Kod Okumadan Yazılım Üretmenin Bedeli: "Vibe Coding" ile Geliştirilen Uygulamalar Neden 90 Gün Sonra Çöküyor?

Tesla’nın eski otonom sürüş direktörü ve OpenAI kurucu ortağı Andrej Karpathy’nin ortaya attığı ‘Vibe Coding’ (Hissiyatla Kodlama) terimi, son aylarda teknoloji dünyasını kasıp kavuran bir büyüye dönüştü. İnsanların tek bir kod satırı okumadan, mimari diyagram çizmeden, sadece doğal dille yapay zekâya komut vererek hafta sonu projeleri inşa etmesi büyüleyici görünüyordu. Ancak Silikon Vadisi’nden gelen ilk derin saha verileri, bu pembe tablonun arkasındaki ürkütücü gerçeği gözler önüne seriyor: Vibe coding ile üretilen yazılımların büyük çoğunluğu önümüzdeki aylarda kaçınılmaz olarak patlayacak.

Bir yazılımın ilk prototipini (MVP) birkaç saat içinde ayağa kaldırmak bir başarı gibi görünse de, yazılım mühendisliği sadece çalışan bir arayüz teslim etmekten ibaret değildir. Kodun sürdürülebilirliği, veritabanı eşzamanlılığı, bellek yönetimi ve güvenlik açıkları, kod tabanı büyüdükçe ortaya çıkar. İnsanın zihinsel denetiminden geçmeyen, prompt’ların anlık insafına bırakılmış devasa kod blokları, şirketlerin üzerinde oturduğu saatli bir teknik borç bombasına dönüşmüş durumdadır.

---

Sahte Hız İllüzyonu ve Bilişsel Sahiplik Kaybı

Geleneksel yazılım geliştirmede hız, deneyim ve temiz mimariyle kazanılır. Yazılımcı her sınıfı yazarken, değişkeni adlandırırken veya bir API uç noktası kurarken gelecekteki sınır durumları (edge-cases) zihninde canlandırır. Vibe coding ise bu hayati ‘durup düşünme’ anını ortadan kaldırır:

• Bilişsel Körlük: Geliştirici, yapay zekânın ürettiği 500 satırlık kodu okumak yerine sadece ‘çalışıyor mu?’ diye bakar. Butona basıldığında yeşil ışık yanıyorsa kod onaylanır. Kod tabanında neyin neden yapıldığını ekrandaki hiç kimse tam olarak bilmez.
• Kara Kutu Sendromu: Sistem ilk gün kusursuz çalışır; ancak 90 gün sonra veritabanında deadlock (kilitlenme) yaşandığında veya bellek sızıntısı başladığında, kod tabanını inceleyecek bir insan aklı bulunamaz. Çünkü sistem insan niyetiyle değil, anlık rastlantısal prompt dizgeleriyle örülmüştür.
• Teknik Borcun Katlanması: GitClear tarafından yapılan son araştırmalar, yapay zekâ destekli kod tabanlarında ‘kod çalkantısının’ (code churn) son bir yılda ikiye katlandığını ortaya koyuyor. Geliştiriciler hızla ürettikleri kodu sürekli silip baştan yazdırmak zorunda kalarak kısır bir döngüye hapsoluyor.

---

Güvenlik Kabusu: Paket Halüsinasyonu ve OWASP Zaafiyetleri

Vibe coding uygulamalarının en savunmasız olduğu alan tartışmasız siber güvenliktir. Büyük dil modelleri, internetteki açık kaynaklı depolardan (GitHub, StackOverflow) derlenen milyarlarca kod parçasıyla eğitilmiştir; bu verilerin önemli bir kısmı eski, güvensiz veya artık terk edilmiş kütüphaneler içerir:

