تصور کنید خانه‌ای می‌سازید که از بیرون خیره‌کننده است، اما هیچ سیم‌کشی برق یا لوله‌کشی در آن وجود ندارد؛ این دقیقاً وضعیت اکثر اپلیکیشن‌هایی است که امروز با هوش مصنوعی ساخته می‌شوند. طبق یافته‌های جدید، امتیاز میانگین آمادگی برای محیط تولید (Production-readiness) در پروژه‌های ساخته‌شده با هوش مصنوعی تنها ۳۱ از ۱۰۰ است.
این عدد تکان‌دهنده توسط شرکت Inithouse در ۴ سپتامبر ۲۰۲۶ منتشر شد. آن‌ها ابزاری به نام Audit Vibe Coding را معرفی کردند تا شکاف عمیق میان یک نمونه اولیه (Prototype) سریع و یک اپلیکیشن امن و مقیاس‌پذیر را اندازه‌گیری کنند. برای اینکه یک پروژه واقعاً آماده‌ی عرضه به بازار باشد، باید به امتیاز ۸۰ برسد.
بسیاری از توسعه‌دهندگان اکنون به روش Vibe Coding — یعنی تکیه بر ابزارهایی مثل Cursor، Lovable یا Replit برای عرضه سریع محصول — روی آورده‌اند. این ابزارها نتایجی بصری و جذاب می‌سازند، اما زیرساخت‌های نامرئی و حیاتی نرم‌افزار را نادیده می‌گیرند. همان‌طور که در تحلیل‌های قبلی ما درباره‌ی بدهی‌های فنی در عصر مدل‌های زاینده اشاره کردیم، سرعت در تولید نباید جایگزین استانداردهای مهندسی شود.
فرآیند بررسی
به نقل از گزارش dev.to، این ابزار برای تحلیل تنها به یک URL عمومی نیاز دارد و نیازی به دسترسی به مخزن کد (Repository)، هیچ‌گونه یکپارچه‌سازی (Integration) یا نصب SDK ندارد. سیستم ۴۷ بررسی مجزا را در هشت حوزه کلیدی اجرا می‌کند تا یک گزارش نمره‌گذاری‌شده ارائه دهد. Inithouse این راهکار را به این دلیل توسعه داد که خود مدیریت بیش از ۱۴ محصول (از جمله Be Recommended و Watching Agents) را بر عهده دارد و می‌خواست از تکرار چک‌لیست‌های دستی برای هر استقرار جلوگیری کند.
چارچوب ارزیابی
بر اساس مستندات این شرکت، اکثر اپلیکیشن‌های «وایب‌کد شده» در اولین اسکن، در حداقل ۱۵ مورد از این بررسی‌ها شکست می‌خورند. جزئیات آنچه یک URL عمومی فاش می‌کند و مواردی که از دید آن پنهان می‌ماند به شرح زیر است:
- امنیت: جست‌وجوی کلیدهای API لو رفته در بسته‌های کلاینت، کلیدهای anon باز در Supabase و نبود هدرهای CSP. (البته منطق احراز هویت سمت سرور و قوانین RLS پایگاه‌داده در این اسکن دیده نمی‌شود). این چالش‌ها در کنار ریسک‌های دسترسی به سیستم‌فایل، اهمیت استفاده از ابزارهای سنجش امنیت در محیط‌های ایزوله را برای جلوگیری از نفوذهای احتمالی دوچندان می‌کند.
- سئو (SEO): بررسی تگ‌های متا، URLهای کانونی (Canonical) شکسته، نبود داده‌های ساختاریافته (Structured Data) و سیگنال‌های محتوای ضعیف (Thin Content). این ابزار نمی‌تواند ریدایرکت‌های سمت سرور یا عمق لینک‌سازی داخلی را ببیند.
- کارایی (Performance): تحلیل اندازه بسته‌ها (Bundle Size)، جابه‌جایی‌های لایه (Layout Shifts)، اسکریپت‌های مسدودکننده رندر و تصاویر بهینه‌نشده. زمان کوئری‌های بک‌اند و گلوگاه‌های پایگاه‌داده در این تحلیل نیستند.
- دسترسی‌پذیری (Accessibility): شناسایی نبود متن جایگزین (Alt text)، تضاد رنگی پایین، نبود نشانگرهای فوکوس و برچسب‌های ARIA شکسته. موارد خاص صفحه‌خوان در جریان‌های پویا (Dynamic Flows) بررسی نمی‌شوند.
- کیفیت کد: شناسایی بسته‌های فشرده‌نشده (Unminified)، خطاهای کنسول، CSSهای استفاده‌نشده و عدم تطابق در هیدراتاسیون (Hydration Mismatches). این ابزار نمی‌تواند ساختار داخلی کد یا پوشش تست‌ها را ارزیابی کند.
- حریم خصوصی و پایداری: شناسایی نبود رضایت‌نامه کوکی‌ها، ردیاب‌های شخص ثالث بدون افشا و خطاهای ۴۰۴ در منابع لینک‌شده. مدیریت داده‌ها در سمت سرور و رمزنگاری داده‌های ذخیره شده (Encryption at rest) در این بخش نیست.
