiset verkkoon, on julkista.
Vertailu perinteiseen koodauksen opetteluun
Perinteinen reitti alkaa syntaksista ja etenee kohti sovellusta. Vibekoodaus alkaa sovelluksesta ja etenee kohti ymmärrystä, jos etenee. Ero näkyy siinä, missä kohtaa motivaatio loppuu. Perinteisellä reitillä moni luovuttaa ennen kuin on saanut aikaan mitään näkyvää. Vibekoodauksessa moni luovuttaa siinä kohtaa, kun ensimmäinen virhe ei korjaudu kolmannellakaan promptilla eikä ole mitään, mihin nojata.
Nopeuseroa ei kannata kiistää. Näkyvään lopputulokseen pääsee viikoissa siinä missä syntaksista alkava reitti vie kuukausia. Hinta on riippuvuus työkalusta. Jos et osaa lukea koodia lainkaan, olet täysin sen varassa, että tekoäly osaa korjata oman jälkensä, ja edellä olevat luvut kertovat, miten usein se ei osaa.
Toimivin yhdistelmä on epäpuhdas. Rakenna vibekoodaamalla, mutta opettele matkan varrella lukemaan sitä, mitä syntyy: mikä on muuttuja, mistä data tulee, missä tiedostossa mikäkin toiminto sijaitsee. Se ei vaadi tutkintoa. Se vaatii sen, että avaat tiedostot, jotka tekoäly kirjoitti, ja luet ne läpi silloinkin kun kaikki toimii.