Vibe coding 2026: marketer & ops tự ship tool nội bộ, không chờ dev backlog

• Backlog dev dài 2–3 tháng. Một tính năng nhỏ cũng phải xếp hàng sau dự án lớn — bộ phận chờ mòn mỏi, cơ hội trôi qua.
• Việc nhỏ không đáng thuê dev riêng. Một form thu lead, một bảng tính hoa hồng — thuê người làm thì lãng phí, tự làm thì không biết code.
• Mỗi phòng một nhu cầu rời rạc. IT không thể ôm hết những thứ vụn vặt mỗi phòng cần.

Vibe coding mở ra một lối: người không biết code vẫn tự dựng được tool nội bộ. Nhưng nó có ranh giới rõ ràng — phần dưới mổ kỹ thuật để anh chị biết dùng tới đâu là an toàn.

Vibe coding là cách dựng phần mềm bằng cách mô tả ý định bằng ngôn ngữ tự nhiên, để AI sinh ra code — thay vì gõ từng dòng. Người làm tập trung vào "muốn cái gì", AI lo "viết thế nào".

Khác với low-code/no-code kéo-thả truyền thống (giới hạn trong khối dựng sẵn), vibe coding sinh ra code thật — linh hoạt hơn nhiều, nhưng cũng kéo theo trách nhiệm của code thật: bug, bảo mật, bảo trì.

• Cursor — trình soạn code (IDE) gắn AI: hiểu cả dự án, sửa nhiều file theo yêu cầu bằng lời. Cho người có chút nền kỹ thuật.
• v0 — gõ mô tả ra giao diện (UI) React đẹp, copy về dùng. Mạnh cho frontend, landing.
• Bolt / Lovable — dựng nguyên app ngay trong trình duyệt từ một câu mô tả, có cả backend, deploy nhanh. Cho người không rành kỹ thuật.
• Claude Code — agent chạy trong terminal, đọc-sửa-chạy cả codebase, làm được task nhiều bước. Mạnh nhất cho việc thật, cần người dẫn.

Không có công cụ "tốt nhất" tuyệt đối — tuỳ việc và tuỳ nền kỹ thuật của người dùng.

Một vòng vibe coding điển hình:

• ① Mô tả. "Làm cho tôi một trang nhập lead: tên, sđt, nhu cầu, lưu vào Google Sheet, gửi Zalo cho sale."
• ② AI sinh. Công cụ dựng giao diện + logic + kết nối, cho xem ngay.
• ③ Xem và nói chỉnh. "Thêm trường ngân sách", "đổi nút sang đỏ", "validate số điện thoại" — sửa bằng lời, thấy kết quả tức thì.
• ④ Ship. Deploy lên một đường link nội bộ, đội dùng được.

Cái hay: vòng lặp tính bằng phút, không phải tuần. Cái dở: bốn bước đó che giấu rất nhiều thứ chạy ngầm mà người không-kỹ-thuật không thấy — và đó là chỗ sinh hoạ.

• Làm tốt: tool nội bộ nhỏ, prototype để thử ý tưởng, landing page, form thu thập, bảng tính tự động, script gom dữ liệu, automation cá nhân. Việc ít người dùng, rủi ro thấp, dữ liệu không nhạy cảm.
• Không nên tự làm: hệ thống cho khách hàng dùng thật, xử lý thanh toán, dữ liệu cá nhân nhạy cảm, cần đăng nhập phân quyền, cần chạy ổn định 24/7, cần scale nhiều người dùng. Đây là vùng production — sai một li là mất tiền, lộ dữ liệu, hoặc bị tấn công.

Vibe coding giỏi cho "tool dùng trong nhà". Càng ra gần khách hàng và tiền thật, ranh giới an toàn càng hẹp.

Code chạy được không có nghĩa là code đúng và an toàn. Mấy bẫy hay gặp:

• Bug ẩn. AI sinh code trông chạy ngon nhưng sai ở ca hiếm (số âm, ngày lệch múi giờ, dữ liệu rỗng) — không test kỹ thì lỗi nổ lúc thật.
• Lỗ hổng bảo mật. Code mẫu thường để lộ khoá API, dính SQL injection, không kiểm đầu vào — người không rành không nhận ra.
• Không hiểu thì không sửa được. Khi app hỏng, người vibe-code không biết code mình "sở hữu" hoạt động ra sao để chữa — phụ thuộc hoàn toàn vào AI.
• Nợ kỹ thuật chồng chất. Mỗi lần "nói AI sửa đại" làm code rối thêm; tới lúc cần nâng cấp thật thì không ai gỡ nổi.

Đây là phần phải nói thẳng. Một app dựng nhanh rồi deploy ẩu lên server là mời gọi tấn công:

• App chạy bằng quyền cao nhất (root) mà dính lỗ hổng → kẻ tấn công chiếm nguyên máy chủ.
• Phơi cổng app thẳng ra internet, không tường lửa → bị quét và khai thác trong vài giờ.
• Để khoá bí mật (mật khẩu, API key) ngay trong code đẩy lên → lộ sạch.
• Chạy ở chế độ "đang phát triển" trên production → nhiều framework từng dính lỗ thực thi mã từ xa (RCE).

Những lỗi này không phải lý thuyết — chúng là cách các vụ cài mã đào tiền ảo và chiếm server xảy ra ngoài đời. Một tool nội bộ chạy nội mạng thì rủi ro thấp; nhưng đẩy ra internet phục vụ khách là chuyện hoàn toàn khác. Web tĩnh build sẵn (0 server-side) an toàn hơn hẳn một app động dựng vội.

Khung quyết định gọn cho anh chị:

• Tự vibe-code: tool dùng nội bộ, ít người, dữ liệu không nhạy cảm, hỏng cũng không chết ai. Cứ làm — nhanh và rẻ.
• Gọi MONA: hệ thống cho khách hàng, xử lý tiền/dữ liệu cá nhân, cần đăng nhập–phân quyền, cần chạy ổn định và bảo mật, cần scale. Lúc này cần người hiểu code thật, dựng hạ tầng an toàn và chịu trách nhiệm lâu dài.

MONA không chống lại vibe coding — ngược lại, đội MONA dùng chính những công cụ này để làm nhanh hơn. Khác biệt là MONA viết phần mềm production theo yêu cầu: bảo mật, kiểm thử, vận hành — phần mà một tool tự dựng vội không gánh nổi.

• Tốc độ. Tool nội bộ ra trong giờ thay vì chờ backlog dev hàng tháng — bộ phận tự phục vụ được nhu cầu nhỏ.
• Tiền chi giảm. Không tốn dev cho việc vụn; thử ý tưởng rẻ trước khi đầu tư lớn.
• Rủi ro kiểm soát được. Biết rõ ranh giới: việc nội bộ tự làm, việc production giao MONA — không tự rước lỗ hổng bảo mật.
• Vị thế. Đội ngũ chủ động hơn với công nghệ, không bị nghẽn vì phụ thuộc một phòng IT.

Cần một hệ thống chạy thật, an toàn, đứng sau lâu dài? MONA viết phần mềm theo yêu cầu — phần production mà vibe coding một mình không kham.