ช่วงนี้ผมเห็นคนรอบตัวเริ่มทำ Software ใช้เองกันเยอะขึ้นมาก
บางคนไม่ได้เป็น Developer โดยตรงด้วยซ้ำ แต่มีปัญหาในการทำงาน เช่น ต้องเอาข้อมูลจาก Excel หลายไฟล์มารวมกัน, ต้องทำ Dashboard, ต้องสร้างระบบอนุมัติเล็กๆ, ต้องดึงข้อมูลจาก API, หรือต้องการระบบหลังบ้านง่ายๆ สำหรับทีม
เมื่อก่อนโจทย์แบบนี้อาจต้องหา Developer หรือ Software House มาช่วยทำ
แต่วันนี้เราสามารถเปิด AI Coding Tool แล้วอธิบายว่า
“ผมมีปัญหาแบบนี้ อยากได้ระบบประมาณนี้ ช่วยสร้างให้หน่อย”
จากนั้นค่อยๆ คุย ค่อยๆ แก้ จนสุดท้ายได้ Software ที่ใช้งานได้จริง
นี่เป็นสิ่งที่ผมมองว่าน่าสนใจมากของ Vibe Coding
และผมคิดว่าเราควรใช้มันให้เยอะด้วย
ถ้าเป็น Internal Tool เล็กๆ Vibe Coding มีประโยชน์มาก
สมมติบริษัทมีพนักงาน 10 คน
มีงานหนึ่งที่ทุกสัปดาห์ต้องเอา Excel 3 ไฟล์มารวมกัน ตรวจข้อมูล แล้วสร้าง Report ซึ่งใช้เวลา 2 ชั่วโมง
ถ้าเราสามารถใช้ AI ช่วยสร้าง Web App เล็กๆ ขึ้นมา ให้พนักงาน Upload ไฟล์ แล้วระบบประมวลผลออกมาให้เลย
ถึง Code จะไม่ได้สวยที่สุด
Architecture อาจไม่ได้ Perfect
UI อาจไม่ได้ออกแบบโดย UX Designer
แต่ถ้ามันลดงานจาก 2 ชั่วโมงเหลือ 5 นาทีได้
สำหรับผม Software ตัวนั้นมี Value แล้ว
นี่คือจุดที่ AI Coding มีพลังมาก
คนที่เข้าใจปัญหาหน้างานสามารถสร้าง Solution ให้ตัวเองได้ โดยไม่จำเป็นต้องรอให้ทุก Requirement ผ่านกระบวนการพัฒนา Software แบบเต็มรูปแบบเสมอไป
เราจะเริ่มเห็นสิ่งที่ผมคิดว่าน่าสนใจมากขึ้นเรื่อยๆ คือ
Software ที่ไม่ได้ถูกสร้างมาเพื่อขาย แต่ถูกสร้างมาเพื่อแก้ปัญหาเฉพาะของคนหรือบริษัทนั้นๆ
และ AI ทำให้ต้นทุนในการสร้าง Software ประเภทนี้ลดลงอย่างมาก
แต่ปัญหาเริ่มเกิดเมื่อคิดว่า “ในเครื่องผมรันได้ = พร้อมขาย”
ตรงนี้เป็นเส้นแบ่งที่สำคัญมาก
สมมติเราสร้างระบบด้วย AI
เปิดบนเครื่องตัวเอง ใช้งานได้
Deploy ขึ้น Server ได้
Login ได้
เพิ่มข้อมูลได้
ลูกค้าทดลองแล้วบอกว่าโอเค
มันง่ายมากที่จะรู้สึกว่า
“เสร็จแล้ว”
แต่ถ้าจะเปลี่ยน Software ตัวนั้นจาก Internal Tool ไปเป็น SaaS ที่เปิดให้ลูกค้าจริงใช้งาน คำว่า “เสร็จ” มีความหมายต่างออกไปมาก
เพราะตอนนี้เราไม่ได้รับผิดชอบแค่ Feature แล้ว
เรากำลังรับผิดชอบ ข้อมูล ระบบ และธุรกิจของคนอื่น
1. Security — Code ทำงานได้ ไม่ได้แปลว่า Code ปลอดภัย
AI เก่งมากในการสร้าง Code ที่ “ดูเหมือนทำงานได้”
แต่สิ่งที่เราต้องถามต่อคือ
- Authentication ถูกออกแบบอย่างไร
- Authorization ตรวจตรงไหน
- User A สามารถเข้าถึงข้อมูลของ User B ได้หรือไม่
- API มี Rate Limit หรือไม่
- Input ถูก Validate หรือไม่
- Password เก็บอย่างไร
- Token หมดอายุและ Refresh อย่างไร
- Secret และ API Key อยู่ตรงไหน
- Database เปิดออก Internet หรือไม่
- Dependency ที่ AI เพิ่มเข้ามามีช่องโหว่หรือไม่
- Upload File แล้วมีการตรวจสอบอะไรบ้าง
ปัญหาคือสิ่งเหล่านี้จำนวนมาก มองไม่เห็นจากหน้า UI
ระบบสามารถทำงานได้อย่างสมบูรณ์ในสายตาผู้ใช้ แต่ข้างหลังอาจมีช่องโหว่เต็มไปหมด
OWASP เองก็พูดถึงความเสี่ยงของการเชื่อ AI-generated code มากเกินไป และแนะนำว่า Code ที่ AI สร้างยังต้องมีคนรับผิดชอบ อ่าน Review และใช้ Security Tool ตรวจสอบ ไม่ควรถือว่า AI-generated code ปลอดภัยโดยอัตโนมัติ
ดังนั้นคำว่า
“AI เขียนให้”
ไม่สามารถใช้แทนคำว่า
“เราเข้าใจว่า Code นี้ทำอะไร”
ได้
2. PDPA และ Privacy — ตอน Test ใช้ Dummy Data แต่ Production คือข้อมูลคนจริง
อีกเรื่องที่ต่างกันมากคือข้อมูล
ตอนพัฒนาเราอาจมีข้อมูลแค่
Name: Test User
Email: test@example.com
Phone: 0800000000
ไม่มีอะไรน่ากังวล
แต่เมื่อเปิด SaaS จริง Database อาจเริ่มมี
ชื่อ
เบอร์โทร
Email
ที่อยู่
Invoice
เอกสาร
ข้อมูลบริษัท
ประวัติการใช้งาน
และบางระบบอาจมีข้อมูลที่ Sensitive มากกว่านั้นอีก
จาก Application ธรรมดา มันจึงเริ่มกลายเป็นเรื่องของ Data Governance และ Privacy
ต้องเริ่มถามแล้วว่า
ข้อมูลถูกเก็บที่ไหน?