- تجربه کاربری (UX/Mobile): شناسایی اهداف لمسی کوچک، سرریز افقی (Horizontal Overflow) و نبود متا-تگ viewport. این ابزار نمی‌تواند نرخ تکمیل سفر کاربر یا داده‌های Heatmap را ردیابی کند.
بحرانی‌ترین شکست، افشای اسرار (Secrets) است؛ مانند ترکیب کلیدهای داخلی با کلیدهای عمومی Stripe یا Supabase که مستقیماً در بسته جاوااسکریپت قرار گرفته‌اند. این اولین بررسی سیستم است چون سریع‌ترین راه برای نفوذ به سیستم و در عین حال سریع‌ترین مورد برای اصلاح است؛ اصلاح آن تنها با یک جست‌وجوی grep در بسته JS و تغییر یک متغیر محیطی (env variable) امکان‌پذیر است.
پس از آن، نبود زیربنای سئو قرار دارد؛ نبود توضیحات متا (Meta Descriptions)، تگ‌های Open Graph، نقشه سایت (Sitemap) و فایل robots.txt باعث می‌شود اپلیکیشن برای موتورهای جست‌وجو مانند یک «دیوار خالی» باشد.
در نهایت، امتیازات دسترسی‌پذیری اغلب به دلیل نبود برچسب‌های فرم (Form Labels) و نبود لینک‌های «پرش به محتوا» (Skip-to-content) به شدت افت می‌کنند. این موضوع عملاً باعث می‌شود حدود ۱۵٪ از کاربرانی که به صفحه‌خوان‌ها متکی هستند، از دست بروند.
این ابزار یافته‌ها را بر اساس دو محور «شدت خطا» (اینکه نادیده گرفتن آن چقدر خطرناک است) و «سختی اصلاح» (اینکه رفع آن چقدر زمان می‌برد) رتبه‌بندی می‌کند. Inithouse پیشنهاد می‌کند از گردش کاری «شدت نزولی، سختی صعودی» استفاده کنید. این یعنی ابتدا یک کلید API لو رفته که بحرانی است را اصلاح کنید و سپس به سراغ موارد کم‌اهمیت‌تر (مثل نبود Favicon) بروید. به ادعای این تیم، تنها سه ساعت کار هدفمند می‌تواند امتیاز یک پروژه را از ۳۱ به ۵۵ یا بالاتر برساند.
محدودیت‌های ارزیابی
با این حال، بررسی صرفاً از طریق URL محدودیت‌هایی دارد. این ابزار نمی‌تواند موارد زیر را بسنجد:
- سیاست‌های امنیت سطح ردیف (RLS) در پایگاه‌داده
- اینکه آیا سرور پیش از نوشتن داده‌ها، ورودی‌ها را اعتبارسنجی می‌کند یا خیر
- نحوه مدیریت محدودیت نرخ درخواست‌ها (Rate Limiting) در بک‌اند
- پوشش واقعی تست‌ها (Actual Test Coverage)
- رفتار برنامه تحت فشار ۱۰۰۰ کاربر هم‌زمان
شرکت صراحتاً این موارد را «ارزیابی‌نشده» علامت می‌زند تا از ایجاد اعتماد کاذب جلوگیری کند. آن‌ها معتقدند ارزیابی‌ای که ادعا کند مواردی را پوشش می‌دهد که قادر به تأیید آن‌ها نیست، بدتر از ارزیابی‌ای است که صراحتاً محدودیت‌های خود را اعلام کند. در همین راستا، برای شناسایی حفره‌های پیچیده‌تر در لایه‌های منطقی، رویکردهایی مانند شبیه‌سازی معنایی برای شکار باگ‌های قراردادهای هوشمند ابزارهای تکمیلی قدرتمندی برای تضمین کیفیت هستند.
این تغییر در رویکرد ارزیابی، نشان‌دهنده نیاز روزافزون به مدیریت «بدهی فنی هوش مصنوعی» است. هرچه سد ورود برای عرضه محصول پایین‌تر می‌آید، ریسک استقرار کدهای ناامن و بهینه‌نشده افزایش می‌یابد. در این فضای جدید، مزیت رقابتی از کسی که سریع‌تر پرامپت می‌زند، به کسی منتقل می‌شود که می‌تواند خروجی را به‌طور مؤثرتر بازبینی، سخت‌سازی (Harden) و مقاوم‌سازی کند.
توسعه‌دهندگان اکنون می‌توانند پروژه‌های خود را در سایت auditvibecoding.com تست کنند. برای این کار کافی است ایمیل خود را وارد کرده و تمرکز ارزیابی را انتخاب کنند. گزارش‌ها ظرف ۲۴ تا ۴۸ ساعت به صندوق ورودی ایمیل ارسال می‌شوند.
گام بعدی شما
- اگر از ابزارهای تولید کد AI استفاده می‌کنید، فوراً بسته‌های JS خود را برای یافتن کلیدهای API سخت‌افزاری (Hardcoded) بررسی کنید.
- یک چک‌لیست برای سئو و دسترسی‌پذیری (Accessibility) ایجاد کنید تا خروجی‌های AI را پیش از استقرار نهایی فیلتر کنید.
- تمرکز خود را از «سرعت تولید» به «کیفیت بازبینی» منتقل کنید تا از بدهی‌های فنی آینده جلوگیری کنید.
اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.
گفتگو