1. Yüzde 40 Güvensiz Kod Oranı: Veracode ve bağımsız siber güvenlik raporlarına göre, denetimsiz yapay zekâ çıktılarının en az yüzde 40’ı standart OWASP Top 10 güvenlik zaafiyetlerini (SQL Injection, Cross-Site Scripting, bozuk yetkilendirme) barındırıyor.
2. Paket Halüsinasyonu (Package Hallucination): Yapay zekâ modelleri var olmayan bir Python veya Node.js paket adı uydurmakta son derece yeteneklidir. Saldırganlar, LLM’lerin sıkça önerdiği bu sahte paket isimlerini PyPI veya npm üzerinde hızla tescilleyip içine zararlı yazılım (malware) yerleştirerek tüm vibe-coded uygulamaları tedarik zinciri saldırısının merkezine oturtuyor.
3. Gizli Yetkilendirme Açıkları: Bir geliştirici ‘Kullanıcı profil sayfasını yap’ dediğinde, model veriyi çeker; ancak çoğu zaman oturum açan kullanıcının o veriyi görmeye yetkili olup olmadığını (IDOR açığı) kontrol etmeyi unutur. Bu durum binlerce kullanıcının kişisel verisinin internete saçılmasına yol açar.

---

90 Gün Duvarı: İlk Ölçeklenmede Neden Çökecekler?

Bir uygulamanın 10 kullanıcıyla çalışması ile 100 bin eşzamanlı istekle boğuşması arasında dağlar kadar fark vardır. Vibe coding projeleri genellikle ‘90 Gün Duvarı’ adı verilen kriz anında un ufak olur:

• Monolitik Kod Şişkinliği: Prompt ile çalışan modeller dosya parçalama ve modüler mimari kurma konusunda tembeldir. Zamanla binlerce satırlık dev dosyalar oluşur; modelin bağlam penceresi bu devasa dosyaları anlamakta zorlanır ve bir yeri düzeltirken üç yeri bozar.
• Mimari Uyumsuzluk: Projenin bir parçası REST mantığıyla, diğeri GraphQL ile, bir başkası ise rastgele callback’lerle yazılmıştır. Çünkü her özellik farklı bir günün ‘vibe’ı ile üretilmiştir.
• Yeniden Yazma Zorunluluğu: İlk yatırımcı sunumunu veya müşteri testini atlatan girişimler, gerçek kurumsal müşterilerle karşılaştığında kodun sürdürülemez olduğunu fark edip projeyi çöpe atarak sıfırdan yazmak zorunda kalmaktadır.

---

Gerçek Mühendisler Yapay Zekâyı Nasıl Kullanmalı?

Vibe coding’in ölümcül riskleri, yapay zekâ araçlarının tamamen terk edilmesi gerektiği anlamına gelmez. Fark, direksiyonun kimde olduğu gerçeğinde yatar:

• Mimar İnsan, Duvar Ustası Yapay Zekâ: Veritabanı şeması, yetkilendirme modeli, hata yakalama stratejisi ve sistem sınırları insan mühendis tarafından tasarlanmalı; yapay zekâ sadece bu çerçevenin içindeki amelelik işlerini ve tekrarlayan fonksiyonları doldurmalıdır.
• Sıkı CI/CD ve Güvenlik Taramaları: Yapay zekânın yazdığı her satır, SonarQube, Snyk ve otomatik test paketlerinden geçmeden ana dala (main branch) birleştirilmemelidir.
• Mimari Karar Kayıtları (ADR): Kodun neden o şekilde tasarlandığını açıklayan net insan dokümantasyonu tutulmalıdır.

---

Sonuç: Hissiyatla Değil, Mühendislikle Gelecek İnşa Edilir

Yazılım geliştirme bir his veya anlık bir rüzgar değil; deterministik, matematiksel ve güvenliğe dayalı bir disiplindir. ‘Vibe Coding’ heyecanı, prototip üretmek için harika bir oyuncak olabilir; ancak gerçek dünyada şirketlerin, bankaların, sağlık sistemlerinin ve kritik altyapıların çalıştığı yazılımlar bu laçkalığı kaldıramaz. Kodunu okumadığınız, arkasındaki mantığı kavramadığınız hiçbir yazılım sizin değildir; ve yarın o sistem çöktüğünde sorumlu tutulacak olan yapay zekâ değil, onay tuşuna basan mühendis olacaktır.