ใครเข้าถึงได้?
Developer เปิด Production Database ได้หรือไม่?
Backup อยู่ที่ไหน?
Log มีข้อมูลส่วนบุคคลติดไปด้วยหรือเปล่า?
ถ้าลูกค้าขอลบข้อมูล เราลบได้จริงหรือไม่?
ถ้าข้อมูลรั่ว เรารู้หรือไม่ว่าเกิดอะไรขึ้น?
และยิ่งเราใช้ AI Coding Agent ที่สามารถอ่านทั้ง Repository, Terminal หรือ Project Context ก็ต้องระวังเพิ่มอีกชั้นว่า เราเผลอส่ง Credential, Source Code หรือข้อมูลลูกค้าเข้าไปเป็น Context ให้ AI หรือไม่
OWASP แนะนำให้แยก Secret ออกจาก Project Context, จำกัดสิทธิ์ของ Coding Agent และตรวจสอบว่าข้อมูลอะไรถูกส่งออกไปยัง AI Provider
3. Performance — User 5 คน กับ User 5,000 คน ไม่ใช่ระบบเดียวกัน
อีกกับดักหนึ่งของ Vibe Coding คือ
ตอนเรา Test ทุกอย่างเร็วมาก
แน่นอนครับ…
เพราะมี User อยู่คนเดียว 😅
Database มี 100 records
API ถูกเรียกทีละ Request
ไม่มี Concurrent User
ไม่มี Bot
ไม่มี Traffic Spike
พอเปิด Production จริง โลกเปลี่ยนทันที
Query ที่ใช้เวลา 300ms อาจดูไม่มีปัญหา
แต่ถ้ามันถูกเรียก 20 ครั้งต่อ Page และมี User พร้อมกันจำนวนมาก เรื่องก็เปลี่ยน
เราจึงต้องเริ่มคิดเรื่อง
Database Index
Caching
Connection Pool
Queue
Background Job
Rate Limiting
CDN
Horizontal Scaling
Monitoring
รวมถึง Cost ด้วย
โดยเฉพาะ Application ที่เรียก AI API เพราะ Request หนึ่งครั้งไม่ได้มีต้นทุนแค่ CPU และ Database อีกต่อไป แต่อาจมี Token Cost ทุกครั้งที่ User กดปุ่ม
ถ้าออกแบบผิด User คนหนึ่งหรือ Bot ตัวเดียวอาจสร้างค่าใช้จ่ายจำนวนมากได้
4. Production ต้องคิดเรื่อง “ตอนมันพัง” ด้วย
ตอนสร้าง MVP เรามักคิดว่า
Happy Path ทำงานหรือยัง?
แต่ Production ต้องคิดอีกแบบ
ถ้ามันไม่ทำงาน จะเกิดอะไรขึ้น?
Database ล่มทำอย่างไร?
Deploy Version ใหม่แล้วมี Bug ทำอย่างไร?
Migration Database ผิดย้อนกลับได้ไหม?
Server Disk เต็มรู้ได้อย่างไร?
API ภายนอกล่ม ระบบเราจะเป็นอย่างไร?
Backup มี แต่เคยลอง Restore หรือยัง?
Error เกิดขึ้นแล้วใครรู้?
จึงเริ่มมีเรื่องที่ไม่ได้อยู่บนหน้าจอ Application เข้ามาเต็มไปหมด
Monitoring
Logging
Alerting
Backup
Disaster Recovery
CI/CD
Rollback
Incident Response
สิ่งเหล่านี้ไม่ได้ทำให้ Demo ดูดีขึ้นเลย
แต่เป็นสิ่งที่ทำให้ Software อยู่รอด
